Email in un data breach: sei ancora a rischio?
Email in un data breach di anni fa? Conta quando è avvenuto e se hai cambiato password dopo. Come valutare il rischio che hai davvero oggi.
6 min di lettura
Indice
Hai controllato la tua email e il risultato è un elenco di violazioni: LinkedIn nel 2012, un sito di shopping nel 2016, un servizio che neanche ricordi. Ti chiedi se sei ancora a rischio, oppure se è tutto ormai acqua passata. La risposta onesta è: dipende da due date. Questa guida ti aiuta a capire se la tua email in un data breach rappresenta un rischio aperto oggi o un problema già chiuso.
Informazioni generali sulla sicurezza informatica personale.
Email in un data breach: conta il rischio aperto, non la storia
Una violazione di dati è un evento nel passato. Ma il rischio che ne deriva può essere:
- chiuso, se hai già reso inutile ciò che è stato rubato;
- aperto, se ciò che è stato rubato è ancora utilizzabile.
Un esempio. Una password rubata nel 2016 e cambiata nel 2018 non è più una chiave per entrare in nessun tuo account. Un indirizzo email o un numero di telefono rubati nel 2016, invece, sono ancora tuoi oggi e non puoi "cambiarli" come una password. Per questo l'esito di una violazione dipende da cosa è stato esposto.
Le due domande da farsi
Per ogni violazione in cui compare la tua email, rispondi a queste due domande.
1. Cosa è stato esposto?
Nei risultati di un controllo trovi di solito le "classi di dati" esposte: password, email, nome, telefono, indirizzo, data di nascita, dati di pagamento.
- Se c'era una password: la questione si decide sulla seconda domanda.
- Se c'erano solo dati non modificabili (telefono, indirizzo, data di nascita): non puoi "chiudere" il problema cambiando qualcosa. Resta un rischio residuo, soprattutto di phishing e truffe credibili.
2. Quando è successo, e hai cambiato password dopo?
Qui entra in gioco il confronto tra due date:
- la data della violazione (occurred);
- la data in cui hai cambiato la password di quell'account, e di tutti gli altri in cui l'hai riusata (password change).
Se hai cambiato la password dopo la violazione, e la nuova è unica, la vecchia password esposta non apre più nulla. Se la password è rimasta la stessa, o l'hai riusata su altri servizi, il rischio è aperto.
Quattro scenari tipici
| Scenario | Rischio oggi | Cosa fare |
|---|---|---|
| Breach 2016, password cambiata nel 2019, mai riusata | Chiuso per la password; rimane l'esposizione di email/telefono | Nulla di urgente; attenzione al phishing |
| Breach 2022, password mai cambiata | Aperto | Cambia subito la password e cerca dove l'hai riusata |
| Breach 2023, password cambiata nel 2021 | Se è la vecchia password, non vale più. Se la violazione ha esposto la password attuale, è aperto | Verifica con il controllo password |
| Breach recente (mese scorso) | Nuovo, anche se in passato eri a posto | Cambia password e attiva 2FA |
Il caso più pericoloso è quello dell'uso ripetuto: se la stessa password è su dieci siti, basta che uno venga violato perché l'attaccante provi le credenziali sugli altri (si chiama credential stuffing). Cambiare la password solo sul sito colpito non basta se l'hai riusata altrove.
Attenzione alle variazioni banali
Molti "cambiano" la password aggiungendo un numero o un punto esclamativo: Estate2019 diventa Estate2020!. Chi ha il vecchio segreto prova queste varianti per prime. Una password nuova deve essere indipendente dalla vecchia: lunga, casuale o fatta da più parole non correlate. Nella guida come creare una password sicura trovi il metodo, e puoi controllare la nuova password con il controllo password (non viene inviata a nessuno).
Cosa NON si chiude cambiando la password
Alcune esposizioni non dipendono da ciò che puoi modificare:
- telefono, indirizzo, data di nascita: restano nelle mani di chi ha i dati. Il rischio concreto è che qualcuno ti contatti fingendosi un'azienda o una banca, citando dettagli veri;
- dati di pagamento: si chiudono bloccando e sostituendo la carta;
- infezione da infostealer: se il tuo dispositivo era infetto, cambiare password da quello stesso dispositivo non basta. Ne parliamo nella guida cos'è un infostealer: prima si pulisce il dispositivo, poi si cambiano le password da un dispositivo pulito.
