Immagina una sera feriale: arriva un messaggio da un sito di biglietteria che hai usato l'ultima volta tre anni fa. L'oggetto dice «Importante: i tuoi dati potrebbero essere stati esposti». Ricordi a malapena quell'account, non hai idea di quale password avessi scelto, e il messaggio ha un grande pulsante con scritto «Metti al sicuro il tuo account». L'ora che segue conta più del resto della settimana, e la prima cosa da fare è lasciare in pace quel pulsante.
In breve: verifica l'avviso andando tu stesso sul sito dell'azienda, scopri quali tipi di dati sono stati sottratti, metti al sicuro la tua casella principale prima di tutto il resto, poi cambia la password trapelata ovunque l'hai usata e attiva l'autenticazione a due fattori o una passkey. Una violazione dei dati email significa che un'azienda che conservava il tuo indirizzo ne ha perso il controllo, di solito insieme ad altri dettagli. Non puoi annullare la fuga di dati. Puoi però fare in modo che resti un fastidio e non diventi un account rubato.
La prima ora, in ordine
L'ordine qui sotto nasce da un'idea sola: la tua casella può reimpostare quasi ogni altra password che hai, quindi va protetta prima dell'account che è stato davvero violato. I tempi sono indicativi. Se le password non facevano parte della fuga, puoi saltare i passaggi 4 e 5 e finire in un quarto d'ora.
- Non usare nulla di ciò che c'è nel messaggio (primi 2 minuti). Niente link, niente allegati, niente numeri di telefono presi dall'avviso. Gli avvisi di violazione falsi sono un seguito normale delle violazioni vere, e uno vero non perde nulla se ignori il suo pulsante.
- Verificalo in modo indipendente (5 minuti successivi). Scrivi tu l'indirizzo dell'azienda nel browser o usa un vecchio segnalibro, poi cerca un avviso di sicurezza o un banner. Cerca il nome dell'azienda insieme alla parola «violazione» e guarda se testate affidabili o l'azienda stessa ne parlano.
- Leggi cosa è stato sottratto (5 minuti successivi). L'avviso, il comunicato dell'azienda o un servizio di verifica elencheranno i tipi di dati. Password, dati della carta e documenti d'identità portano ciascuno a lavori diversi, e la tabella più avanti li riassume.
- Metti al sicuro la casella principale (15 minuti successivi). Dalle una password lunga che non usi da nessun'altra parte, esci dalle altre sessioni, attiva l'autenticazione a due fattori o una passkey e controlla le regole di inoltro e i dati di recupero. I passaggi per Gmail, Outlook e iCloud si trovano nella sezione sulla casella più sotto.
- Occupati della password trapelata (20 minuti successivi). Cambiala sul sito violato, passando dalla pagina di accesso di quel sito. Poi pensa a dove altro l'hai usata, o ne hai usata una simile, e cambia anche quelle, partendo da banca, operatore telefonico, archiviazione cloud e ogni negozio che conserva una carta salvata.
- Annota quello che hai fatto (ultimi 5 minuti). Segna l'azienda, la data, i dati coinvolti e le password che hai cambiato. Se tra tre mesi succede qualcosa di strano, quell'appunto ti dirà se le due cose sono collegate.
Se finisci il tempo o le energie, fermati dopo il passaggio 4. Una casella protetta lascia aperte quasi tutte le tue possibilità, perché chi non riesce a leggere la tua posta fa molta più fatica a reimpostare qualsiasi altra cosa.
L'avviso è vero?
Le aziende questi messaggi li mandano davvero, e in molti paesi sono tenute a farlo. Secondo l'articolo 34 del GDPR dell'UE, un'organizzazione deve informare le persone coinvolte senza ingiustificato ritardo quando è probabile che la violazione comporti un rischio elevato per loro, e ogni stato degli USA ha una propria legge sulla notifica delle violazioni, con presupposti diversi. Le regole cambiano, ed è per questo che puoi sentire un'azienda dopo pochi giorni e un'altra dopo mesi, o mai. La nostra panoramica sulle leggi sulla privacy delle email approfondisce l'aspetto legale.
I criminali sanno che la gente si aspetta questi messaggi. Ecco un esempio inventato del tipo di falso avviso da cui guardarti:
Esempio di falso avviso (inventato, a scopo illustrativo):
Oggetto: Incidente di sicurezza URGENTE sul tuo account
Gentile cliente, la tua password è stata esposta in un recente incidente. Il tuo account verrà chiuso entro 12 ore se non confermi la password attuale e il numero della carta con il pulsante sicuro qui sotto.
