Come verificare se il tuo indirizzo email è finito in una violazione di dati

Cosa significa davvero una violazione di dati per la tua email

Quando un'azienda subisce una violazione di dati, gli attaccanti raramente tengono per sé ciò che hanno rubato. Database di indirizzi email, password, nomi, numeri di telefono e altri dettagli degli account vengono copiati, scambiati e alla fine pubblicati in quelli che i ricercatori di sicurezza chiamano breach dump. Col tempo i singoli dump vengono fusi in liste combinate enormi — spesso chiamate combolist — che circolano liberamente su forum e siti di file sharing. Il tuo indirizzo email non deve appartenere a un account importante per finirci dentro. Un forum su cui ti sei registrato nel 2013, un sito di shopping usato una volta sola o un servizio che non esiste più possono tutti essere la fonte. La violazione è avvenuta sui loro server, ma l'esposizione è tua.

Il pericolo pratico di solito non è la violazione originale in sé, ma ciò che accade dopo. Gli attaccanti prendono queste liste e lanciano attacchi di credential stuffing: provano ogni coppia email-password trapelata su centinaia di altri servizi, scommettendo sul fatto che le persone riutilizzino le password. Se la password di un forum sugli animali violato è la stessa che protegge il tuo account email principale, la violazione del forum è appena diventata la presa di controllo della tua casella. Gli indirizzi trapelati alimentano anche il phishing mirato, perché un attaccante che sa quali servizi usi può confezionare email false molto più convincenti. Ecco perché sapere se — e dove — il tuo indirizzo è stato esposto è davvero utile, e non solo morbosa curiosità.

Come funzionano i servizi di verifica delle violazioni

I servizi di verifica delle violazioni risolvono un semplice problema di indicizzazione. I ricercatori ottengono copie dei breach dump man mano che emergono, verificano che i dati siano autentici e caricano gli indirizzi email coinvolti in un database consultabile. Quando inserisci il tuo indirizzo, il servizio ti dice quali violazioni note lo contenevano, quando è avvenuta ciascuna violazione e quali categorie di dati sono state esposte: password, numeri di telefono, indirizzi fisici e così via. Il servizio più affermato, Have I Been Pwned, ha catalogato miliardi di account violati in centinaia di incidenti ed è ampiamente usato sia da singoli utenti sia da aziende che monitorano i propri domini.

Un'obiezione ragionevole è che digitare la propria password in un sito web per controllare se è trapelata sembra una pessima idea — e digitata nel sito sbagliato, lo sarebbe. La funzione di verifica delle password di Have I Been Pwned evita il problema con una tecnica chiamata k-anonimato. Il browser calcola localmente l'hash della password, poi invia al server solo i primi cinque caratteri di quell'hash. Il server risponde con tutti gli hash trapelati che iniziano con quei cinque caratteri — in genere qualche centinaio di candidati — e il browser verifica localmente se c'è una corrispondenza. Il servizio non vede mai la tua password, e nemmeno una porzione di hash sufficiente a identificarla. Il progetto completo è stato documentato pubblicamente dal creatore del servizio ed è stato poi adottato da password manager e browser per le loro funzioni di controllo delle credenziali trapelate.

Il modello di k-anonimato dietro Pwned Passwords è spiegato in dettaglio da Troy Hunt, che gestisce Have I Been Pwned: Troy Hunt — Pwned Passwords e il modello di k-anonimato ↗

Verificare il tuo indirizzo passo per passo

Comincia da Have I Been Pwned, su haveibeenpwned.com. Inserisci il tuo indirizzo email nel campo di ricerca e invia. Il risultato è rassicurantemente vuoto oppure è un elenco cronologico delle violazioni che includevano il tuo indirizzo, ciascuna con una breve descrizione dell'incidente e delle classi di dati esposte. Leggi le classi di dati con attenzione: una violazione che ha esposto solo indirizzi email è un fastidio, mentre una che ha esposto password o hash di password richiede un'azione immediata. Ripeti la verifica per ogni indirizzo che usi attivamente, inclusi i vecchi indirizzi che ancora inoltrano verso di te, perché gli account registrati con essi sono altrettanto vulnerabili.

Già che ci sei, iscriviti alle notifiche di violazione. Have I Been Pwned ti permette di registrare un indirizzo e ti invierà un'email quando comparirà in una violazione appena caricata — trasformando un controllo manuale che potresti dimenticare in un avviso automatico. Il servizio di notifica verifica che tu controlli davvero l'indirizzo prima di attivare gli avvisi, quindi non puoi iscriverti a indirizzi arbitrari di altre persone. Per la maggior parte degli utenti questo solo passo cattura gran parte del valore: le violazioni vengono scoperte di continuo, e l'indirizzo pulito oggi può comparire in un dump caricato il mese prossimo.

Mozilla Monitor (in precedenza Firefox Monitor) è una solida seconda opzione, costruita sugli stessi dati di violazione sottostanti. Offre la stessa ricerca per indirizzo più un monitoraggio continuo legato a un account Mozilla gratuito, e presenta i risultati con indicazioni passo-passo per risolvere ogni violazione. Usare entrambi i servizi non costa nulla e richiede pochi minuti. Se possiedi un dominio personalizzato, Have I Been Pwned offre inoltre il monitoraggio a livello di dominio, che segnala ogni indirizzo del tuo dominio comparso in una qualsiasi violazione — utile perché indirizzi facili da indovinare come info@ o contact@ accumulano un'esposizione che non vedi mai.

