Data breach: cosa fare subito, passo dopo passo

Ti arriva una email: "abbiamo subito una violazione dei dati". Oppure leggi che un sito che usi è stato attaccato. Non farti prendere dal panico: sapere cosa fare dopo un data breach significa seguire pochi passi in ordine di priorità. Questa guida li elenca, spiega cosa devi pretendere dall'azienda e quando rivolgerti al Garante.

Informazioni generali, non parere legale.

Passo 0: assicurati che la comunicazione sia vera

Dopo una violazione i truffatori inviano email e SMS che sembrano proprio quelle dell'azienda colpita. Prima di cliccare:

• non usare i link nel messaggio: digita tu l'indirizzo ufficiale del sito o apri l'app;
• cerca la notizia sul sito dell'azienda o su fonti di stampa affidabili;
• ricorda che nessuna azienda seria ti chiede la password per email.

Se il messaggio ti sembra un tentativo di phishing, leggi la guida su come riconoscere gli SMS truffa.

Cosa fare dopo un data breach, passo 1: capisci cosa è stato esposto

La priorità dei passi dipende da cosa è trapelato. Chiediti: nei dati c'erano...

• solo nome ed email: rischio soprattutto di spam e phishing mirato;
• password (anche in forma cifrata): devi cambiarla ovunque l'hai usata;
• dati di pagamento: contatta subito la banca per bloccare o sostituire la carta;
• documenti d'identità, codice fiscale, indirizzo: non si possono "cambiare"; devi diffidare di telefonate e messaggi che citano questi dati;
• domande di sicurezza o dati medici: tratta come sensibili e valuta con attenzione.

Per verificare in quali violazioni compare il tuo indirizzo usa Have I Been Pwned oppure la scansione gratuita di VINDICIS. Per un metodo completo vedi come sapere se la tua email è stata violata.

Passo 2: cambia la password, partendo dal servizio colpito

Cambia la password dell'account coinvolto e di qualsiasi altro servizio in cui hai usato la stessa. È così che un forum violato diventa un conto in banca violato. Segui questo ordine:

1. il servizio violato;
2. la tua casella email principale (da lì si recuperano gli altri account);
3. banca e pagamenti;
4. social, cloud, acquisti online.

Usa password uniche e lunghe. Se non sai come, leggi come creare una password sicura. Puoi controllare una nuova password con il controllo password senza inviarla a nessuno: l'indice di Pwned Passwords riceve solo i primi cinque caratteri dell'impronta calcolata sul tuo dispositivo.

Passo 3: attiva l'autenticazione a due fattori

La seconda verifica rende inutile una password rubata nella maggior parte dei casi. Preferisci un'app di autenticazione o una passkey all'SMS. Qui la guida: autenticazione a due fattori, come attivarla.

Passo 4: controlla la tua casella email

Se la violazione riguardava la password della tua email, verifica:

• le regole di inoltro e i filtri (un attaccante può farsi inoltrare tutta la posta);
• l'elenco dei dispositivi connessi e delle ultime attività;
• le email di reset password che non hai richiesto.

Poi disconnetti tutte le sessioni dal pannello di sicurezza.

Passo 5: proteggi il denaro

Se sono stati esposti dati di carta o conto, o se ricevi movimenti sospetti, avvisa subito la banca. La Banca d'Italia indica di avvertire senza indugio l'intermediario, poi di segnalare il fatto alla Polizia postale; trovi i passaggi sul sito Banca d'Italia, cosa fare se si viene truffati.

Passo 6: aspettati phishing e preparati

Dopo una violazione cresce il rischio di messaggi truffa che citano dati veri su di te. Tre regole:

1. diffida di chi ti contatta citando la violazione;
2. non cliccare i link ricevuti: entra dal sito;
3. se hai dubbi, chiama l'azienda al numero ufficiale.