Tre cose tradiscono questo messaggio. Fissa una scadenza misurata in ore, chiede la tua password attuale e vuole un numero di carta, che nessuna procedura di reimpostazione seria richiede. Un avviso vero spiega cosa è successo e ti dice di cambiare la password sul sito. La nostra guida su come riconoscere le email di phishing passa in rassegna molti altri segnali, ma questi confronti coprono quelli specifici delle violazioni.
| Cosa guardare | Un avviso autentico tende a | Un avviso falso tende a |
|---|---|---|
| Istruzioni | Suggerire di cambiare la password sul sito, o dire che è stata imposta una reimpostazione | Spingerti con un pulsante verso una pagina di accesso |
| Dettagli | Indicare l'incidente, le date approssimative e i tipi di dati | Restare vago su ciò che è successo |
| Richieste | Non chiedere nulla di sensibile via email | Chiedere una password, un numero di carta o un codice inviato al telefono |
| Allegati | Includerne raramente | Includere un «rapporto» come ZIP, un documento con macro o un file come report.pdf.exe |
| Traccia pubblica | Corrispondere a un comunicato sul sito dell'azienda | Non avere alcuna traccia pubblica |
| Offerte | Può offrire un monitoraggio dell'identità tramite un fornitore indicato, con un codice da usare sul sito di quel fornitore | Pretendere una somma, o chiedere i dati bancari per versarti un risarcimento |
Un messaggio può anche superare tutti i controlli tecnici ed essere comunque indesiderato. In Gmail, il menu con i tre puntini ha la voce Mostra originale, che visualizza i risultati di SPF, DKIM e DMARC. Un dmarc=fail su un messaggio che dice di arrivare da una grande azienda è un forte campanello d'allarme. Un esito positivo ti dice soltanto che la posta arriva dal dominio mostrato, e quel dominio potrebbe essere un sosia registrato la settimana scorsa.
A volte gli avvisi arrivano da un nome che non riconosci, perché l'incidente è avvenuto presso un fornitore: un servizio di assistenza, una piattaforma di marketing o un gestore di pagamenti che lavora per un'azienda che conosci. In quel caso cerca una conferma da parte dell'azienda che conosci. Se non trovi nulla, puoi scrivere al suo supporto dalla sua pagina dei contatti e chiedere.
Leggi l'elenco dei dati: decide quanto lavoro ti aspetta
L'indirizzo email non è quasi mai solo. Se ti costerà dieci minuti o un pomeriggio dipende da cosa c'era accanto nella tabella rubata. Supponi che il sito di biglietteria del nostro esempio segnali «nomi, indirizzi email e password in forma di hash». Questo ti colloca nella terza riga qui sotto, con un po' del lavoro della seconda.
| Trapelato insieme al tuo indirizzo | Cosa può farci qualcuno | Cosa fare |
|---|---|---|
| Nient'altro | Inviare spam e phishing mirato, collegare i tuoi dati tra più violazioni, provare password riusate altrove | Diffida dei messaggi che citano quel servizio; valuta di spostare l'account su un altro indirizzo |
| Password in chiaro | Accedere subito a quel sito e provare la stessa coppia su altri | Cambiala ovunque sia stata usata, oggi stesso |
| Password con hash | Tentare di decifrarla offline; le password deboli e comuni cadono per prime | Trattala come se fosse in chiaro |
| Nome, numero di telefono, indirizzo di casa | Scrivere messaggi convincenti, fare telefonate truffaldine, tentare uno scambio di SIM (SIM swap) | Aggiungi un PIN o un blocco del trasferimento del numero presso il tuo operatore; fai attenzione a chiamate e SMS inattesi |
| Data di nascita, risposte di sicurezza | Abusare del recupero dell'account, superare controlli d'identità deboli | Sostituisci le risposte di sicurezza con risposte casuali salvate in un gestore di password |
| Dati parziali della carta | Dare credibilità alle truffe («vediamo la tua carta che termina con 1234») | Controlla gli estratti conto; chi ti chiama sapendo quelle cifre non ha dimostrato nulla |
| Numero completo della carta | Tentare acquisti fraudolenti | Chiama l'emittente al numero stampato sulla carta e chiedi la sostituzione |
| Numeri di documenti d'identità | Tentare una frode d'identità | Segui le indicazioni dell'autorità del tuo paese; vedi la sezione sui dati di identità più sotto |
| Indirizzo IP, dettagli del dispositivo | Stimare la tua posizione approssimativa, cucire addosso una truffa | Poco da fare direttamente |
| Messaggi o file privati | Estorcere o mettere in imbarazzo, esporre i dati di altre persone | Capisci cosa contenevano e chi altro è coinvolto; denuncia le estorsioni alla polizia |
Due parole su «hash», dato che le aziende lo usano per rassicurare. Un hash è un rimescolamento a senso unico della tua password, e la protezione che offre dipende dal metodo. Algoritmi lenti e con salt come bcrypt o Argon2 rendono costoso tentare, quindi una password lunga e casuale conservata così potrebbe non essere mai recuperata. Hash veloci come MD5 o SHA-1 senza salt possono essere attaccati a velocità enormi, e le password corte o comuni cadono in fretta con qualsiasi metodo. Un avviso raramente ti dà abbastanza elementi per giudicare, quindi cambia la password in ogni caso.
