Ogni poche settimane, quest’anno, è arrivato un altro titolo su una violazione di dati. L’istinto è sentirsi vagamente esposti e poi non fare nulla, perché non è chiaro nemmeno cosa significhi “esposti” per te personalmente. C’è un modo rapido per trasformare quella preoccupazione vaga in una risposta precisa: verificare se il tuo indirizzo email o la tua password compaiono in una violazione nota, usando uno strumento gratuito creato esattamente per questo. Ecco come farlo correttamente e — la parte che la maggior parte delle persone salta — cosa fare davvero una volta ottenuti i risultati.

Che cos’è davvero Have I Been Pwned

Have I Been Pwned (HIBP) è un servizio gratuito per cercare dati provenienti da violazioni, creato e gestito dal ricercatore di sicurezza Troy Hunt. Funziona raccogliendo dati da violazioni già avvenute — comunicati delle aziende, ricercatori di sicurezza, talvolta set di dati rubati che circolano pubblicamente — e indicizzando quali indirizzi email e password vi compaiono, così puoi effettuare una ricerca senza dover scaricare nulla. Non è uno strumento governativo, ma è considerato affidabile dai governi: a partire da quest’anno viene utilizzato da 47 governi nazionali per monitorare l’esposizione dei propri domini ufficiali, con il Nepal come adesione più recente. È un segnale ragionevole del fatto che si tratti di un servizio legittimo e ampiamente utilizzato, non di un sito-trappola — e questo è importante, perché esistono cloni e siti simili che controllano le violazioni (ne parleremo più avanti).

Passaggio 1: controlla ogni indirizzo email che usi davvero

Vai direttamente su haveibeenpwned.com — digita tu stesso l’URL invece di fare clic su un link ricevuto via email o mostrato in una pubblicità. Inserisci il tuo indirizzo email ed esegui la ricerca. Fallo per ogni indirizzo che usi, non solo per quello principale: il vecchio account Hotmail o Yahoo di dieci anni fa, l’email di lavoro, l’indirizzo usa e getta con cui ti sei registrato ai forum. Sono spesso gli account vecchi e quasi dimenticati a trovarsi nelle violazioni più datate e meno protette e, se hai mai riutilizzato una password di uno di questi account altrove, è proprio quel riutilizzo il rischio concreto.

Passaggio 2: leggi che cosa ha effettivamente esposto la violazione — non limitarti a guardare il numero

Vedere “questa email è comparsa in 6 violazioni” non è, di per sé, utile. Apri ciascuna violazione. HIBP indica quali categorie di dati sono state esposte da quella specifica violazione — per esempio indirizzi email, password (di solito memorizzate come hash, talvolta in chiaro, a seconda di quanto male l’azienda abbia gestito la sicurezza), nomi, numeri di telefono, indirizzi fisici o indirizzi IP. Una violazione che ha fatto trapelare solo il tuo indirizzo email in una lista di marketing è un problema diverso da una che ha fatto trapelare la tua email, una password in chiaro e il tuo indirizzo di casa. Dai la priorità a ciò che è stato effettivamente sottratto, non a quanto sia noto il nome della violazione.

Tieni inoltre presente che HIBP mantiene una categoria separata per le violazioni “sensibili”: siti in cui il fatto stesso di risultare iscritti è sensibile (per esempio servizi per adulti o relativi alla salute). Queste non vengono mostrate nei risultati predefiniti; devi scegliere esplicitamente di visualizzarle. È una scelta deliberata a tutela della privacy da parte di HIBP, non un problema tecnico.

Passaggio 3: controlla le password separatamente dalla tua email

HIBP dispone di un secondo strumento distinto, chiamato Pwned Passwords, che risponde a una domanda diversa: questa specifica password è mai comparsa in un insieme di dati provenienti da una violazione, indipendentemente dal sito a cui era associata? È importante perché una password può essere compromessa anche se il tuo account specifico non era quello violato — se hai usato la stessa password altrove e quel sito è stato colpito. Lo strumento è progettato in modo che tu non trasmetta mai la password completa per verificarla: usa una tecnica (k-anonimato) in cui viene inviato solo un breve frammento dell’hash della password e la corrispondenza avviene senza che HIBP veda mai l’intera password. In pratica, il punto essenziale è più semplice del meccanismo: è sicuro controllare una password lì, ma non digitare mai una password reale in un altro sito di “controllo delle violazioni” che non sia HIBP stesso.

