Password trovata in una violazione di dati: cosa fare subito

Risposta immediata: l'avviso di Google o Apple significa che quella password compare in un elenco di credenziali finite online, non che il tuo account sia già stato violato. Cambiala subito sul sito indicato e su ogni altro account dove l'hai riutilizzata, partendo dalla posta elettronica. Poi attiva la verifica in due passaggi e controlla gli accessi recenti.

Cosa significa davvero l'avviso

Chrome, Android e il Gestore delle password di Google mostrano un messaggio quando una password salvata risulta compromessa. Su iPhone, iPad e Mac lo stesso compito lo svolge il monitoraggio delle password di Apple, che segnala le credenziali comparse in una fuga di dati. Il testo cambia da un sistema all'altro, il senso è lo stesso: quella combinazione di caratteri è presente in archivi di credenziali rubate che circolano in rete.

Il punto da capire è che il controllo riguarda la password, non il tuo account. Le possibilità sono tre:

• È trapelata da un altro sito: hai usato la stessa password su un forum, un negozio online o un'app che ha subito un attacco. Il sito indicato nell'avviso è solo quello dove la stai usando adesso.
• È troppo comune: password come un nome seguito dall'anno di nascita compaiono migliaia di volte negli elenchi, anche se tu personalmente non sei mai stato coinvolto. Per chi attacca il risultato non cambia: è tra le prime che prova.
• È stata rubata dal tuo dispositivo: un infostealer, cioè un programma che fruga nel browser e porta via le password salvate come un borseggiatore che svuota la tasca, può raccoglierle in blocco. È il caso più serio, perché coinvolge di solito molti account insieme.

Molti si chiedono come faccia Google a saperlo senza conoscere la password. La documentazione di sicurezza di Apple lo descrive nel dettaglio: il dispositivo calcola un'impronta crittografica della password e ne invia ai server solo un frammento di 15 bit. Il confronto finale avviene sul telefono. È un po' come chiedere in biblioteca tutti i libri di uno scaffale per poi cercare quello giusto a casa, senza dire a nessuno quale titolo ti interessa.

Perché non va ignorato: il credential stuffing

Chi possiede un elenco di e-mail e password trapelate non lo prova a mano. Usa programmi che inseriscono quelle coppie su centinaia di siti diversi: posta, banche, negozi, piattaforme di streaming, social. Si chiama credential stuffing, cioè la prova automatica delle tue credenziali su altri servizi, come un mazzo di chiavi provato su tutte le porte di un palazzo.

Se la password è stata usata solo su quel sito, il danno resta circoscritto. Se l'hai riutilizzata, anche con piccole varianti come un numero finale diverso, ogni account con la stessa chiave è esposto. Le varianti non aiutano molto: i programmi provano proprio le modifiche più frequenti.

Cosa fare subito, in ordine di priorità

Passo 1: apri il gestore di password da solo. Se l'avviso ti è arrivato per e-mail o SMS, non toccare i link. Apri tu Chrome, l'app Password o il sito passwords.google.com digitandolo a mano. La guida di Google al Controllo password consiglia proprio questo: verificare dalla pagina del controllo che la notifica sia autentica.

Passo 2: cambia la password della casella e-mail, se è coinvolta. Anche se l'avviso riguarda un altro sito, controlla se la stessa password protegge la tua posta. Chi entra nella tua e-mail può chiedere il ripristino della password di quasi tutti gli altri account. Per questo la posta viene prima di tutto il resto.

Passo 3: cambia la password sul sito indicato. Scegline una nuova, lunga e mai usata altrove. Il modo più semplice è farla generare dal gestore di password e lasciare che la ricordi lui.

Passo 4: cerca gli altri account con la stessa password. Sia Google sia Apple segnalano anche le password riutilizzate. Cambiale tutte, partendo da banca, servizi di pagamento, SPID e negozi dove hai salvato una carta.

Passo 5: attiva la verifica in due passaggi. Con un secondo fattore, per esempio un codice da un'app di autenticazione o una passkey, la password da sola non basta più per entrare. Gli SMS sono meglio di niente, le app e le passkey resistono meglio al phishing.

Passo 6: controlla chi è già entrato. Nelle impostazioni di sicurezza di Google, Apple, Microsoft e dei principali social trovi l'elenco dei dispositivi collegati e degli accessi recenti. Disconnetti quelli che non riconosci e verifica che e-mail e numero di recupero siano ancora i tuoi. Nella posta controlla anche le regole di inoltro automatico: è un trucco frequente per continuare a leggere i messaggi di qualcun altro.

Le password trapelate di rado viaggiano da sole: negli stessi archivi finiscono spesso nome, numero di telefono e indirizzo, e con questi dati un messaggio truffa diventa molto più credibile. Il tuo nome e il tuo indirizzo possono trovarsi anche nei profili dei broker pubblicitari e di indirizzi. Chiedi a quei broker di cancellare il tuo profilo, così resta meno materiale per il prossimo tentativo.

Dove trovare l'elenco delle password compromesse

I nomi delle voci cambiano leggermente con gli aggiornamenti. Se non le trovi, cerca "password" nelle impostazioni del dispositivo. Le password compromesse compaiono di solito in cima, separate da quelle deboli o riutilizzate.

Se le password non le salvi nel browser, nessun avviso automatico ti arriverà. In quel caso puoi confrontare una password con gli archivi noti tramite il controllo password di cancelladati.it, che fa il confronto in forma anonima, senza che la password venga inviata in chiaro.