Cosa può fare un indirizzo trapelato da solo
«È stato coinvolto solo il tuo indirizzo email» suona come una buona notizia, e rispetto alla fuga di una password lo è. Un indirizzo non è un segreto, e nessuno entra nel tuo account solo con quello. Eppure cambia la tua posizione in alcuni modi che vale la pena capire.
Un indirizzo che arriva da un servizio vero è noto per appartenere a qualcuno che si iscrive alle cose, e questo lo rende più prezioso per gli spammer di uno indovinato. Gli elenchi vengono uniti e rivenduti, quindi un aumento dello spam può iniziare mesi dopo l'incidente e non avere un legame evidente con esso.
La fuga dice anche ai criminali dove hai un account. Un generico messaggio su un «problema con il tuo ordine» è facile da scartare. Uno che cita il negozio che usi davvero, ti saluta con il nome presente nella stessa fuga e arriva mentre quel negozio è sui giornali è molto più difficile da riconoscere. È questo il principale motivo pratico per restare all'erta per diverse settimane dopo un avviso.
Il tuo indirizzo funziona anche da chiave di collegamento. Supponi che una violazione lo colleghi a un nome utente di gioco, un'altra a un numero di telefono e una terza a una città di residenza. Chi li ha tutti e tre può allinearli sull'indirizzo in comune e costruire un profilo che nessuno ha mai consegnato in un colpo solo. Usare lo stesso indirizzo ovunque è ciò che lo rende possibile, ed è anche la parte che puoi cambiare.
E un indirizzo è metà della maggior parte degli accessi, il che porta all'attacco che rende care le violazioni.
Come una violazione ne diventa molte
Spesso il danno non avviene nell'azienda violata. Il credential stuffing è il test automatico di coppie di email e password trapelate su altri servizi. Le coppie di molte violazioni vengono raccolte in grandi «combo list», e alcuni strumenti le provano su provider di posta, negozi, servizi di streaming, piattaforme di gioco e archiviazione cloud. La maggior parte dei tentativi fallisce. Ne riescono abbastanza da rendere l'attività redditizia, perché un successo si può usare per comprare merce con una carta salvata, svuotare i punti fedeltà, spedire spam da un account di cui ci si fida o avviare reimpostazioni di password su servizi collegati.
Tutto dipende dal riuso. Prendi per esempio qualcuno che ha usato Harbour2019! sul sito di biglietteria, su un negozio e sulla propria email. La violazione della biglietteria espone una password e tre account. Se ogni sito avesse avuto una password casuale diversa, la stessa violazione avrebbe esposto un solo account, che la persona usa a malapena. Piccole modifiche non aiutano granché, perché gli strumenti degli attaccanti provano le variazioni ovvie: cambiare l'anno, aggiungere una cifra, sostituire il punto esclamativo.
Il password spraying è l'immagine speculare. Invece di provare una password nota per ogni persona, l'attaccante prova poche password molto comuni su un lungo elenco di indirizzi validi. La tua password non doveva essere trapelata perché funzionasse. Bastava che fosse comune, e la violazione ha fornito l'indirizzo.
Una fonte diversa di password rubate merita una menzione perché cambia il consiglio. Un malware noto come infostealer copia le password salvate e i cookie di accesso direttamente da un dispositivo infetto, e quei registri rubati circolano più o meno come i dati delle violazioni. Se una password che non hai mai riusato risulta esposta, o un account viene preso nonostante una password forte e nessuna violazione nota, la fonte potrebbe essere il tuo dispositivo. Analizzalo con un software di sicurezza affidabile e cambia le password da un dispositivo pulito, perché cambiare una password su un computer infetto può consegnare anche quella nuova.
Controllare la tua esposizione
Un avviso ti parla di una sola azienda. Per vedere il quadro più ampio usa più di una fonte, dato che nessun database copre ogni incidente.
Have I Been Pwned (haveibeenpwned.com), gestito dal ricercatore di sicurezza Troy Hunt, è il servizio di verifica più noto. Inserisci un indirizzo e ti elenca le violazioni note che lo contengono, con date e tipi di dati. La funzione di notifica ti scrive quando il tuo indirizzo compare in una violazione appena caricata, ed è utile da attivare una volta e dimenticare. Alcune violazioni considerate sensibili sono nascoste dalla ricerca pubblica e si vedono solo dopo aver dimostrato di essere proprietario dell'indirizzo. Mozilla Monitor offre una verifica simile e avvisi che usano i dati di Have I Been Pwned, e per gli avvisi continui serve un account Mozilla.
Un risultato vuoto non significa che sei al sicuro. Molte violazioni non vengono mai scoperte o non arrivano mai a questi servizi. Un lungo elenco, d'altra parte, non significa che sei nei guai, perché le voci vecchie riguardano spesso password che hai cambiato da tempo. Guarda le date e i tipi di dati, e agisci su tutto ciò che potrebbe essere ancora in uso.
