Come sapere se la tua email è stata violata (gratis)

Ogni tanto arriva la notizia di una grande violazione di dati e ti chiedi se c'è dentro anche il tuo indirizzo. Questa guida ti spiega come sapere se la tua email è stata violata, gratis e in pochi minuti, e soprattutto come interpretare il risultato senza allarmismi. Spoiler: trovare la tua email in una violazione è molto comune e non significa che qualcuno abbia preso il controllo della tua casella.

Informazioni generali sulla sicurezza informatica personale.

Come sapere se la mia email è stata violata: tre significati

Quando si dice che un'email è "violata" si mescolano situazioni molto diverse. Distinguerle è il primo passo.

1. L'indirizzo compare in un data breach. Un sito o servizio a cui ti sei iscritto è stato attaccato e i suoi dati sono trapelati, compreso il tuo indirizzo. La tua casella email non è stata toccata, ma quel sito ha perso dati che ti riguardano.
2. La tua password compare in un elenco. Se hai usato la stessa password altrove, chi la possiede può provarla su altri servizi.
3. Il tuo dispositivo è stato infettato da un infostealer. Un malware ha rubato password e dati direttamente dal tuo computer o telefono. È il caso più serio, e non lo scopri dai normali elenchi di breach: ne parliamo nella guida cos'è un infostealer.

Metodo 1: Have I Been Pwned

Have I Been Pwned è il servizio gratuito di riferimento. Inserisci il tuo indirizzo e ti mostra l'elenco delle violazioni note in cui compare. Quando abbiamo controllato la home page, il 20 ottobre 2026, indicava 1.047 siti violati e oltre 17,8 miliardi di indirizzi coinvolti.

Come usarlo:

1. Vai sul sito e scrivi il tuo indirizzo email nella casella di ricerca.
2. Leggi l'elenco: per ogni violazione vedrai quando è avvenuta e quali dati sono stati esposti (password, nomi, numeri di telefono...).
3. Attiva "Notify me" con un indirizzo che controlli: dopo la verifica, ti avvisa se compare in una violazione futura.

Alcune precisazioni dalle FAQ del servizio: le ricerche non vengono registrate; le violazioni considerate sensibili sono visibili solo al proprietario verificato dell'indirizzo; e non trovare risultati non garantisce che tu non sia mai stato compromesso, perché il database contiene solo le violazioni che il servizio ha potuto acquisire.

Metodo 2: la scansione gratuita VINDICIS

La scansione gratuita di VINDICIS controlla il tuo indirizzo email su più fonti e ti dice quanti problemi risultano, includendo anche le infezioni da infostealer, che nei normali elenchi di breach non sempre compaiono. È un software di autovalutazione: non ti serve un account per la prima verifica. Per vedere i dettagli e il piano d'azione serve il report completo e, per proteggere la tua privacy, devi dimostrare di essere il proprietario dell'indirizzo con un codice inviato a quella casella.

Metodo 3: i controlli del tuo browser o gestore password

Se usi un gestore di password, molti includono un controllo che segnala credenziali presenti in violazioni note. È comodo perché lavora in automatico, ma si limita alle password salvate. Puoi anche verificare una singola password senza inviarla a nessuno con il controllo password di VINDICIS: usa la tecnica k-anonymity di Pwned Passwords, quindi la tua password non lascia mai il browser (all'esterno viaggia solo una piccola parte del suo hash).

Come leggere i risultati

Ecco un modo semplice per dare un peso a ciò che trovi.

Il punto chiave è sempre il confronto tra quando è avvenuta la violazione e quando hai cambiato password. Lo spieghiamo bene in email in un data breach: sei ancora a rischio?.

Segnali che la tua casella email è stata davvero presa

Essere in un breach non equivale a essere stati violati, ma se noti questi segnali agisci subito:

• email inviate che non hai scritto;
• regole di inoltro o filtri che non hai impostato;
• messaggi di reset password per servizi che non hai richiesto;
• accessi da luoghi o dispositivi sconosciuti nella cronologia di accesso della tua casella (la offrono Google, Microsoft e Yahoo).

Se li trovi, cambia la password da un dispositivo pulito, esci da tutte le sessioni, attiva l'autenticazione a due fattori e leggi cosa fare dopo un data breach.

Dopo il controllo: tre abitudini che fanno la differenza

1. Una password diversa per ogni account, generata e salvata in un gestore di password.
2. Autenticazione a due fattori almeno su email, banca e social: ecco come attivarla.
3. Un controllo periodico. Una sola verifica fotografa il passato, mentre il rischio cambia quando escono nuove violazioni. Metti un promemoria mensile: dieci minuti per rifare la verifica su tutti i tuoi indirizzi (personale, lavoro, quello vecchio che usi ancora per gli acquisti) e annota in un solo posto cosa hai già sistemato.

Se arriva una notifica di violazione, ripeti i passaggi 2 e 3 della guida su cosa fare dopo un data breach. Per sapere quali violazioni sono state catalogate e quali dati hanno esposto, consulta l'elenco delle violazioni note. Se hai una partita IVA, controlla anche gli indirizzi aziendali: la pagina per PMI spiega come farlo ogni mese.

Se preferisci non doverti ricordare nulla, l'abbonamento mensile di VINDICIS (14,99 € al mese) ripete la scansione ogni mese, ti segnala cosa è nuovo, cosa hai già sistemato e cosa resta aperto; per i problemi gravi nuovi ti avvisa subito, senza aspettare la fine del mese.

Domande frequenti

Se la mia email è in un data breach, qualcuno ha preso il controllo del mio account?

Non necessariamente. Significa che un servizio che aveva il tuo indirizzo ha subito una violazione. Il tuo account email è a rischio solo se hai riusato la stessa password altrove o se nei dati esposti c'era la password della tua casella.

Quanto spesso devo controllare?

Una verifica ogni tanto non basta, perché nuove violazioni emergono continuamente. Un servizio di notifica (come Notify me di HIBP) o un controllo mensile evita di dimenticarsene.

Posso controllare l'email di un'altra persona?

È meglio di no. Alcune violazioni sensibili sono visibili solo al proprietario verificato, e controllare indirizzi altrui senza consenso è una cattiva pratica. Per i report completi VINDICIS richiede la verifica del proprietario.

Se non trovo nulla sono al sicuro?

No, significa solo che non risulta nulla nelle fonti consultate. Nessun controllo può garantire l'assenza di compromissioni. Mantieni comunque buone abitudini: password uniche e autenticazione a due fattori.

Devo cambiare indirizzo email?

Di solito no. Cambiare indirizzo non serve se proteggi l'account con password forte e 2FA; potrebbe essere utile solo se l'indirizzo è finito in moltissime violazioni e riceve spam insostenibile.