Un esempio: Giulia riceve un avviso di violazione
Esempio inventato: Giulia, a Bologna, riceve un’email dal negozio online dove anni fa ha comprato una bicicletta: nomi, indirizzi email e password dei clienti sono stati sottratti. Giulia non clicca sul link e controlla nell’app del negozio. Usava la stessa password per la posta, quindi cambia prima quella, chiude le sessioni sugli altri dispositivi e attiva l’autenticazione a due fattori. Quando un SMS la chiama per nome e la invita a «sbloccare il conto», telefona alla banca al numero sul retro della carta: nessuno le ha scritto.
A quali servizi di verifica puoi affidare il tuo indirizzo?
Un servizio di verifica confronta il tuo indirizzo con i dati di violazioni già note. In Svizzera l’Ufficio federale della cibersicurezza (UFCS) rimanda al controllo di iBarry, la piattaforma per la sicurezza in Internet della Swiss Internet Security Alliance, disponibile anche in italiano. Il controllo usa i dati di Have I Been Pwned.
| Servizio | Come ricevi il risultato | Che cosa scopri | Chi lo indica o lo usa |
|---|---|---|---|
| Controllo di iBarry | Interrogazione con i dati di Have I Been Pwned | Se ed eventualmente quando i tuoi dati di accesso sono finiti in una banca dati piratata | UFCS (Svizzera) |
| Have I Been Pwned | Subito nel browser; le violazioni più delicate solo dopo conferma via email | In quali violazioni compare l’indirizzo | Fonte dei dati di iBarry |
Have I Been Pwned dichiara di non registrare le ricerche. Gli avvisi per violazioni future arrivano solo all’indirizzo controllato, dopo una conferma via email.
Consiglio: Per la verifica basta l’indirizzo email. Apri il servizio da solo e non inserire mai una password in una pagina di «controllo violazioni» arrivata tramite email o pubblicità.
Che cosa significa un risultato positivo?
Il tuo indirizzo compare in almeno una raccolta di dati nota. Non significa che qualcuno sia dentro il tuo account in questo momento. Have I Been Pwned definisce una violazione un fatto storico immutabile: cambiare password non la cancella dall’elenco. L’assenza di risultati, d’altra parte, non è una garanzia: i servizi conoscono solo le violazioni già analizzate.
Le credenziali possono finire online anche per colpa di un programma malevolo sul tuo dispositivo. In quel caso rimuovilo per primo: secondo l’Ufficio federale tedesco per la sicurezza informatica (BSI), altrimenti i criminali mantengono l’accesso.
In che ordine mettere al sicuro i tuoi account?
Il BSI consiglia di cambiare le password rapidamente e in un’unica sessione, cominciando dall’account email. Dalla casella passano i ripristini di quasi tutti gli altri account.
- Dispositivo: rimuovi l’eventuale malware.
- Account email: nuova password unica, chiusura delle sessioni attive, controllo di inoltri automatici e dati di recupero.
- Account con la stessa password o con una simile.
- Account con denaro. Se è coinvolto un servizio finanziario, l’UFCS consiglia di contattare subito il fornitore.
- Autenticazione a due fattori dove disponibile.
- Tutti gli altri account, uno alla volta.
Se hai usato la stessa password su molti account, stabilisci le priorità. Se non accedi più alla casella, leggi Account email compromesso: controllare inoltri e servizi collegati.
Che cosa fare a seconda dei dati sottratti?
Il Garante per la protezione dei dati personali cita tra le possibili conseguenze di una violazione la perdita del controllo sui propri dati, il furto d’identità e il rischio di frode.
| Dati sottratti | Che cosa può succedere | Che cosa fai |
|---|---|---|
| Password | Accessi con la stessa combinazione su altri servizi | Sostituirla ovunque |
| Email, numero di telefono | Phishing mirato, SMS e chiamate truffa | Non rispondere, richiamare a un numero cercato da te |
| Nome, indirizzo, data di nascita | Furto d’identità | Controllare estratti conto, sporgere denuncia in caso di abuso |
| Dati bancari o della carta | Addebiti non autorizzati | Avvisare subito la banca e bloccare la carta |
L’UFCS consiglia di prestare particolare attenzione al phishing mirato nelle settimane successive. Un presunto avviso di sicurezza si controlla nell’account, non nel link.