Le verifiche sulle email richiedono solo il tuo indirizzo. Le password richiedono più cautela. Google Password Manager ha il Controllo password, l'app Password sui dispositivi Apple ha una sezione Sicurezza che segnala le password compromesse e riusate, e i gestori di terze parti hanno report simili, come Watchtower in 1Password e il report sulle password esposte in Bitwarden. Funzionano sul tuo elenco salvato, che è anche il modo più rapido per scoprire dove una password è stata riusata.
La funzione Pwned Passwords mostra come un controllo possa evitare di rivelare la password. Il tuo dispositivo calcola un hash SHA-1 della password e invia solo i primi cinque caratteri. Il servizio restituisce tutti gli hash trapelati che iniziano con quei caratteri, e il tuo dispositivo confronta il resto in locale. Il servizio non riceve mai la password e nemmeno il suo hash completo, un metodo chiamato k-anonymity.
Non digitare mai una password in un sito qualsiasi che offre di dirti se è stata violata. Gli strumenti integrati nel tuo gestore di password o nel browser vanno bene. Una pagina di verifica raggiunta da un'email o da una pubblicità potrebbe semplicemente raccogliere password.
Puoi anche imparare molto dalla tua stessa posta. Cerca nella casella parole come «benvenuto», «verifica la tua email», «conferma il tuo account» e «la tua password è stata cambiata». Ciò che esce è un elenco approssimativo dei servizi che hanno il tuo indirizzo, alcuni dei quali avrai dimenticato. Quell'elenco diventa utile nella sezione di pulizia più sotto.
Un controllo a fondo della casella
Cambiare la password non basta se qualcuno è già stato dentro. Chi entra in una casella spesso predispone qualcosa che sopravvive al cambio di password, quindi cerca queste quattro cose: sessioni aperte, inoltro, filtri e dati di recupero. I nomi dei menu cambiano nel tempo, ma i percorsi seguenti dovrebbero portarti vicino.
Gmail e account Google
In Gmail sul web, vai sull'icona a forma di ingranaggio, poi su Visualizza tutte le impostazioni. In Inoltro e POP/IMAP controlla se c'è un indirizzo di inoltro che non hai aggiunto tu, e in Filtri e indirizzi bloccati cerca regole che eliminano o inoltrano la posta. In basso a destra nella posta in arrivo, il link Dettagli sotto l'ultima attività dell'account mostra gli accessi recenti. Nel tuo Account Google, la pagina Sicurezza elenca i dispositivi, l'attività di sicurezza recente, il telefono e l'email di recupero e i collegamenti con terze parti. Esci da ogni dispositivo e rimuovi ogni app che non riconosci.
Outlook.com e account Microsoft
In Outlook sul web apri Impostazioni, poi Posta. Controlla Inoltro e Regole. Nel tuo account Microsoft vai su Sicurezza per rivedere l'attività di accesso e controlla quali metodi di verifica e quali app sono collegati.
Apple e iCloud Mail
Su un iPhone apri Impostazioni, tocca il tuo nome, poi Accesso e sicurezza per rivedere i numeri di telefono fidati e le opzioni di recupero. L'elenco dei dispositivi più in basso mostra tutto ciò che ha effettuato l'accesso al tuo Apple Account. Le regole e l'inoltro di iCloud Mail si possono controllare dalle impostazioni di Mail su iCloud.com.
Come appare una casella manomessa
Un indirizzo di inoltro che non hai aggiunto è il segnale più chiaro, perché invia in silenzio copie della tua posta, comprese le reimpostazioni di password, a qualcun altro. Subito dopo viene un filtro che manda nel cestino o in archivio i messaggi con parole come «sicurezza», «password» o il nome della tua banca. Messaggi inviati che non riconosci, un numero di telefono di recupero sconosciuto o un'app collegata che non hai mai approvato indicano tutti la stessa direzione.
Se trovi anche solo una di queste cose, considera la casella compromessa. Rimuovi l'elemento, cambia di nuovo la password da un dispositivo di cui ti fidi, esci da tutte le sessioni e poi guarda la posta stessa. Cerca messaggi di reimpostazione della password che non hai richiesto, perché mostrano quali altri account sono stati presi di mira. Il processo di recupero account del tuo provider è la strada giusta se sei stato bloccato fuori, e vi devi arrivare dalle pagine di aiuto del provider stesso. I risultati di ricerca per «numero di assistenza email» sono un noto terreno di caccia dei truffatori.
