Come verificare se la tua e-mail è finita in un data breach

Un data breach, cioè una violazione di dati, si verifica quando le informazioni custodite da un'azienda vengono esposte o rubate: per un attacco, per un server configurato male o per opera di qualcuno che lavora dall'interno. Tra i dati trapelati ci sono spesso gli indirizzi e-mail, a volte insieme a nomi, numeri di telefono, date di nascita e password. Le password possono essere salvate in chiaro oppure in forma di hash, e gli hash delle password deboli si riescono spesso a decifrare.

Il tuo indirizzo e-mail è il filo che collega questi dati. Chi attacca lo usa per provare le password trapelate su altri servizi, per scrivere messaggi di phishing credibili che citano un servizio che usi davvero e per prendere di mira le procedure di reimpostazione della password. Sapere quali violazioni includono il tuo indirizzo ti dice quali password cambiare e che tipo di messaggi truffa aspettarti.

Comparire in una violazione non significa che la tua casella sia stata violata. Significa che un servizio in cui hai usato quell'indirizzo ha perso dei dati collegati ad esso. Il rischio reale dipende da ciò che è stato esposto e dal fatto che tu abbia usato la stessa password altrove.

Un servizio gratuito molto diffuso è Have I Been Pwned, creato da un ricercatore di sicurezza indipendente. Raccoglie i dati delle violazioni note pubblicamente e ti permette di inserire un indirizzo e-mail per vedere quali incidenti lo includevano e quali tipi di dati sono stati esposti. Non mostra le password trapelate e puoi iscriverti per ricevere un avviso se il tuo indirizzo comparirà in una violazione futura.

Molti gestori di password, compresi quelli integrati nei prodotti Google, Apple e Microsoft, possono inoltre avvisarti quando una password salvata compare nei dati di violazioni note. Anche alcuni provider di posta e di sicurezza offrono un monitoraggio simile. Questi controlli sono utili perché guardano le tue password vere, non solo il tuo indirizzo.

Fai attenzione a quali servizi di verifica affidarti. Un servizio legittimo ha bisogno solo del tuo indirizzo e-mail e non ti chiede mai la password della posta. Evita i siti che chiedono un pagamento per mostrarti i risultati o ti fanno installare software, e ignora i messaggi non richiesti che dicono che i tuoi dati sono stati diffusi e ti spingono a cliccare su un link. Non cercare mai di procurarti da solo i database trapelati: maneggiarli è rischioso, dove vivi può essere illegale ed è uno dei modi più comuni per diffondere malware.

Un risultato elenca di solito ogni violazione con il nome del servizio, il momento in cui è avvenuta e i tipi di dati coinvolti. Concentrati sui tipi di dati. Un indirizzo e-mail e un nome esposti aumentano soprattutto il rischio di phishing. Password, domande di sicurezza o numeri di telefono esposti richiedono invece di intervenire sui tuoi account.

Anche le violazioni vecchie contano se hai usato la stessa password altrove, magari tanto tempo fa, perché chi attacca continua a provare vecchie combinazioni. Se non ricordi quale password avevi su un servizio violato, parti dal presupposto che fosse una di quelle che riutilizzi e cambiala ovunque compaia.

Un risultato pulito è una buona notizia, ma non un via libera totale. Non tutte le violazioni diventano pubbliche e alcune vengono scoperte molto tempo dopo. Password uniche e autenticazione a due fattori ti proteggono che una violazione sia stata segnalata o no.

Cambia la password del servizio violato, se hai ancora l'account, e poi quella di ogni altro account in cui hai usato la stessa password o una simile. Parti dal tuo account e-mail, perché chi lo controlla può reimpostare tutti gli altri. Usa un gestore di password per generare una password nuova e unica per ciascun account.

Attiva l'autenticazione a due fattori ovunque sia disponibile, a cominciare da posta, archiviazione cloud e tutto ciò che è collegato ai pagamenti. Un'app di autenticazione o una chiave di sicurezza ti proteggono anche se una violazione futura espone la tua nuova password.

Se la violazione ha esposto delle domande di sicurezza, cambia le risposte e trattale come password: una risposta casuale salvata nel gestore di password è più sicura del nome della tua vera prima scuola. Se sono coinvolti dati di pagamento, tieni d'occhio gli estratti conto e segui le indicazioni della tua banca.

Chi riesce a entrare in un account e-mail cerca spesso di restarci senza farsi notare. Apri le impostazioni della posta e guarda inoltro, filtri e regole. Un indirizzo di inoltro sconosciuto, o una regola che sposta o elimina i messaggi contenenti parole come fattura, password o sicurezza, è un forte segnale di intrusione. Rimuovi tutto ciò che non hai creato tu.

Poi controlla l'e-mail e il numero di telefono di recupero, gli accessi delegati o i permessi sulle caselle condivise, le risposte automatiche e la firma. Guarda nella posta inviata e nel cestino se ci sono messaggi che non hai scritto o eliminato. Sui servizi che le prevedono, esamina le password per le app e revoca quelle che non riconosci.

I nomi esatti dei menu cambiano da un provider all'altro, per esempio tra Gmail, Outlook, Yahoo e Libero Mail, ma queste opzioni si trovano di norma nelle impostazioni della posta, alle voci inoltro, filtri o regole, e nella sezione di sicurezza dell'account.

Nelle impostazioni di sicurezza del tuo account apri l'elenco dei dispositivi e delle sessioni attive. Esci da tutto ciò che non riconosci, oppure usa l'opzione per uscire da tutte le altre sessioni, e poi accedi di nuovo dai tuoi dispositivi. Cambiare soltanto la password non sempre chiude le sessioni già aperte.

Controlla le app e i servizi di terze parti che hanno accesso al tuo account, per esempio tramite il pulsante «Accedi con Google» o «Accedi con Microsoft», e rimuovi quelli che non usi più o che non riconosci. Questi collegamenti possono continuare a funzionare anche dopo un cambio di password.

Infine leggi la pagina dell'attività di sicurezza recente, dove la maggior parte dei provider elenca accessi, cambi di password e nuovi dispositivi. Se vedi un accesso riuscito da un luogo o da un dispositivo che non conosci, ripeti il cambio di password e la chiusura delle sessioni e verifica che le tue opzioni di recupero siano ancora corrette.

Iscriviti alle notifiche sulle violazioni per ogni indirizzo che usi e attiva gli avvisi sulle violazioni nel tuo gestore di password. Un avviso tempestivo ti dà il tempo di cambiare una password prima che venga provata sui tuoi altri account.

Valuta di usare indirizzi o alias separati per scopi diversi, per esempio uno per la banca e i servizi importanti e un altro per newsletter e acquisti. Alcuni provider supportano gli alias o l'indirizzamento con il segno più, che aiuta anche a capire quale servizio ha fatto trapelare o ceduto il tuo indirizzo.

Se usi un account e-mail che hai ottenuto da qualcun altro, compreso uno acquistato su un marketplace come rStock, esegui i controlli su casella e sessioni descritti sopra non appena il registro di consegna compare nella pagina dell'ordine, prima di collegare l'account a qualcosa di importante. Usa l'account nel rispetto dei termini d'uso del provider; rStock non è affiliata a nessun provider di posta citato in questo articolo. Le stesse abitudini, cioè password uniche, autenticazione a due fattori e controlli periodici, tengono sotto il tuo controllo qualsiasi casella, nuova o vecchia.