Per queste ragioni, nei casi di dati non modificabili vale la regola dell'accettazione consapevole: sai che i dati sono in giro, restringi il rischio con attenzione e controlli periodici, e passi oltre.
Come tenere il conto senza impazzire
Ricordare quali violazioni hai già sistemato e quali no è difficile. Il metodo funziona così:
- elenca le violazioni in cui compare la tua email;
- per ognuna, segna se contenevano una password e quando sono avvenute;
- cambia le password e annota la data;
- segna come "risolte" le violazioni con password successive alla data della modifica;
- lascia aperte quelle non risolvibili, ma tienile sotto osservazione;
- rifai il controllo ogni mese, per accorgerti subito delle novità.
È esattamente il modo in cui lavora VINDICIS: il punteggio misura il rischio aperto oggi. Quando dichiari "ho cambiato tutte le password il giorno X", le violazioni con password avvenute fino a quel giorno si chiudono; se compare una violazione nuova o un'infezione nuova, il punteggio risale. Ogni mese un riepilogo ti dice quali problemi restano aperti e, se esce qualcosa di grave, non aspetti la fine del mese: ricevi un avviso.
Cosa dicono le fonti
Have I Been Pwned, il servizio gratuito più usato per le violazioni note, raccomanda in caso di violazione di cambiare la password dell'account interessato e di tutti gli altri in cui è stata riusata, e ricorda che una password trovata nell'archivio delle password esposte non dovrebbe più essere usata. Consulta la pagina sulle password esposte per capire come funziona la verifica con la k-anonymity, in cui la tua password non viene mai inviata: ne vengono trasmessi solo i primi cinque caratteri dell'impronta.
Il servizio avverte anche che non trovare risultati non è una garanzia di non essere mai stati compromessi, perché l'archivio contiene solo le violazioni che è riuscito a ottenere. È una ragione in più per controllare in modo periodico e non solo una volta.
Per cominciare adesso
Se non sai ancora in quali violazioni compare la tua email, parti con la scansione gratuita: ti basta un indirizzo. Per l'elenco completo dei passi vedi come sapere se la tua email è stata violata, e per la procedura d'urgenza cosa fare dopo un data breach. L'elenco delle violazioni note mostra cosa è stato esposto in ciascuna.
Se gestisci un'attività, applica lo stesso ragionamento agli indirizzi aziendali: la pagina per PMI e partite IVA spiega come ripetere il controllo ogni mese su fino a 10 indirizzi verificati.
Domande frequenti
Una violazione di dieci anni fa può ancora essere pericolosa?
Può esserlo se la password esposta è ancora in uso, o se è stata riutilizzata. Se l'hai cambiata e non l'hai riusata, la password esposta non serve più. Restano però i dati non modificabili, come telefono e indirizzo.
Basta cambiare la password solo sul sito violato?
No, se la stessa password è usata altrove. Devi cambiarla su tutti i servizi in cui l'hai riutilizzata, e da quel momento usare password uniche.
La mia email nei breach mi fa ricevere più spam?
È probabile che indirizzi presenti in violazioni ricevano più spam e phishing, ma lo spam può arrivare anche da altre fonti. Non esiste un modo di attribuire con certezza la causa.
Se l'infezione da infostealer è vecchia, devo preoccuparmi?
Sì, finché non sei certo di aver pulito il dispositivo e cambiato tutte le password da un dispositivo pulito. Le credenziali rubate da un infostealer possono continuare a circolare.
Devo fare qualcosa se la violazione contiene solo il mio indirizzo email?
Non c'è nulla da "chiudere", ma conviene stare attenti a email e SMS che sembrano arrivare da servizi che usi e attivare l'autenticazione a due fattori sugli account importanti.
Informazioni generali a scopo divulgativo, non consulenza legale. VINDICIS è un software di autovalutazione: nessuno strumento può garantire che i tuoi dati siano al sicuro o che vengano cancellati.