Scegliere un secondo fattore
L'autenticazione a due fattori ferma gran parte del credential stuffing, perché la sola password trapelata non basta più a entrare. I metodi però differiscono molto, e dopo una violazione conviene spostare i tuoi account importanti più in alto in questa tabella, dove puoi.
| Metodo | Quanto regge | Dove è debole |
|---|---|---|
| Codici via SMS | Molto meglio della sola password | Scambi di SIM; i codici possono essere digitati su un sito falso e inoltrati |
| Codici inviati per email | Deboli sugli account più importanti | Inutili se la casella stessa è compromessa, e senza senso per l'accesso alla casella |
| App di autenticazione (TOTP) | Buona, e non dipende dal tuo numero di telefono | I codici possono comunque essere carpiti con una pagina di accesso falsa ben fatta; tieni dei backup per quando cambi telefono |
| Approvazione con notifica push | Buona quando ti chiede di far corrispondere un numero | Senza la corrispondenza del numero, richieste ripetute possono stancare una persona fino a farle toccare Approva |
| Passkey o chiave di sicurezza fisica | L'opzione più forte per la maggior parte delle persone | Richiede un po' di configurazione e una seconda chiave o un dispositivo sincronizzato come backup; non è offerta ovunque |
In questo contesto le passkey meritano un'attenzione in più. Una passkey è una credenziale basata sulla crittografia a chiave pubblica e legata al dominio di un solo sito. Il sito conserva solo la metà pubblica, quindi una tabella di utenti rubata non contiene nulla con cui accedere al posto tuo. Nemmeno un sito di phishing sosia ottiene qualcosa, perché il tuo dispositivo non offre la credenziale al dominio sbagliato. Se il tuo provider di posta e la tua banca supportano le passkey, un avviso di violazione è un buon momento per crearne una. Qualunque metodo usi, salva i codici di recupero quando ti vengono offerti, nel gestore di password o su carta in un posto sicuro a casa.
Quando sono coinvolti dati di pagamento o di identità
Una semplice fuga di email e password non richiede niente di tutto questo. Se l'elenco include numeri completi di carta, dati bancari o numeri di documenti d'identità, i passi successivi dipendono da dove vivi e da cosa offre l'azienda.
Per le carte, chiama l'emittente al numero stampato sulla carta e chiedi se va sostituita. Controlla gli estratti conto recenti per piccoli addebiti di prova, che spesso precedono quelli più grandi. Se l'azienda offre un monitoraggio gratuito dell'identità, puoi accedervi dal suo sito ufficiale, e sappi che il monitoraggio segnala i problemi solo dopo che sono iniziati.
Negli Stati Uniti, il blocco del credito (credit freeze) è lo strumento gratuito più forte. La legge federale rende gratuito bloccare e sbloccare la tua scheda presso ciascuno dei tre uffici di credito nazionali (Equifax, Experian e TransUnion), e un blocco di norma impedisce che vengano aperti nuovi crediti a tuo nome finché non lo togli. Devi contattare ogni ufficio separatamente. Un avviso di frode è un'opzione più leggera che chiede ai finanziatori di verificare la tua identità, dura un anno, e se lo imposti presso un solo ufficio viene trasmesso agli altri. Se la tua identità è stata usata in modo illecito, il sito IdentityTheft.gov della FTC produce un piano di recupero e un rapporto da usare con banche e uffici di credito.
Altrove le opzioni sono diverse. Nel Regno Unito puoi controllare la tua scheda presso le agenzie di informazione creditizia e chiedere alla tua banca cosa consiglia, e la registrazione protettiva a pagamento è offerta dal servizio di prevenzione delle frodi Cifas. Nell'UE e in molti altri paesi, contatta la tua banca e leggi le indicazioni dell'autorità nazionale per i consumatori o per la protezione dei dati. Se è stata copiata la scansione di un passaporto o di una carta d'identità nazionale, l'autorità che l'ha emessa può dirti se è opportuno sostituirla.
Un numero di telefono trapelato ha un rimedio suo. Chiedi al tuo operatore mobile un PIN dell'account, un PIN per il trasferimento del numero o un blocco del numero, a seconda di come lo chiama. Rendono più difficile la frode con scambio di SIM, in cui un attaccante convince un operatore a spostare il tuo numero sulla sua SIM e poi riceve i tuoi codici via SMS. Gli operatori offrono cose diverse, quindi chiedi direttamente.
Situazioni imbarazzanti
Una violazione in un sito che non hai mai usato
Le spiegazioni possibili sono diverse. Qualcuno potrebbe aver digitato male il tuo indirizzo o averlo usato di proposito, i dati potrebbero arrivare da un fornitore che lavora per l'azienda citata, la fuga potrebbe essere un elenco raccolto o unito da più fonti, oppure potresti semplicemente aver dimenticato un account di anni fa. Per scoprirlo usa la funzione «password dimenticata» sul sito ufficiale. Se arriva una reimpostazione, un account esiste, e puoi metterlo in sicurezza o chiuderlo. Se non l'hai creato tu, contatta l'azienda, perché al tuo indirizzo potrebbero essere associati i dati di qualcun altro.
Una vecchia password che non usi più
È una buona notizia, a patto che «non la uso più» sia vero ovunque. Gli account dimenticati tendono a tenersi le vecchie password, e anche ogni nuova password costruita sullo stesso schema merita di essere cambiata. Cercala nel tuo gestore di password, se ne hai uno.
Un'email di estorsione che cita la tua password
Questa truffa è comune, e la prima volta fa paura. Il mittente cita come prova una tua vera vecchia password, sostiene di averti registrato con la webcam e pretende criptovaluta. Nel caso tipico la password viene da un elenco di violazioni e non esiste nessuna registrazione. Non pagare e non rispondere. Cambia quella password ovunque la usi ancora, segnala il messaggio e blocca il mittente. Se il messaggio contiene materiale privato vero o una minaccia che prendi sul serio, conservane una copia e rivolgiti alla polizia.