Se l'account è già stato usato da qualcun altro

Alcuni segnali indicano che non si tratta più solo di un rischio: e-mail di conferma per acquisti che non hai fatto, password cambiata senza che tu lo sapessi, messaggi inviati a tuo nome, un dispositivo sconosciuto tra gli accessi. In questi casi:

• Usa la procedura di recupero ufficiale: Google, Apple, Microsoft e i grandi social hanno pagine dedicate per gli account compromessi. Cercale sul sito ufficiale, non tramite annunci nei risultati di ricerca.
• Avvisa subito la banca: se l'account contiene una carta o dà accesso a pagamenti, chiama il numero sul retro della carta e chiedi il blocco delle operazioni sospette.
• Denuncia se c'è un danno: per frodi, furti d'identità o ricatti puoi sporgere denuncia alla Polizia Postale. Conserva screenshot, e-mail e date.

L'azienda da cui è partita la fuga ha i propri obblighi. Secondo gli articoli 33 e 34 del GDPR deve notificare la violazione al Garante entro 72 ore da quando ne viene a conoscenza e, se il rischio per te è elevato, comunicartela direttamente. Se sai quale servizio è stato colpito, puoi anche chiedergli con una richiesta di accesso (art. 15) quali dati tuoi conservava.

Come evitare il prossimo avviso

Nessuno può impedire che un sito venga attaccato. Puoi però fare in modo che una fuga di dati resti un problema di un solo account. Il vademecum del Garante sulle password raccoglie le regole di base; in pratica contano soprattutto queste:

• Una password per ogni servizio: è l'unica regola che neutralizza il credential stuffing. Un gestore di password, quello del browser o uno dedicato, la rende sostenibile.
• Passkey dove possibile: la passkey sostituisce la password con una chiave legata al tuo dispositivo e sbloccata con impronta o volto. Non si può rubare da un database e non si può digitare su un sito falso.
• Chiudi gli account che non usi: un vecchio account dimenticato su un forum o un negozio online resta un archivio con la tua e-mail e una password, pronto per la prossima fuga.
• Fatti avvisare presto: più passa il tempo tra la fuga e il cambio della password, più a lungo la chiave resta valida nelle mani sbagliate.

Per sapere se il tuo indirizzo compare già in archivi noti puoi fare una verifica gratuita della tua e-mail. Per le fughe future c'è il radar del dark web: ricevi un avviso se la tua e-mail finisce in una nuova fuga di dati, anche quando la password non è salvata nel browser.

Oltre la password: i dati che restano in giro

Una password si cambia in un minuto. Nome, data di nascita, numero di cellulare e indirizzo di casa no. Sono proprio questi dati, uniti a un'e-mail trapelata, a rendere convincente un finto SMS del corriere o una telefonata che sembra arrivare dalla banca.

Una parte di queste informazioni non arriva da attacchi informatici, ma da un commercio legale: broker pubblicitari e di indirizzi come Acxiom, LiveRamp od Oracle (BlueKai) costruiscono profili con indirizzo, fascia d'età e abitudini d'acquisto. Quando manca una base giuridica, cioè di solito il tuo consenso, l'art. 17 del GDPR ti permette di chiederne la cancellazione. Farlo azienda per azienda richiede tempo e solleciti. Lascia a noi le richieste di cancellazione e i solleciti: scriviamo ai broker per tuo conto e torniamo a chiedere a chi non risponde. Il risultato dipende da ciascuna azienda, ma ogni profilo cancellato è un'informazione in meno a disposizione di chi prepara una truffa.

Lista di controllo

• Verifica l'avviso aprendo tu il gestore di password, senza link.
• Cambia per prima la password della casella e-mail, se coincide.
• Sostituisci la password su ogni account dove l'hai riutilizzata.
• Attiva la verifica in due passaggi o una passkey su posta, banca e SPID.
• Disconnetti i dispositivi sconosciuti e controlla gli inoltri della posta.
• Se più password risultano rubate insieme, fai una scansione antivirus del dispositivo.
• Chiudi gli account che non usi più.

Domande frequenti

L'avviso significa che qualcuno è entrato nel mio account?

No, non per forza. L'avviso dice che quella password compare in un elenco di credenziali finite online. Può essere trapelata da un altro sito dove l'hai usata, oppure essere così comune che la usano anche altre persone. Il rischio concreto è che qualcuno la provi sui tuoi account, per questo va cambiata subito.

Google o Apple vedono le mie password per fare il controllo?

Secondo la documentazione di Apple, al server arriva solo un piccolo frammento di un'impronta crittografica della password e il confronto finale avviene sul dispositivo. Anche Have I Been Pwned usa un metodo simile, la k-anonimità: invia solo i primi cinque caratteri dell'impronta e confronta il resto sul tuo computer.

Posso ignorare l'avviso se la password è vecchia?

Solo se quella password non la usi più da nessuna parte. Se l'hai riutilizzata, anche con piccole varianti, va cambiata su ogni account. Le vecchie credenziali trapelate restano negli elenchi per anni e vengono provate di continuo in modo automatico.

L'azienda da cui è partita la fuga deve avvisarmi?

Se la violazione presenta un rischio elevato per i tuoi diritti, l'art. 34 del GDPR obbliga l'azienda a comunicartela senza ingiustificato ritardo. Al Garante deve notificarla entro 72 ore. Spesso però la fuga viene scoperta mesi dopo, e l'avviso del gestore di password arriva prima della lettera dell'azienda.