Puoi verificare il tuo indirizzo e leggere la spiegazione completa di come vengono gestiti i dati delle violazioni nelle FAQ ufficiali: Have I Been Pwned — Domande frequenti ↗

Il servizio di monitoraggio gratuito di Mozilla offre avvisi continui e indicazioni per la risoluzione: Mozilla Monitor — monitoraggio gratuito delle violazioni di dati ↗

Cosa fare se il tuo indirizzo compare in una violazione

Primo: cambia la password sul servizio violato — e, cosa cruciale, su ogni altro servizio in cui usavi la stessa password o una simile. Gli attaccanti danno per scontato il riutilizzo, e varianti come aggiungere una cifra o un punto esclamativo non battono i tentativi automatizzati. L'ordine conta: metti al sicuro prima il tuo account email principale, perché è il meccanismo di recupero di tutto il resto. Un attaccante che controlla la tua casella può reimpostare a piacere le password della maggior parte degli altri tuoi account.

Secondo: elimina alla radice il problema del riutilizzo generando una password casuale e univoca per ogni account, il che in pratica significa usare un password manager. Questo singolo cambiamento trasforma le violazioni future da emergenza a cascata a incidente contenuto: una password trapelata sblocca esattamente un account, e sostituirla richiede un minuto. Dove i servizi offrono le passkey, preferiscile senza esitazione. Una passkey è una credenziale crittografica legata al tuo dispositivo; non c'è alcun segreto condiviso depositato nel database del servizio che possa trapelare, quindi una violazione del servizio non può esporre nulla che un attaccante possa riutilizzare contro il tuo account. Attiva l'autenticazione a due fattori su tutto ciò che è importante e usa ancora le password, preferibilmente con un'app di autenticazione anziché con gli SMS.

Terzo: valuta i dati esposti con realismo. Una password trapelata si può cambiare; un indirizzo email trapelato no. Una volta che il tuo indirizzo è in circolazione, aspettati più spam e phishing più convincente a tempo indeterminato. Diffida in particolare delle email che citano il servizio violato, perché gli attaccanti usano le liste delle violazioni per inviare esattamente quel tipo di esca mirata. Se la violazione ha esposto dati di pagamento, controlla gli estratti conto e valuta la sostituzione della carta. Se ha esposto dati identificativi come il numero di un documento, informati sui meccanismi di allerta antifrode o di blocco del credito disponibili nel tuo paese.

Ridurre l'esposizione futura con alias e indirizzi usa e getta

Tutto quanto sopra è reattivo. La versione proattiva dell'igiene da violazioni consiste nel limitare fin dall'inizio quanti database contengono il tuo indirizzo reale, perché un indirizzo mai raccolto non potrà mai trapelare. Gli alias email sono lo strumento per i servizi con cui hai una relazione continuativa: un provider di alias assegna a ogni servizio un proprio indirizzo di inoltro, così una violazione espone solo quell'alias, che puoi poi disabilitare. L'indirizzo compromesso muore; la tua casella reale resta intatta, e sai esattamente chi lo ha fatto trapelare.

Per le interazioni una tantum — scaricare un whitepaper, prendere un codice sconto, provare un servizio su cui non tornerai — un indirizzo usa e getta è la soluzione più pulita. Una casella temporanea di un servizio come PureTempMail esiste per minuti o ore, riceve l'email di verifica e poi scade insieme a tutti i suoi dati. Quando quel servizio verrà inevitabilmente violato anni dopo, il dump conterrà un indirizzo che non esiste più e non è mai stato collegato a te. I dati che non hai mai consegnato sono gli unici che sicuramente non compariranno mai in un risultato di verifica delle violazioni.

Cosa non fare

Non digitare mai una password che usi davvero in un sito qualsiasi che si presenta come "verificatore di password". Il design a k-anonimato descritto sopra è ciò che rende sicura la verifica delle password di Have I Been Pwned, e i password manager seri usano lo stesso protocollo — ma un sito qualunque con un modulo che chiede la tua password potrebbe semplicemente raccoglierla. Se vuoi verificare le password, fallo direttamente tramite Have I Been Pwned o tramite la funzione di controllo integrata nel tuo password manager o nel browser, dove la verifica avviene su dati sottoposti ad hashing senza trasmettere la password stessa.

Sii altrettanto scettico verso le email non richieste che annunciano che sei stato violato, soprattutto quelle che rimandano a una pagina di login o esigono un pagamento. Le notifiche di violazione legittime non chiedono la tua password, e gli avvisi di Have I Been Pwned non ti chiedono mai di accedere per vedere i risultati. Una truffa collegata sostiene di avere materiale compromettente e cita come prova una tua password reale trapelata; la password è autentica, ma proviene da un vecchio breach dump, non da un accesso ai tuoi dispositivi. Infine, lascia perdere i prodotti a pagamento di "scansione del dark web" che riconfezionano gli stessi dati pubblici sulle violazioni che questi servizi gratuiti già ti forniscono.

Una routine realistica

L'esposizione alle violazioni non è un evento da sistemare una volta per tutte, ma una condizione di fondo da gestire. Una routine sensata è breve: verifica i tuoi indirizzi attivi su Have I Been Pwned, iscriviti alle notifiche lì o su Mozilla Monitor, passa a password univoche tramite un password manager, adotta le passkey dove disponibili e fornisci il tuo indirizzo reale solo ai servizi che hanno davvero bisogno di un modo duraturo per contattarti. Gli alias coprono la fascia intermedia — fidata ma segmentata — e gli indirizzi usa e getta coprono tutto ciò che è transitorio. Nessuno di questi passi è difficile e, insieme, trasformano il prossimo titolo su una violazione da emergenza personale a non-evento.

Ridurre il numero di servizi che detengono il tuo indirizzo reale è la miglior difesa a lungo termine. Trattiamo le tecniche pratiche in un articolo dedicato: Come proteggere il tuo indirizzo email dallo spam