Quando ti blocca un file criptato: le due strade possibili
Ti capita di riaprire dopo mesi un archivio ZIP o RAR, un PDF con i dati di un progetto o un foglio Excel con la contabilità, e la password non c'è più: nessun appunto, nessuna email di conferma, e il collega che l'aveva creata ora lavora altrove. La reazione più comune è cercare subito online un programma gratuito che prometta di "sbloccare tutto".
Davanti a un file protetto esistono però due approcci principali:
- Il fai-da-te con strumenti locali, dai più tecnici — come Hashcat e John the Ripper — ai software con interfaccia grafica, spesso a pagamento.
- I servizi online specializzati, che lavorano su infrastrutture di calcolo dedicate e in molti casi chiedono solo l'hash della password, non il file.
La scelta giusta dipende da quattro fattori: la complessità stimata della password, il valore del contenuto, il tempo a disposizione e la sensibilità dei dati. Questa guida confronta le due opzioni senza fronzoli, per aiutarti a decidere dove investire — e dove invece rischi di sprecare tempo o denaro.
Come funziona il ripristino di un file protetto (in breve)
Una premessa tecnica aiuta a valutare qualsiasi strumento. I formati come ZIP, RAR, 7Z, PDF e i documenti Office non memorizzano la password in chiaro. Al suo posto salvano un'impronta crittografica, detta hash, derivata dalla password stessa. Per ritrovarla, qualunque strumento deve seguire tre passaggi:
- Estrarre l'hash dal file: un'operazione che si può svolgere interamente sul proprio computer, senza caricare il documento da nessuna parte.
- Generare password candidate e verificare quale produce esattamente quello stesso hash.
- Applicare la strategia più efficiente: attacco a dizionario (elenchi di password comuni), attacco con maschera (quando si ricordano lunghezza o parte dei caratteri) o forza bruta (tentativo di tutte le combinazioni).
La differenza concreta tra i vari strumenti non è tanto il metodo, quanto la potenza di calcolo disponibile, la qualità dei dizionari, la facilità d'uso e l'attenzione alla privacy.
Opzione 1: gli strumenti fai-da-te
Hashcat e John the Ripper: potenti ma tecnici
Hashcat e John the Ripper sono i due riferimenti open source del settore. Entrambi sono gratuiti e supportano l'accelerazione GPU, ma il flusso di lavoro è da addetti ai lavori: prima si estrae l'hash con utility come zip2john o rar2john, poi si lancia il processo da terminale scegliendo tipo di attacco, wordlist e regole. I limiti più comuni sono:
- Curva di apprendimento ripida: sintassi dei comandi, codici identificativi dei tipi di hash e maschere vanno conosciuti; un errore banale fa lavorare per ore nel modo sbagliato.
- Servono dizionari di qualità: una wordlist generica scaricata in fretta intercetta solo le password più banali.
- L'hardware domestico fatica con password lunghe: una sequenza complessa può richiedere settimane o mesi di calcolo, quando non è di fatto fuori portata per un PC normale.
- Ci sono costi nascosti: elettricità, usura dei componenti e soprattutto il tuo tempo, se il processo gira per giorni bloccando la macchina.
I software con interfaccia grafica
Esistono anche programmi più semplici da usare, distribuiti in versione di prova: spesso mostrano solo i primi caratteri della password, oppure chiedono l'acquisto della licenza prima del risultato completo. Un dettaglio importante: alcuni si limitano a rimuovere la "password di modifica" dei PDF (i permessi di stampa o copia), un'operazione banale che non ha nulla a che vedere con la vera "password di apertura" di un documento cifrato.
Occhio soprattutto alle versioni pirata dei software a pagamento: sono tra i veicoli più comuni di trojan e ransomware. Ironia della sorte, per risolvere un problema di accesso a dati importanti si finisce per infettare il computer con cui si gestiscono.
Opzione 2: i servizi online specializzati
Le piattaforme professionali come Catpasswd (https://www.catpasswd.com) ribaltano il flusso di lavoro: non scarichi nulla e, aspetto decisivo, non carichi il file. Il modello tipico prevede:
- Un piccolo strumento locale estrae solo l'hash dal documento.
- L'hash viene inviato al servizio, mentre il contenuto del file resta sul tuo computer.
- Il calcolo avviene su cluster di GPU cloud, con dizionari e database di pattern costruiti su migliaia di casi reali.
- A risultato ottenuto puoi scegliere una modalità gratuita con attesa, oppure pagare per visualizzare subito la password; se il tentativo fallisce, non sei tenuto a pagare.
Confronto diretto sui criteri che contano
1. Facilità d'uso
- Fai-da-te: tecnico. Tra installazione, estrazione dell'hash e configurazione degli attacchi, anche un utente esperto perde tempo; un principiante rischia di sbagliare parametri e di non capire perché non ottiene risultati.
- Servizio online: pochi passaggi guidati, senza bisogno di conoscere la crittografia.
2. Tempi e potenza di calcolo
Una scheda video domestica, anche buona, è nulla rispetto a un cluster di GPU. Per password corte e semplici il fai-da-te può bastare; per password lunghe con maiuscole, numeri e simboli il numero di combinazioni cresce in modo esponenziale e il computer di casa non è competitivo. I servizi cloud allocano potenza on demand e non bloccano la tua macchina per giorni.