Cosa fare davvero con i risultati

Questo è il passaggio che le persone saltano: controllano, si allarmano per un attimo e chiudono la scheda. Segui questo elenco per qualsiasi elemento risultato compromesso:

  • Password indicata come esposta: Cambiala subito su quel sito specifico — e su ogni altro sito in cui hai usato la stessa password o una simile. Sii onesto con te stesso: il riutilizzo delle password è il motivo principale per cui oggi una vecchia violazione si trasforma in più account compromessi.
  • Qualsiasi account con una password esposta: Attiva l’autenticazione a due fattori (2FA) oppure, se disponibile, passa a una passkey. È questo il passaggio che limita davvero i danni se una password dovesse trapelare di nuovo in futuro — ed è più duraturo di qualsiasi singola modifica della password.
  • Le domande o risposte di sicurezza facevano parte della violazione: D’ora in poi considera quelle specifiche risposte permanentemente pubbliche. Non riutilizzare altrove la risposta reale; se il sito lo consente, sostituiscila con una stringa casuale memorizzata in un gestore di password invece di usare un vero dato su di te.
  • Dati finanziari, numeri di documenti d’identità o SSN facevano parte della violazione: Questo va oltre il semplice cambio della password. Contatta le principali agenzie di informazioni creditizie per valutare il blocco del credito o un avviso di frode e controlla nei mesi successivi gli estratti conto di quell’account per individuare attività insolite.
  • La violazione è vecchia e da allora hai già cambiato la password: Probabilmente non devi fare altro — ma vale la pena verificare di non aver mai trasferito quella vecchia password a un account più recente.
  • Hai trovato diverse password vecchie e riutilizzate: È il momento di iniziare a usare un gestore di password per generare e memorizzare password uniche d’ora in poi, così questo esercizio non dovrà trasformarsi di nuovo in un’emergenza l’anno prossimo.

Imposta gli avvisi, così non dovrai farlo manualmente per sempre

HIBP offre un abbonamento gratuito “avvisami”: registra i tuoi indirizzi email e ti invierà automaticamente un’email se dovessero comparire in una futura violazione, invece di affidarsi al fatto che tu ti ricordi di controllare. Vale la pena farlo per ogni indirizzo email cercato nel Passaggio 1: trasforma un controllo una tantum in una copertura continua senza alcuno sforzo ricorrente da parte tua.

Cosa non può dirti questo strumento

È importante essere onesti sui limiti. HIBP può segnalare solo le violazioni che sono state scoperte, divulgate e caricate nel suo database: non ha visibilità sui dati che sono stati rubati ma non ancora trovati, venduti privatamente o presenti in raccolte di stealer log che non sono mai diventate pubbliche. Un risultato pulito (“buone notizie — nessuna violazione trovata!”) significa che nessuna violazione pubblica *nota* include quell’indirizzo email; non garantisce che i tuoi account siano intatti e non sostituisce le pratiche di base, come usare password uniche e la 2FA. Considera una ricerca pulita come un singolo dato, non come un certificato di buona salute.

Un’ultima cosa: fidati solo del sito vero

Poiché l’ansia per le violazioni è qualcosa che i truffatori sfruttano, fai attenzione a dove esegui il controllo. Usa direttamente haveibeenpwned.com, non un link inoltrato via email o SMS che sostiene di essere un “avviso di violazione”: è un classico schema di phishing. Il legittimo strumento di controllo delle password non ha mai bisogno della password completa per funzionare; se un sito ti chiede di digitare una password intera per “verificare se è stata violata”, è un segnale d’allarme, non una funzione.

Checklist rapida

  • Cerca ogni indirizzo email che hai usato regolarmente su haveibeenpwned.com
  • Apri ogni risultato della violazione e leggi quali dati sono stati effettivamente sottratti
  • Controlla le password che usi più spesso nello strumento separato Pwned Passwords
  • Cambia ogni password esposta, ovunque tu l'abbia riutilizzata
  • Attiva l'autenticazione a due fattori o le passkey sui tuoi account importanti, soprattutto sull'email
  • Blocca il credito se sono stati esposti dati finanziari o documenti d'identità
  • Iscriviti alle notifiche gratuite sulle future violazioni per ogni indirizzo email
  • Inizia a usare un gestore di password, se non lo hai già fatto