Come scoprire se le tue password sono trapelate

Aggiornamento 28/08/2026 · emailusaegetta.it

Controllare richiede un minuto e non costa nulla. La parte che quasi nessuno fa è la seconda: decidere cosa fare in base a cosa è effettivamente uscito.

Come funziona il controllo

Quando un servizio subisce un attacco, il database finisce spesso in circolazione. Alcuni progetti raccolgono queste raccolte pubbliche e le rendono consultabili. Il più noto è Have I Been Pwned: inserisci un indirizzo e ottieni l’elenco delle violazioni in cui compare, con la data e il tipo di dati esposti.

Ci sono altri due posti dove il controllo è già integrato e non devi fare nulla:

• Il browser. Chrome, Firefox, Edge e Safari confrontano le password salvate con gli elenchi noti e ti avvisano quando una compare.
• Il gestore di password. Quasi tutti hanno una sezione che segnala password trapelate, deboli o riutilizzate. È il controllo più utile perché copre tutti i tuoi account insieme.

Ma è sicuro inserire il proprio indirizzo?

È la domanda giusta da farsi, e la risposta è sì, con i servizi seri. L’indirizzo email non è un segreto: lo hai già dato a decine di siti. Quello che conta è che il servizio non chieda mai la password insieme all’indirizzo. Se te la chiede, è una trappola: chiudi la pagina.

Per il controllo delle password funziona un meccanismo elegante chiamato k-anonimato. Il tuo dispositivo calcola un’impronta della password e invia al servizio solo i primi caratteri di quell’impronta. Il servizio restituisce tutte le impronte che iniziano allo stesso modo — centinaia — e il confronto finale avviene sul tuo dispositivo. Chi gestisce il servizio non riceve mai la password né sa quale delle impronte ti riguardava.

Cosa fare, in base a cosa è uscito

Solo l’indirizzo email

Nessuna emergenza. Aspettati più spam e tentativi di phishing più mirati, perché chi scrive sa da quale servizio provieni. Se quell’indirizzo è diventato ingestibile, il percorso per sostituirlo è in la tua email è finita in una violazione.

Indirizzo e password

Questa è la situazione seria, e l’urgenza dipende da un solo fatto: quella password è usata anche altrove?

1. Cambia subito la password del servizio coinvolto.
2. Cambia la stessa password ovunque l’hai riutilizzata. Questo passaggio conta più di tutti gli altri, perché gli attacchi automatici provano le coppie trapelate su decine di altri siti.
3. Comincia dagli account che aprono gli altri: l’email principale, la banca, il gestore del telefono.
4. Attiva l’autenticazione a due fattori almeno su quelli. Con il secondo fattore attivo, una password trapelata da sola non basta più a entrare.
5. Controlla le sessioni attive nell’account coinvolto e chiudi quelle che non riconosci.

Indirizzo e dati personali

Nome, telefono, indirizzo di casa, ultime cifre di un documento. Nessuno di questi dati apre un account da solo, ma rende molto più credibili le truffe: chi ti chiama sa cose vere. Da qui in avanti tratta con diffidenza ogni telefonata o messaggio che ti chiede di confermare qualcosa, anche se cita dati corretti. I segnali sono gli stessi del phishing.

Meglio il monitoraggio del controllo occasionale

Un controllo fatto oggi dice qualcosa su ciò che è già pubblico oggi. Le violazioni emergono spesso mesi dopo il fatto. Conviene quindi impostare una sorveglianza continua:

• Attiva la notifica di Have I Been Pwned sull’indirizzo: ti scrive quando compari in una nuova raccolta.
• Tieni acceso l’avviso del browser o del gestore di password e non ignorarlo quando compare.
• Se hai più indirizzi, registrali tutti: quello secondario è spesso quello più esposto.

Gli account che avevi dimenticato

Un controllo tipico restituisce violazioni di servizi che non ricordavi nemmeno di aver usato: un forum di quindici anni fa, un negozio dove hai comprato una cosa sola. Sono proprio quelli il problema, perché contengono spesso la password che usavi allora — e che magari, con una piccola variazione, usi ancora.

Vale la pena dedicare mezz’ora a fare pulizia: cerca nella casella di posta le vecchie email di benvenuto, chiudi gli account che non usi più e cambia la password su quelli che non puoi chiudere. Ogni account chiuso è un posto in meno in cui i tuoi dati possono trapelare la prossima volta.

Le email che dicono «ho la tua password»

Prima o poi arriva: un messaggio che cita una tua password vera e minaccia di diffondere registrazioni imbarazzanti se non paghi in criptovaluta. Quasi sempre è un bluff costruito proprio sugli elenchi pubblici di cui parla questa guida: la password è vecchia, presa da una violazione di anni fa, e chi scrive non ha nient’altro.

Cosa fare: non pagare, non rispondere. Cambia quella password ovunque sia ancora in uso — questo è l’unico messaggio utile contenuto in quell’email — e cancella.

Come evitare che si ripeta

Non puoi impedire ai servizi di essere violati. Puoi fare in modo che una violazione riguardi un solo account: una password diversa per ogni sito, generata e ricordata da un gestore di password, e l’autenticazione a due fattori dove è disponibile. Con quelle due cose, la notizia di una violazione diventa una seccatura da cinque minuti invece che una giornata di panico.

Domande frequenti

Ogni quanto dovrei controllare?

Un controllo saltuario serve a poco, perché le violazioni diventano pubbliche mesi dopo essere avvenute. Meglio attivare un avviso automatico sull’indirizzo principale e reagire quando arriva, invece di affidarsi al fatto di ricordarsene.

Il mio indirizzo non risulta da nessuna parte: sono al sicuro?

Significa solo che non compare nelle violazioni note e catalogate. Molte non vengono mai rese pubbliche e altre emergono con anni di ritardo, quindi il risultato negativo è una buona notizia, non una garanzia.

Devo controllare anche gli indirizzi che non uso più?

Soprattutto quelli: sono collegati ad account vecchi, creati quando riutilizzavi le stesse password ovunque. Se un vecchio indirizzo risulta coinvolto, la cosa utile non è cambiargli la password ma chiudere gli account rimasti aperti.