Passo 7: esercita i tuoi diritti verso l'azienda

L'azienda colpita è il titolare dei dati e ha precisi obblighi. In base al GDPR, deve notificare la violazione al Garante entro 72 ore, quando possibile, e informare gli interessati senza ingiustificato ritardo se il rischio per loro è elevato. Tu puoi:

• chiedere l'accesso (art. 15) per sapere quali tuoi dati erano coinvolti;
• chiedere la cancellazione (art. 17) dei dati che non servono più: vedi il diritto alla cancellazione;
• chiedere informazioni sulle misure adottate.

Il titolare deve rispondere entro un mese (prorogabile in casi complessi), secondo quanto indicato dal Garante. Se non risponde, o la comunicazione è assente o inadeguata, puoi presentare un reclamo al Garante.

Passo 8: tieni sotto controllo nel tempo

Le conseguenze di una violazione non finiscono in una settimana: nuove violazioni escono di continuo e un tuo dato già esposto può ricomparire. Quando hai sistemato tutto, ripeti ogni tanto il controllo. Il controllo password verifica una password senza inviarla a nessuno e l'elenco delle violazioni note ti aiuta a capire cosa è stato esposto in ciascuna.

Il monitoraggio mensile di VINDICIS fa questo lavoro ogni mese: ti dice quali problemi risultano ancora aperti e segna come "risolto" ciò che hai già messo a posto, così il punteggio riflette il rischio di oggi e non quello del passato. Per i nuovi problemi gravi ricevi un avviso immediato.

Se la violazione riguarda la tua attività o un account di lavoro

Se i dati esposti appartengono a un indirizzo aziendale, il quadro cambia perché in gioco ci sono anche clienti, fornitori e pagamenti. Cambia subito le password che aprono posta, gestionale e banca, verifica con attenzione le richieste di pagamento che arrivano nei giorni successivi e avvisa chi lavora con te di eventuali messaggi sospetti.

Se sono coinvolti dati personali di clienti o dipendenti, il GDPR prevede una valutazione della notifica al Garante entro 72 ore, quando possibile: coinvolgi subito il tuo professionista di fiducia. Annota cosa è successo, quando lo hai scoperto e quali azioni hai fatto: una cronologia ordinata serve sia a te sia a chi ti assiste. La pagina per PMI e partite IVA spiega come controllare periodicamente gli indirizzi aziendali.

Errori da evitare

• Cambiare solo la password del sito violato e lasciare le stesse altrove.
• Usare variazioni banali (Password1 → Password2): chi ha il vecchio segreto prova le varianti.
• Ignorare i dati non modificabili, come data di nascita o indirizzo: vanno tenuti presenti come segnale per riconoscere messaggi truffa.
• Fidarsi di chi offre di "cancellare" i tuoi dati dal web a pagamento: nessuno può garantire la rimozione da tutte le fonti.

Se vuoi capire come valutare il rischio residuo dopo aver cambiato le password, leggi email in un data breach: sei ancora a rischio?.

Domande frequenti

Devo cambiare la password anche se l'azienda dice che era cifrata?

Sì, per prudenza. Una password cifrata in modo debole o semplice può essere ricavata, e se l'hai riusata altrove il rischio si propaga. Cambiare costa pochi minuti.

L'azienda è obbligata ad avvisarmi?

Se la violazione presenta un rischio elevato per i tuoi diritti e le tue libertà, l'azienda deve comunicarla agli interessati senza ingiustificato ritardo (art. 34 GDPR). In ogni caso notifica la violazione al Garante entro 72 ore, quando possibile (art. 33).

Posso chiedere un risarcimento?

Il GDPR prevede il diritto al risarcimento del danno (art. 82), ma dipende dal caso concreto e dalla prova del danno. Per valutazioni specifiche rivolgiti a un avvocato: qui non diamo pareri legali.

Quanto tempo ho per cambiare le password?

Il prima possibile. Non esiste una regola generale su "quante ore" hai: quanto più tempo passa, tanto più aumenta la probabilità che le credenziali vengano provate su altri servizi.

Cosa cambia se la violazione è avvenuta anni fa?

Conta se hai cambiato password dopo la violazione e se l'hai riusata altrove. Lo spieghiamo nella guida dedicata, perché molte persone si preoccupano di violazioni vecchie già neutralizzate.