Il tuo indirizzo di lavoro era nella violazione
Avvisa il tuo reparto IT o sicurezza, anche se ti sembra una cosa da poco. Potrebbero voler controllare il riuso rispetto ai sistemi aziendali, reimpostare le credenziali o tenere d'occhio il phishing mirato. Controlla la politica del tuo datore di lavoro prima di iscriverti a servizi di monitoraggio con un indirizzo di lavoro, e d'ora in poi tieni gli account personali su un indirizzo personale.
Un genitore o un parente ha ricevuto l'avviso
Segui con loro lo stesso ordine, concentrandoti sulla loro casella principale e sulle password riusate. I parenti più anziani sono bersagli frequenti di telefonate successive che citano la violazione, quindi una regola utile da concordare è che nessuna azienda vera chiederà loro di leggere un codice a voce. Se un interlocutore dice il contrario, possono riattaccare e richiamare a un numero stampato su una carta bancaria o su un estratto conto.
Un messaggio su un accordo o un risarcimento
Dopo grandi violazioni potresti ricevere messaggi su azioni collettive o piani di risarcimento. Alcuni sono autentici, altri sono imitazioni costruite per raccogliere dati bancari. Verifica l'accordo su una pagina ufficiale di un tribunale, di un'autorità di controllo o dell'azienda prima di compilare qualsiasi cosa. Non pagare una somma per ricevere un risarcimento.
Nelle settimane successive
Quando la parte urgente è passata, una violazione è una buona scusa per sistemare ciò che l'ha resa pericolosa. Niente di tutto questo deve avvenire in una volta sola.
Inizia con un gestore di password, se non ne usi uno. Genera una password casuale per ogni sito, e rifiuterà di compilare su un dominio sosia, il che ti dà anche un po' di protezione dal phishing. Scegli un prodotto noto, proteggilo con una passphrase lunga e un secondo fattore, e sposta per primi gli account più importanti. Gli altri possono seguire man mano che ci accedi. Le linee guida NIST sull'identità digitale sconsigliano di imporre cambi di password periodici fine a sé stessi e consigliano invece di controllare le password rispetto alle fughe note, quindi non devi cambiare tutto a scadenza fissa. Cambia ciò che è esposto, debole o riusato.
Poi passa in rassegna l'elenco degli account dimenticati che hai ricavato dalla ricerca nella casella. Ogni account dormiente è un dato conservato in attesa del prossimo incidente. Accedi, togli dal profilo ciò che puoi, elimina ogni carta salvata e chiudi l'account. Dove non c'è un pulsante per eliminare, scrivi al contatto privacy indicato nell'informativa sulla privacy del sito. In base al GDPR e ad altre leggi, tra cui quella californiana, molte persone hanno il diritto di chiedere la cancellazione, anche se l'azienda può conservare i registri che è tenuta a mantenere, e questi diritti dipendono da dove vivi.
Poi vengono le domande di sicurezza. «Cognome da nubile della madre» e «prima scuola» si trovano spesso nei dati delle violazioni o sui social. Dove un sito ti obbliga a usarle, dai una risposta casuale e salvala nel gestore di password come se fosse una password.
Infine, continua a prestare attenzione per un po'. I dati trapelati continuano a circolare per anni, e il phishing mirato arriva spesso molto dopo che i titoli dei giornali si sono spenti. Lascia attivi gli avvisi sulle violazioni, guarda il report del tuo gestore di password ogni qualche mese e fidati con lentezza di qualsiasi messaggio che cita il servizio violato.
Rendere più piccola la prossima violazione
Non hai alcun controllo sulla sicurezza di un'azienda. Controlli però quanto conserva di te e fin dove può diffondersi una fuga a partire da quel singolo record. L'obiettivo è che ogni futuro avviso significhi un rapido controllo della password e nient'altro.
Dividi i tuoi indirizzi per livello di fiducia
Il cambiamento singolo più utile è smettere di dare lo stesso indirizzo a tutti. Una semplice impostazione a tre livelli copre la maggior parte delle persone, e il nostro articolo su come costruire una strategia personale per le email la illustra passo passo.
| Livello | Da usare per | Tipo di indirizzo | Cosa costa una violazione |
|---|---|---|---|
| Principale | Banca, pubblica amministrazione, sanità, lavoro, gestore di password, account social principali | Un indirizzo di lungo periodo con una forte protezione dell'accesso, condiviso di rado | Serio, ma questo livello dovrebbe trapelare raramente, perché poche aziende lo conoscono |
| Quotidiano | Negozi, abbonamenti, servizi che tieni per anni | Una seconda casella, o alias che inoltrano alla tua casella | Contenuto; puoi spegnere o filtrare un singolo alias |
| Una tantum | Un singolo download, un modulo che non userai più, la prova della tua pagina di registrazione | Una casella temporanea, se i termini del sito lo permettono | Piccolo; l'indirizzo non è legato al tuo nome e la casella non esiste più |
L'indirizzo con il segno più (plus addressing), come name+shop@example.com, sta da qualche parte nel mezzo. Funziona con Gmail e Outlook.com e può mostrarti chi ha fatto trapelare o venduto il tuo indirizzo. Non nasconde nulla, perché chiunque può cancellare l'etichetta e vedere l'indirizzo di base, e gli strumenti degli attaccanti fanno esattamente questo. Gli alias di inoltro, come quelli di iCloud+, Proton o Firefox Relay, nascondono davvero l'indirizzo reale, dato che nell'alias nulla riporta a lui. Qui gli acquisti meritano una riflessione particolare, perché i database dei negozi conservano insieme indirizzi email, numeri di telefono e indirizzi di casa. La nostra guida sulla privacy dell'email negli acquisti online tratta questo caso, compreso come conservare le ricevute.
Dove aiuta una casella temporanea
Una casella temporanea è adatta a una singola azione su un sito con cui non hai un rapporto duraturo, per motivi di privacy, e dove i termini del sito lo consentono. VookMail è uno di questi servizi: un indirizzo è pronto appena la pagina si carica, senza registrazione né password. Puoi premere Nuovo per scrivere un nome utente e scegliere uno tra più di 30 domini, oppure premere il pulsante giallo Casuale per un indirizzo casuale. Messaggi, allegati e indirizzi vengono eliminati dopo circa un giorno.
È quella vita breve a limitare una violazione futura. Se un sito visitato una volta in seguito fa trapelare la sua tabella di utenti, l'indirizzo in quella tabella porta a una casella che non contiene più nulla e non ha alcun legame con il tuo nome, il tuo telefono o la tua casella principale. Qualsiasi password che hai creato lì conta comunque, quindi falla unica. Anche i dati inseriti nel profilo sono esposti, ed è un buon motivo per compilare solo ciò che il modulo richiede.
I limiti sono altrettanto chiari. Chiunque conosca o indovini un indirizzo temporaneo può aprire quella casella, quindi un indirizzo casuale è la scelta più sicura e lì dentro non deve stare nulla di privato. Non puoi ricevere in modo affidabile una reimpostazione di password settimane dopo, quindi è lo strumento sbagliato per qualsiasi account di cui potresti avere ancora bisogno, e non va mai usato per banca, servizi pubblici, sanità, lavoro o i tuoi account social principali. Alcuni siti rifiutano i domini usa e getta. Spetta a loro deciderlo, e la risposta giusta è rispettarlo e dare loro un indirizzo permanente o un alias. I nostri termini e condizioni vietano inoltre di usare il servizio per frodi, abusi o per aggirare un blocco.
Consegna meno fin dall'inizio
Il danno dipende da ciò che era conservato. Lascia vuoti i campi facoltativi. Evita di salvare una carta su un sito che usi di rado. Fai attenzione ai pulsanti «Accedi con» su servizi di cui non ti fidi del tutto, e guarda l'accesso al profilo che richiedono. Rifiuta di dare un numero di telefono a meno che un sito non ne abbia davvero bisogno per la sicurezza. Una data di nascita che un sito vuole solo per un buono compleanno è un dato che puoi semplicemente tenere per te, dove il modulo lo permette.
Due luoghi diversi custodiscono i tuoi dati
Aiuta distinguere due tipi di incidente che spesso vengono messi nello stesso sacco. Quando un servizio viene violato, l'attaccante ottiene ciò che quel servizio conservava: il tuo indirizzo, il profilo e tutto il resto che c'era nel suo database. Quando è la tua casella a essere compromessa, l'attaccante ottiene altro, cioè ogni messaggio che hai conservato, comprese vecchie ricevute, link di reimpostazione delle password, documenti scansionati e conversazioni private.
Il secondo caso di solito è peggiore, ed è per questo che questa guida continua a rimandarti alla casella. Suggerisce anche un'abitudine modesta: non ti servono dieci anni di posta di poco valore nel tuo account principale. Eliminare vecchie notifiche di spedizione e newsletter riduce ciò che una casella compromessa può rivelare, e salvare i documenti importanti in un posto sicuro, con una protezione propria, costa poco.
Le caselle temporanee stanno all'estremo opposto di questa idea. Su VookMail, i record MX di ogni dominio puntano a un provider di consegna della posta, che riceve il messaggio via SMTP e lo inoltra al servizio via HTTPS. Poiché messaggi e allegati vengono rimossi dopo circa un giorno, non si accumula nessun lungo archivio. Come il servizio tratta i dati è spiegato nell'informativa sulla privacy e nella pagina sulla metodologia.
Come è avvenuta la violazione, e perché ti riguarda
Le aziende non sempre spiegano la causa nei dettagli, ma quando lo fanno, può dirti cosa aspettarti.