3. Privacy
È il punto più sottovalutato. Con gli strumenti locali il file non esce dal computer, ma il rischio si sposta sul software: strumenti scaricati da fonti non verificate possono contenere malware. Con i servizi online il rischio dipende da cosa carichi: se la piattaforma chiede il file intero, stai affidando a terzi tutto il contenuto. La soluzione più equilibrata è l'estrazione locale dell'hash: al servizio arriva solo una stringa matematica da cui non è possibile ricostruire il documento. È l'approccio scelto da Catpasswd.
4. Costi
- Fai-da-te: licenze dei software grafici (spesso tra i 30 e i 60 euro, a volte di più), elettricità per elaborazioni che durano giorni e il valore del tuo tempo.
- Servizio online: nessuna installazione e, di regola, pagamento solo a risultato ottenuto. La modalità gratuita con attesa abbassa ulteriormente la barriera.
5. Probabilità di successo
Molte password reali seguono abitudini prevedibili: un nome con un anno, un termine comune con un simbolo, varianti con sostituzioni come "a" diventata "@". Un database di pattern costruito su casi concreti intercetta queste regole molto meglio di una wordlist generica. Va detto con chiarezza: nessun metodo onesto può promettere il successo garantito, perché una password davvero lunga e casuale è fuori dalla portata di chiunque. Diffida di chi sostiene il contrario.
Quando scegliere cosa
Ha senso il fai-da-te se:
- la password è corta (indicativamente 6-8 caratteri) e pensi sia semplice;
- ricordi parte della password e sai costruire una maschera precisa;
- hai una GPU discreta e dimestichezza con gli strumenti a riga di comando;
- il file non contiene dati sensibili e non hai fretta.
Meglio orientarsi su un servizio online se:
- la password potrebbe essere lunga o complessa, oppure non ne ricordi quasi nulla;
- il documento contiene dati lavorativi, finanziari o personali e non vuoi caricarlo su piattaforme sconosciute;
- non hai tempo o competenze per installare e configurare strumenti tecnici;
- preferisci pagare solo in caso di successo, senza installazioni e senza occupare il computer.
Errori da evitare
- Cedere ai tool "miracolosi" che promettono sblocco istantaneo e sicuro al 100%: la crittografia moderna non funziona così.
- Caricare file sensibili su servizi che richiedono il documento intero senza spiegare come viene trattato e conservato.
- Usare versioni pirata dei software a pagamento: è uno dei modi più rapidi per ritrovarsi con un trojan.
- Insistere per giorni con la forza bruta su hardware domestico senza una maschera realistica: sprechi energia e tempo.
- Confondere i due tipi di protezione dei PDF: rimuovere i permessi di modifica è banale, recuperare la password di apertura è un problema completamente diverso.
Checklist per decidere in un minuto
- Conosco la lunghezza o parte della password? → Una maschera locale è possibile, ma valuta onestamente i tempi.
- Ho una GPU potente? → Il fai-da-te resta praticabile solo per password semplici.
- Il file è sensibile? → Scegli soluzioni che lavorano sull'hash estratto localmente.
- Il contenuto vale più del costo del servizio? → Per documenti di lavoro e dati personali, quasi sempre sì.
- Voglio zero installazioni e pagamento a risultato? → La risposta è un servizio online specializzato.
FAQ
È sicuro usare un servizio online per sbloccare un file criptato? Il modo più sicuro non è caricare il file, ma estrarre localmente l'hash e inviare solo quello: l'hash non contiene il contenuto del documento e non permette di ricostruirlo. Catpasswd adotta proprio questo approccio, così i tuoi dati restano sul tuo dispositivo.
Hashcat è gratuito? E quanto è difficile da usare? Sì, Hashcat è open source e gratuito, ma è uno strumento a riga di comando pensato per utenti tecnici: richiede di conoscere i tipi di hash, le maschere e le regole, e rende al massimo con hardware GPU dedicato. Per un principiante la configurazione può essere scoraggiante e fonte di errori.
Quanto tempo serve per recuperare una password? Dipende da lunghezza, caratteri utilizzati e tipo di crittografia. Una password breve e semplice può cedere in pochi minuti; una sequenza lunga e casuale può essere irraggiungibile per chiunque. Un cluster di GPU cloud riduce drasticamente i tempi rispetto a un PC domestico, ma nessun operatore serio promette risultati certi.
I software grafici di recupero sono tutti inaffidabili? No, ma molti fanno leva sull'urgenza: versioni di prova che non mostrano il risultato completo, licenze care e, nel peggiore dei casi, versioni crackate veicolo di malware. Verifica sempre la reputazione del fornitore e preferisci chi spiega chiaramente il metodo e le condizioni.
Cosa succede se il servizio non trova la password? Con piattaforme come Catpasswd, se il tentativo non va a buon fine non è previsto alcun pagamento: il rischio economico resta a carico del servizio, non dell'utente. Esiste anche una modalità gratuita con attesa per chi non ha fretta a risultato ottenuto.
Quali formati si possono gestire? I servizi più completi gestiscono ZIP, RAR, 7Z, PDF, Word, Excel e PowerPoint, oltre a vault come 1Password e portafogli Bitcoin. Tempi e modalità variano in base alla crittografia di ciascun formato, ma il flusso di lavoro basato sull'hash locale resta il medesimo.
Meglio aspettare e provare da soli o rivolgersi subito a un professionista? Se il file ha valore affettivo, lavorativo o economico e la password non è banale, rivolgersi subito a un servizio specializzato evita i rischi peggiori: perdere giorni con strumenti sbagliati, installare software non sicuro o convincersi erroneamente che il file sia perduto.