L’azienda deve avvisarti? Le regole in Italia e in Ticino
Secondo il Garante, il titolare del trattamento notifica la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza. Se c’è un rischio elevato per i diritti delle persone, deve comunicarla a tutti gli interessati, a meno che abbia già preso misure che ne riducono l’impatto.
Se ritieni violati i tuoi diritti, puoi presentare un reclamo all’autorità nazionale per la protezione dei dati, che risponde entro 3 mesi, spiega il portale La tua Europa. In caso di accesso abusivo a un account o di frode puoi rivolgerti alla Polizia Postale, anche tramite il Commissariato di P.S. online. Per un eventuale risarcimento serve una consulenza individuale.
In Ticino vale il diritto svizzero, non automaticamente quello europeo. Secondo l’art. 24 della legge federale sulla protezione dei dati, l’azienda notifica quanto prima la violazione all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) se comporta verosimilmente un rischio elevato, e ti informa se serve a proteggerti o se l’IFPDT lo richiede.
| Paese | Informarsi | Aiuto e segnalazione |
|---|---|---|
| Italia | Comunicazione dell’azienda; Garante per la protezione dei dati personali | Polizia Postale, Commissariato di P.S. online; reclamo al Garante |
| Svizzera (Ticino) | Controllo di iBarry in italiano, indicato dall’UFCS | Polizia cantonale, soprattutto in caso di danno finanziario o abuso; posto più vicino su suisse-ePolice |
| Altri Paesi UE | Comunicazione dell’azienda in caso di gravi rischi | Autorità nazionale per la protezione dei dati |
Errori frequenti
- Cambiare la password solo sul sito violato e continuare a usarla altrove.
- Lasciare la casella email per ultima.
- Cliccare sul link di un messaggio «sulla violazione».
- Considerare l’assenza di risultati un via libera.
La tua lista di controllo
Le caselle servono solo come promemoria personale. Nessun dato inserito viene inviato a noi. Per conservare la pagina, stampala o salvala in PDF dal menu del browser.
Domande frequenti
È rischioso inserire il mio indirizzo email in un servizio di verifica?
Con i servizi indicati qui inserisci solo l’indirizzo, mai una password. Have I Been Pwned dichiara di non registrare le ricerche e di mostrare le violazioni più delicate solo a chi dimostra di possedere l’indirizzo. Fai attenzione ai siti sconosciuti che ti propongono un controllo tramite email o pubblicità e apri il servizio sempre da solo.
Ho cambiato password. Perché il servizio segnala ancora la violazione?
Il servizio mostra che cosa è stato trovato in una violazione passata, non lo stato attuale del tuo account. Have I Been Pwned la definisce un fatto storico immutabile: una nuova password non cancella la voce. L’importante è che la vecchia password non sia più in uso da nessuna parte, su nessuno dei tuoi account.
Posso controllare l’indirizzo dei miei genitori al posto loro?
Meglio farlo insieme, sul loro dispositivo. Gli avvisi di Have I Been Pwned arrivano comunque solo all’indirizzo monitorato. Lascia che siano i tuoi genitori a cambiare le password e a confermare i passaggi. Come aiutare senza conoscere le loro credenziali lo spiega Aiutare online senza raccogliere le password degli altri.
Fonti e approfondimenti
Fonti primarie di autorità pubbliche, organizzazioni di tutela dei consumatori e fornitori. Alcune fonti possono essere in un’altra lingua: segui le indicazioni pertinenti al tuo servizio e al paese in cui vivi.
- Garante per la protezione dei dati personali: Data breach, violazioni di dati personaliFonti consultate il:
- La tua Europa (UE): Protezione dei dati e della privacy onlineFonti consultate il:
- Polizia di Stato: Commissariato di P.S. online della Polizia PostaleFonti consultate il:
- iBarry (Swiss Internet Security Alliance): controlli di sicurezzaFonti consultate il:
- Have I Been Pwned: domande frequenti (in inglese)Fonti consultate il:
- BSI: piano d’emergenza per account email violati (in tedesco)Fonti consultate il:
- Ufficio federale della cibersicurezza (UFCS): account violato (in tedesco)Fonti consultate il:
- IFPDT: Guida per la notifica di violazioni della sicurezza dei dati e l’informazione alle persone interessate (art. 24 LPD)Fonti consultate il:
