Come controllare se la tua password è stata rubata

Cos'è una fuga di dati (data breach)

Una fuga di dati (in inglese data breach) succede quando un sito o un servizio che usi viene violato da un attaccante, e le informazioni di chi vi si era iscritto — email, password, a volte anche indirizzo o numero di telefono — finiscono fuori dal controllo dell'azienda.

Quei dati di solito non restano nascosti: vengono raccolti in elenchi e spesso rivenduti o condivisi gratis nei forum frequentati da chi fa attacchi informatici. Da lì chiunque può scaricarli e provarli su altri siti.

Non è colpa tua se un sito che usavi viene violato: dipende dalla sicurezza di chi lo gestisce, non dalla tua password. Quello che puoi controllare è cosa succede dopo.

Come controllare se la tua email è stata coinvolta

Il servizio gratuito di riferimento per questo controllo è Have I Been Pwned (haveibeenpwned.com), creato dal ricercatore di sicurezza Troy Hunt: raccoglie un grande numero di fughe di dati note e ti dice se il tuo indirizzo email compare fra quelle esposte.

Non serve installare niente né creare un account: basta il tuo indirizzo email.

1. Apri haveibeenpwned.com dal browser del telefono o del computer.
2. Scrivi il tuo indirizzo email nel campo di ricerca.
3. Tocca Check (o premi Invio).
4. Leggi il risultato: una fascia verde con «Good news — no pwnage found!» significa che l'email non risulta in nessuna fuga nota; una fascia rossa con «Oh no — pwned!» elenca le violazioni trovate.

Come leggere il risultato: cosa è stato esposto

Per ogni violazione trovata, il sito mostra il nome del servizio coinvolto, la data in cui è avvenuta la violazione (spesso diversa da quando è stata scoperta) e, soprattutto, quali dati sono stati esposti: a volte solo l'indirizzo email, altre volte anche password, numeri di telefono o altri dati personali.

La differenza conta. Se è uscita solo l'email, il rischio principale è ricevere più spam o email di phishing mirate, scritte apposta per sembrare credibili. Se fra i dati esposti c'è anche la password, il rischio è che qualcuno possa entrare in quell'account — e in ogni altro dove hai usato la stessa password.

Have I Been Pwned ha anche uno strumento separato, Pwned Passwords, per controllare se una password specifica (non legata a un'email) è già comparsa in una fuga nota: scrivi la password nel campo, e il browser la trasforma in un codice (hash) prima di mandare qualcosa al sito — al sito arriva solo un pezzo di quel codice, non la password. Per questo la password non lascia mai il tuo dispositivo e il sito non la vede mai in chiaro.

Cosa fare se la tua password compare in una fuga

Se la tua password compare fra i dati esposti di una fuga, il primo passo è cambiarla subito sul servizio coinvolto — non aspettare, perché quella password è già nota a chiunque abbia accesso all'elenco rubato.

Se fra i servizi coinvolti c'è anche la tua email, comincia da lì: chi conosce la password della tua email può usare «password dimenticata» per reimpostare quasi tutte le altre, quindi è quella da mettere in sicurezza per prima.

Il passo successivo è altrettanto importante e spesso dimenticato: cambiala anche su ogni altro sito dove l'hai riusata. È il motivo per cui non si dovrebbe mai usare la stessa password su più account: una fuga su un solo sito, se la password è condivisa, mette a rischio tutti gli altri.

Attenzione anche alle email che ti avvisano «la tua password è trapelata»: spesso sono tentativi di phishing o di estorsione, non un avviso vero del servizio coinvolto. Alcuni includono persino una tua vecchia password reale, presa proprio da una fuga di dati, per sembrare credibili. L'NCSC (l'ente pubblico britannico per la cybersicurezza) consiglia di non usare mai i link o i recapiti scritti in quei messaggi: se vuoi controllare, vai direttamente sul sito ufficiale del servizio, non dal link ricevuto.

1. Vai subito sul sito o servizio coinvolto e cambia la password (se è coinvolta anche l'email, parti da quella).
2. Pensa a ogni altro posto dove potresti aver usato la stessa password (o una molto simile) e cambiala anche lì.
3. Scegli una password nuova, lunga e diversa per ogni sito: trovi come crearne una nella guida su come creare una password sicura.
4. Se il servizio lo offre, attiva anche la verifica in due passaggi: aggiunge una protezione che regge anche se la password viene scoperta di nuovo.

Diverso: il tuo account è già stato preso da qualcuno

Trovare la tua password in una fuga di dati e avere l'account già preso da qualcuno sono due cose diverse, e vanno trattate in modo diverso. Nel primo caso la password è finita in un elenco pubblico, ma l'account è ancora tuo: cambiando la password in tempo, chiudi il rischio. Nel secondo caso qualcuno è già entrato ed è più urgente: ogni minuto in più è un minuto in cui può fare danni o bloccarti fuori del tutto.

Questi sono i segnali che indicano il secondo caso, più serio:

1. Non riesci più ad accedere con la password che usi sempre, anche se sei sicuro di scriverla giusta.
2. L'email o il numero di telefono di recupero dell'account sono cambiati, e non sei stato tu a cambiarli.
3. Dai tuoi account risultano inviati messaggi o pubblicazioni che non riconosci.
4. Il servizio ti segnala accessi da luoghi o dispositivi insoliti che non sono i tuoi.

Perché un gestore di password evita che ricapiti

Il motivo per cui si finisce a riusare le password quasi sempre è lo stesso: ricordarne una diversa per ogni sito a memoria è impossibile. Un gestore di password risolve il problema: genera e ricorda lui una password diversa per ciascun account, così dopo una fuga di dati devi sistemarne uno solo, non una dozzina.

Alcuni gestori fanno anche un controllo simile a Have I Been Pwned in automatico sulle password che hai già salvato, avvisandoti da solo se una di quelle risulta in una violazione nota — senza che tu debba andare a controllare ogni volta a mano.