--- id: CP-349 slug: have-i-been-pwned-verificare-violazione-email lang: it title: Verificare se il proprio indirizzo compare in una violazione di dati description: Una violazione di dati mette in circolazione la sua password. Come reagire subito e perché un indirizzo assente da una banca dati non prova nulla. canonical_url: https://startbrain.io/cyberpedia/it/articles/have-i-been-pwned-verificare-violazione-email/ markdown_url: https://startbrain.io/cyberpedia/it/articles/have-i-been-pwned-verificare-violazione-email.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Verificare se il proprio indirizzo compare in una violazione di dati», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/have-i-been-pwned-verificare-violazione-email/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-022 schema: G2 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/have-i-been-pwned-verificare-violazione-email/ fr: https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel/ en: https://startbrain.io/cyberpedia/en/articles/have-i-been-pwned-check-email-breach/ de: https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen/ es: https://startbrain.io/cyberpedia/es/articles/have-i-been-pwned-comprobar-filtracion-correo/ nl: https://startbrain.io/cyberpedia/nl/articles/have-i-been-pwned-e-mailadres-datalek-controleren/ sources: - "n": 1 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 2 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 3 title: Use Strong Passwords publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 4 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email published: "2018-12-17" accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Recognize and Report Phishing publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 7 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" --- # Verificare se il proprio indirizzo compare in una violazione di dati Quando un'azienda o un sito subisce un attacco informatico, le credenziali dei suoi clienti possono finire in mani sbagliate. Sapere se il proprio indirizzo compare in una banca dati di violazioni può rassicurare o allertare, ma non sostituisce le buone abitudini sulle password. Questa scheda riporta ciò che raccomandano, dopo una violazione, gli organismi pubblici di riferimento: cambiare subito la password, non riutilizzarla, attivare l'autenticazione a due fattori e diffidare dei falsi messaggi di allarme. ## In 30 secondi - Dove succede: un servizio presso cui ha un account viene violato e l'annuncio, o una voce, arriva fino a Lei [1]. - Cosa vuole l'attaccante: approfittare delle password riutilizzate: una password compromessa rende violabili tutti i servizi in cui viene usata [1]. - Il riflesso: cambiare subito la password interessata, non riutilizzarla mai altrove e attivare l'autenticazione a due fattori [1]. - Se l'ha già fatto: se la stessa password serve per la sua posta elettronica, cambi al più presto la password della posta [4]. ## Domande dirette ### Che cos'è una violazione di dati? Un attaccante può ottenere password cifrate (sottoposte a hash) introducendosi in una banca dati: il NIST la chiama «database breach» [2]. La CISA racconta il caso di un'utente la cui password faceva parte di una violazione aziendale pubblicata online [3]. La password non è più segreta, anche se il suo computer non è mai stato colpito. ### Bisogna attendere la conferma di una violazione per agire? No. Cybermalveillance.gouv.fr raccomanda, in caso di dubbi sulla sicurezza di un account o se si viene a sapere che una società presso cui si ha un account è stata violata, di non aspettare di sapere se sia vero. La password interessata va cambiata subito, prima che cada in mani sbagliate [1]. ### Che cosa fare se il mio indirizzo compare in una violazione? Cambi la password del servizio interessato. Se la usava per la posta elettronica, cambi al più presto la password della posta [4]. Scelga poi una password diversa per ogni servizio, in modo che, se una sola va persa o viene rubata, sia vulnerabile solo quel servizio [1]. Infine attivi l'autenticazione a due fattori quando il servizio la offre [5]. ### Perché la posta elettronica viene per prima? Riceve i link di reimpostazione delle password degli altri suoi account. Un cybercriminale che la viola può usare la funzione «password dimenticata» dei servizi a cui Lei accede, compreso il conto bancario, per prenderne il controllo [1]. L'NCSC aggiunge che potrebbe anche leggere le sue informazioni private e inviare messaggi fingendosi Lei [4]. ### E se il mio indirizzo non compare nella banca dati consultata? Il consiglio non dipende dall'esito di una verifica: cambiare la password al primo dubbio, non riutilizzarla, attivare l'autenticazione a due fattori [1][5]. Un risultato vuoto non dispensa quindi da nessuna di queste misure. ## Come funziona Le password rubate servono innanzitutto a indovinarne altre. Il NIST osserva che le scelte degli utenti sono molto prevedibili e che gli attaccanti provano le password che hanno già funzionato, in particolare quelle provenienti da violazioni precedenti [2]. Lo stesso documento raccomanda che un servizio confronti le password scelte con un elenco di valori noti come comuni, prevedibili o compromessi, per esempio password tratte