- Una compromissione del database, per un difetto come l'SQL injection o un server non aggiornato, di solito significa che la tabella degli utenti è stata copiata in blocco. Aspettati indirizzi e hash delle password, e dai per scontato che i dati verranno scambiati.
- Un archivio configurato male significa che un database o un bucket cloud è stato lasciato aperto su internet. Può darsi che nessuno abbia «hackerato» nulla, e l'azienda potrebbe non sapere chi l'ha scaricato, quindi l'unica risposta onesta a «i miei dati sono stati presi?» può essere «non possiamo dirlo».
- Un incidente presso un fornitore significa che è stata compromessa una piattaforma di marketing, un servizio di assistenza o uno strumento di analisi. Spiega gli avvisi che arrivano da nomi che non riconosci, e di solito espone dati di contatto e ticket di assistenza più che password. Può esserci incluso tutto ciò che hai scritto in un ticket, quindi ripensa a cosa hai inviato.
- Lo scraping raccoglie su larga scala dati di profilo pubblici o semipubblici attraverso un sito o un'API. A volte le aziende sostengono che non sia una violazione, ma il tuo indirizzo finisce comunque in un insieme di dati scambiato.
- L'abuso da parte di un interno significa che un dipendente o un collaboratore ha esportato dati che non doveva. Spesso è mirato, quindi i messaggi successivi insoliti e personali meritano più sospetto.
Errori facili da fare sotto pressione
Il più comune è cambiare solo la password del sito violato e lasciare la stessa sulla tua email e sugli account dei negozi. Subito dopo viene una piccola variazione della vecchia password. Passare da Summer2024! a Summer2025! costa a uno strumento di cracking quasi nessuno sforzo in più.
Le persone tendono anche a fermarsi a una sola modifica. Saltano le regole di inoltro, ed è così che chi era dentro prima del cambio di password continua a ricevere la posta anche dopo. Affidarsi ai codici via SMS quando sono disponibili un'app di autenticazione o una passkey lascia un buco sugli account critici, anche se gli SMS restano meglio di niente dove sono l'unica scelta.
Poi c'è l'errore opposto: trattare ogni avviso come un'emergenza. Se è trapelato solo il tuo indirizzo da un account che puoi semplicemente chiudere, non devi sostituire il tuo indirizzo email, e non devi pagare per un prodotto di monitoraggio perché è comparsa una pubblicità spaventosa. Conserva le energie per i casi in cui erano coinvolti una password, una carta o un numero di documento.
Domande che sorgono dopo un avviso
Devo eliminare il mio account email?
Di solito no. Il tuo indirizzo principale è legato a anni di reimpostazioni di password e contatti, e abbandonarlo crea rischi suoi, perché un account dimenticato può essere difficile da recuperare. Proteggilo invece, e smetti di darlo a siti di cui ti fidi poco. Un nuovo indirizzo ha senso solo se il vecchio è irrimediabilmente esposto, e in quel caso devi spostare i tuoi account gradualmente e tenere aperto il vecchio per un po'.
L'azienda dice che le password erano cifrate. Devo cambiare comunque la mia?
Sì. Senza sapere il metodo e se sono state sottratte anche le chiavi, non puoi giudicare la protezione, e cambiare una password richiede meno tempo che scoprirlo. Cambiala anche ovunque altro l'hai usata.
Un indirizzo temporaneo può impedire una violazione?
Nessuno strumento impedisce che un'azienda venga violata. Un indirizzo temporaneo cambia ciò che la violazione rivela di te. Se un forum a cui ti sei iscritto in quel modo fa trapelare la sua tabella di utenti, l'indirizzo trapelato non ha alcun legame con la tua identità, purché tu non abbia inserito nient'altro che ti identifichi.
Ogni quanto devo controllare?
Attiva gli avvisi, così il controllo avviene senza di te. Un'occhiata manuale al report del tuo gestore di password ogni qualche mese basta e avanza, più una in più quando un servizio che usi finisce sui giornali.
Pagare per il monitoraggio del dark web serve?
Dipende da cosa stai comprando. Questi prodotti per lo più segnalano che i tuoi dati sono comparsi da qualche parte, cosa che in gran parte puoi scoprire gratis con i servizi di verifica citati sopra. Un'assicurazione sull'identità o un aiuto al recupero possono servire un po' se i dati del tuo documento d'identità sono stati esposti, quindi leggi cosa copre davvero il piano prima di pagare.
A chi devo segnalarlo?
Di norma non devi segnalare la violazione di un'azienda, perché l'azienda ha i suoi obblighi verso le autorità. Segnalala se hai perso denaro o subisci un'estorsione: prima alla tua banca, poi alla polizia o al servizio nazionale per le segnalazioni di frodi. Nell'UE e nel Regno Unito puoi presentare reclamo alla tua autorità per la protezione dei dati se un'azienda gestisce male l'incidente o ignora le tue richieste.
Per saperne di più su come funzionano le caselle temporanee e per quanto tempo vengono conservati i messaggi, consulta le FAQ di VookMail.