Verificare se il proprio indirizzo compare in una violazione di dati

Le password rubate servono innanzitutto a indovinarne altre. Il NIST osserva che le scelte degli utenti sono molto prevedibili e che gli attaccanti provano le password che hanno già funzionato, in particolare quelle provenienti da violazioni precedenti². Lo stesso documento raccomanda che un servizio confronti le password scelte con un elenco di valori noti come comuni, prevedibili o compromessi, per esempio password tratte da violazioni passate². Questo testo risale a giugno 2017 ed è stato sostituito da una revisione più recente dal 1° agosto 2025².

Il rischio cresce quando una password è usata in più posti. Se l'ha riutilizzata, ai criminali basta conoscerne una sola per accedere a tutti i suoi account⁴. È lo scenario descritto dalla CISA: un'utente vede un bonifico di 700 dollari che non ha richiesto, non riesce più ad accedere alla banca e poi alla posta elettronica, perché aveva la stessa password su entrambe. Scopre più tardi che quella password faceva parte di una violazione aziendale pubblicata online³.

Dopo una violazione, o al minimo dubbio, il seguente ordine limita i danni, dal più urgente al più duraturo.

• Cambi prima di tutto la password del servizio colpito¹. Se l'aveva riutilizzata per la posta elettronica, cambi anche quella della posta⁴.
• Scelga una password lunga e casuale. La CISA indica almeno 16 caratteri, sotto forma di stringa casuale oppure di una frase di 4-7 parole senza relazione tra loro³. Cybermalveillance.gouv.fr cita un minimo di 12 caratteri che mescolino maiuscole, minuscole, cifre e caratteri speciali¹.
• Una password per ogni account. La CNIL chiede una password propria e unica per ogni account sensibile: banca, posta elettronica, social network⁵.
• Le affidi a un gestore di password. La CISA osserva che, per la maggior parte delle persone, ricordare password lunghe, casuali e uniche per ogni account è impossibile, e che questi strumenti le generano, le conservano e segnalano le password deboli o riutilizzate³.
• Attivi l'autenticazione a due fattori, soprattutto per la posta elettronica, i social network e i conti finanziari³. L'NCSC precisa che impedisce a un criminale di accedere alla posta anche se conosce la password⁴.

Per un account di lavoro, applichi le stesse misure e segua le istruzioni della sua organizzazione. L'NCSC chiede che la password della posta elettronica non sia usata per nessun altro account, a casa come al lavoro⁴.

Il falso messaggio di allarme su una violazione

Un messaggio che annuncia una violazione e La sollecita ad accedere può essere phishing. La CISA descrive come segnali frequenti un linguaggio urgente o carico di emotività, la richiesta di informazioni personali o finanziarie, link abbreviati non affidabili e indirizzi o link errati, come «amazan.com»⁶. Gli errori di ortografia non sono più un indizio affidabile: nell'era dell'intelligenza artificiale, alcune e-mail sono perfette sotto questo aspetto⁶.

Davanti a un messaggio dubbio che potrebbe essere vero, non clicchi su alcun link e non chiami alcun numero che contiene. Cerchi Lei stesso il sito dell'organismo, oppure digiti il suo indirizzo, e prenda i recapiti dal sito verificato⁶. Nell'esempio della CISA, un'e-mail annunciava un pagamento rifiutato e sollecitava ad accedere. L'utente caduto nella trappola ha consegnato la password e i dati della carta, e ha recuperato la maggior parte delle perdite solo dopo lunghe ore al telefono⁶.

Cybermalveillance.gouv.fr aggiunge che nessuna società o organizzazione seria chiederà mai la sua password per posta elettronica o per telefono, nemmeno per una «manutenzione» o un «intervento informatico». Se gliela chiedono, si trova di fronte a un tentativo di intrusione o di truffa¹. Un falso messaggio di violazione che richiede la sua password rientra in questo caso.

Per segnalare il messaggio, la CISA indica che di solito un'opzione si trova vicino all'indirizzo del mittente, oppure nel pulsante «segnala spam». Consiglia poi di eliminare il messaggio senza rispondere né cliccare, nemmeno su un link di disiscrizione⁶. L'NCSC britannico precisa che può indagare su indirizzi e siti fraudolenti e farli rimuovere, e che la segnalazione richiede un minuto⁷.

Il falso senso di sicurezza

Non figurare in una banca dati di violazioni consultata non dispensa dalle buone pratiche. La regola vale in ogni caso: una password diversa per ogni account, password lunghe e autenticazione a due fattori¹³⁵.

La password annotata nel posto sbagliato

Dopo un cambio, è facile voler conservare la nuova password in un file o in un messaggio. La CNIL sconsiglia i post-it, i file di testo, lo smartphone e la casella di posta, e di non registrarle mai nel browser di un computer condiviso⁵.