da violazioni passate [2]. Questo testo risale a giugno 2017 ed è stato sostituito da una revisione più recente dal 1° agosto 2025 [2]. Il rischio cresce quando una password è usata in più posti. Se l'ha riutilizzata, ai criminali basta conoscerne una sola per accedere a tutti i suoi account [4]. È lo scenario descritto dalla CISA: un'utente vede un bonifico di 700 dollari che non ha richiesto, non riesce più ad accedere alla banca e poi alla posta elettronica, perché aveva la stessa password su entrambe. Scopre più tardi che quella password faceva parte di una violazione aziendale pubblicata online [3]. ## Cosa fa Lei Dopo una violazione, o al minimo dubbio, il seguente ordine limita i danni, dal più urgente al più duraturo. - Cambi prima di tutto la password del servizio colpito [1]. Se l'aveva riutilizzata per la posta elettronica, cambi anche quella della posta [4]. - Scelga una password lunga e casuale. La CISA indica almeno 16 caratteri, sotto forma di stringa casuale oppure di una frase di 4-7 parole senza relazione tra loro [3]. Cybermalveillance.gouv.fr cita un minimo di 12 caratteri che mescolino maiuscole, minuscole, cifre e caratteri speciali [1]. - Una password per ogni account. La CNIL chiede una password propria e unica per ogni account sensibile: banca, posta elettronica, social network [5]. - Le affidi a un gestore di password. La CISA osserva che, per la maggior parte delle persone, ricordare password lunghe, casuali e uniche per ogni account è impossibile, e che questi strumenti le generano, le conservano e segnalano le password deboli o riutilizzate [3]. - Attivi l'autenticazione a due fattori, soprattutto per la posta elettronica, i social network e i conti finanziari [3]. L'NCSC precisa che impedisce a un criminale di accedere alla posta anche se conosce la password [4]. Per un account di lavoro, applichi le stesse misure e segua le istruzioni della sua organizzazione. L'NCSC chiede che la password della posta elettronica non sia usata per nessun altro account, a casa come al lavoro [4]. ## Le insidie ### Il falso messaggio di allarme su una violazione Un messaggio che annuncia una violazione e La sollecita ad accedere può essere phishing. La CISA descrive come segnali frequenti un linguaggio urgente o carico di emotività, la richiesta di informazioni personali o finanziarie, link abbreviati non affidabili e indirizzi o link errati, come «amazan.com» [6]. Gli errori di ortografia non sono più un indizio affidabile: nell'era dell'intelligenza artificiale, alcune e-mail sono perfette sotto questo aspetto [6]. Davanti a un messaggio dubbio che potrebbe essere vero, non clicchi su alcun link e non chiami alcun numero che contiene. Cerchi Lei stesso il sito dell'organismo, oppure digiti il suo indirizzo, e prenda i recapiti dal sito verificato [6]. Nell'esempio della CISA, un'e-mail annunciava un pagamento rifiutato e sollecitava ad accedere. L'utente caduto nella trappola ha consegnato la password e i dati della carta, e ha recuperato la maggior parte delle perdite solo dopo lunghe ore al telefono [6]. Cybermalveillance.gouv.fr aggiunge che nessuna società o organizzazione seria chiederà mai la sua password per posta elettronica o per telefono, nemmeno per una «manutenzione» o un «intervento informatico». Se gliela chiedono, si trova di fronte a un tentativo di intrusione o di truffa [1]. Un falso messaggio di violazione che richiede la sua password rientra in questo caso. Per segnalare il messaggio, la CISA indica che di solito un'opzione si trova vicino all'indirizzo del mittente, oppure nel pulsante «segnala spam». Consiglia poi di eliminare il messaggio senza rispondere né cliccare, nemmeno su un link di disiscrizione [6]. L'NCSC britannico precisa che può indagare su indirizzi e siti fraudolenti e farli rimuovere, e che la segnalazione richiede un minuto [7]. ### Il falso senso di sicurezza Non figurare in una banca dati di violazioni consultata non dispensa dalle buone pratiche. La regola vale in ogni caso: una password diversa per ogni account, password lunghe e autenticazione a due fattori [1][3][5]. ### La password annotata nel posto sbagliato Dopo un cambio, è facile voler conservare la nuova password in un file o in un messaggio. La CNIL sconsiglia i post-it, i file di testo, lo smartphone e la casella di posta, e di non registrarle mai nel browser di un computer condiviso [5]. ## Fonti 1. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultato il 3 novembre 2026) 2. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultato il 3 novembre 2026) 3. CISA, «Use Strong Passwords». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultato il 3 novembre 2026) 4. NCSC (Royaume-Uni), «Use a strong and separate password for your email», 17 dicembre 2018. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (consultato il 3 novembre 2026) 5. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 gennaio 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultato il 3 novembre 2026) 6. CISA, «Recognize and Report Phishing». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultato il 3 novembre 2026) 7. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/have-i-been-pwned-verificare-violazione-email/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.