Non è un bug. Non è un errore di programmazione. È una scelta deliberata di Microsoft, e molti esperti di sicurezza ritengono che sia sbagliata.
La scoperta
La settimana scorsa il ricercatore norvegese Tom Jøran Sønstebyseter Rønning ha pubblicato su X una dimostrazione tecnica che ha fatto discutere tutto il mondo della cybersecurity:
Microsoft Edge carica tutte le password salvate nella memoria del computer, in chiaro (senza crittografia), nel momento in cui il browser viene avviato. E le tieni lì per tutta la durata della sessione, anche se non visiti mai nessun sito che le usa.
La cosa più rilevante? Nessun altro browser basato su Chromium si comporta così. Chrome, Brave, Opera, Vivaldi, tutti caricano le password in memoria solo nel momento in cui servono, e le rimuovono subito dopo. Edge no.
Quanto è facile sfruttarlo
Il ricercatore ha pubblicato uno strumento su GitHub che dimostra l’accesso alle password in pochi passaggi. La pubblicazione tedesca Heise Online ha replicato l’esperimento in modo indipendente: ha creato una password, ha riavviato Edge, ha aperto il Task Manager, creato un “memory dump” del processo, e la password era lì, leggibile in chiaro nel file, nonostante non fosse mai stata usata in quella sessione.
Un altro ricercatore, RobandenBr, ha confermato i risultati con lo stesso metodo.
Il punto critico riguarda soprattutto i server condivisi — ambienti aziendali dove più utenti accedono alla stessa macchina: chi ottiene accesso amministrativo al server può leggere le password di tutti gli utenti connessi in quel momento.
La risposta di Microsoft: “è così per scelta”
Microsoft ha risposto ufficialmente a Windows Central con una dichiarazione che ha fatto storcere il naso a molti esperti:
“L’accesso ai dati del browser come descritto presuppone che il dispositivo sia già compromesso. Le scelte di progettazione implicano un equilibrio tra prestazioni, usabilità e sicurezza.”
In altre parole: “Se il tuo PC è già compromesso, non è un problema nostro.”
Il problema è che questa logica ha dei limiti seri:
- Un malware che riesce a girare con privilegi utente standard può accedere alla memoria di Edge senza che il dispositivo sia “completamente compromesso” nel senso classico del termine
- Un amministratore di sistema disonesto o un attaccante che ha ottenuto accesso remoto a un account può estrarre tutte le password senza toccare il disco
- Già nel settembre 2025 un altro ricercatore aveva segnalato lo stesso problema al Microsoft Security Response Center — che lo aveva archiviato come “non è una vulnerabilità”
Il confronto con Chrome (e perché conta)
Chrome e gli altri browser Chromium usano una combinazione di protezioni chiamate DPAPI + App-Bound Encryption per garantire che le password vengano decifrate solo nel momento in cui servono e cancellate dalla memoria subito dopo.
Edge usa DPAPI per proteggere i dati su disco, ma una volta avviato il browser, rimuove quella protezione e mantiene tutto in chiaro in memoria per tutta la sessione.
La best practice nel campo della sicurezza informatica è esplicita: le password vanno decifrate al momento dell’uso e rimosse subito dopo. Edge fa esattamente il contrario.
Cosa fare adesso
Microsoft per il momento non ha annunciato intenzione di cambiare questo comportamento. Quindi la mossa spetta a te:
- 🚫 Non usare il password manager integrato di Edge per salvare credenziali sensibili (banca, email, lavoro)
- ✅ Usa un password manager dedicato: Bitwarden (gratuito e open source), 1Password, KeePass: questi strumenti cifrano i dati con standard molto più robusti e li decifrano solo su richiesta esplicita
- 🔐 Attiva il 2FA ovunque: anche se una password venisse rubata, il secondo fattore blocca l’accesso
- 🔄 Se usi Edge in un ambiente aziendale o condiviso: segnala questa problematica al tuo responsabile IT, il rischio su server Terminal/RDS è reale e documentato
- 🔍 Valuta di passare a un browser alternativo per la gestione delle credenziali: Chrome, Firefox o Brave gestiscono questo aspetto in modo più prudente
La comodità del salvataggio automatico delle password nel browser è reale. Ma un password manager che decifra tutto all’avvio, lo lascia in memoria per ore e dice “va bene finché il PC è al sicuro”, sta scommettendo sulla perfezione del tuo sistema. E i sistemi perfetti non esistono. 💙
#CheckBlacklist #MicrosoftEdge #PasswordManager #SicurezzaDigitale #CyberSecurity #PasswordInChiaro #Plaintext #Browser #Bitwarden #PrivacyOnline
Lascia un commento