Scoprire che qualcuno conosce la propria password non significa necessariamente che sia già entrato nell’account. Il problema è capire quanto tempo abbia avuto a disposizione per utilizzarla e, soprattutto, se quella stessa password protegge altri servizi.
Se la tua password è stata rubata, cambiala immediatamente da un dispositivo sicuro, disconnetti le sessioni sconosciute e attiva l’autenticazione a due fattori. Controlla anche gli altri account che utilizzano le stesse credenziali, partendo dall’email principale. Se non riesci più ad accedere, utilizza la procedura ufficiale di recupero del servizio, evitando i link ricevuti tramite messaggi sospetti.
Come capire se una password è stata davvero rubata
Il primo segnale può essere una comunicazione del servizio utilizzato: un accesso da un dispositivo sconosciuto, una richiesta di modifica della password o un avviso relativo a una violazione dei dati.
Non tutti questi messaggi indicano che un criminale sia riuscito a entrare nell’account. Un tentativo di accesso bloccato, per esempio, è diverso da una sessione autenticata con successo.
Ci sono però situazioni che richiedono attenzione immediata:
- Ricevi notifiche di accessi che non riconosci.
- La password abituale smette improvvisamente di funzionare.
- Trovi email inviate, messaggi o attività che non hai effettuato.
- Il numero di telefono o l’indirizzo di recupero risultano modificati.
- Un servizio segnala che le tue credenziali sono comparse in una violazione dei dati.
Un dettaglio spesso trascurato riguarda la posizione geografica degli accessi. Vedere una città diversa dalla propria non dimostra automaticamente una compromissione: VPN, reti mobili e sistemi di geolocalizzazione degli indirizzi IP possono produrre indicazioni imprecise.
Conta soprattutto la combinazione dei segnali. Un dispositivo sconosciuto associato a modifiche non autorizzate delle impostazioni è molto più preoccupante di una posizione insolita visualizzata isolatamente.
Cosa fare immediatamente se qualcuno conosce la tua password
Quando il sospetto è concreto, non conviene perdere tempo a ricostruire subito come sia avvenuto il furto. Prima bisogna impedire ulteriori accessi.
1. Cambia la password dal sito o dall’app ufficiale
Accedi al servizio digitando direttamente l’indirizzo nel browser oppure aprendo l’applicazione già installata.
Evita di utilizzare il pulsante contenuto nell’email che ti avvisa della presunta violazione. Anche un messaggio apparentemente autentico può essere un tentativo di phishing.
La nuova password deve essere lunga, difficile da indovinare e soprattutto diversa da quelle già utilizzate. Un password manager può generarne una casuale senza costringerti a memorizzarla.
Non basta aggiungere un numero alla vecchia password o sostituire una lettera con un simbolo. Se le credenziali precedenti sono finite in un archivio sottratto durante un attacco informatico, utilizzare una variante prevedibile offre una protezione insufficiente.
Attenzione al dispositivo utilizzato: se sospetti un’infezione da malware o da un programma capace di sottrarre credenziali, effettua il cambio password da un altro dispositivo affidabile. Prima di tornare a utilizzare quello sospetto, esegui i controlli di sicurezza necessari.
2. Disconnetti gli altri dispositivi collegati
Cambiare password non garantisce sempre che tutte le sessioni già aperte vengano terminate.
Alcuni servizi mantengono attive determinate sessioni autenticate oppure utilizzano token che consentono alle applicazioni di continuare a funzionare senza richiedere nuovamente la password.
Cerca quindi nelle impostazioni di sicurezza una funzione come Disconnetti tutti i dispositivi, Gestisci sessioni oppure Dispositivi collegati.
Per gli account Google, ad esempio, è possibile visualizzare i dispositivi associati ed effettuare la disconnessione delle sessioni sospette. Microsoft offre una funzione di disconnessione generale che, secondo la documentazione ufficiale, può richiedere fino a 24 ore e non comprende automaticamente le console Xbox. Guida di Account Google+1
Se trovi un dispositivo sconosciuto, verifica quando è stato utilizzato e rimuovi l’accesso. Ricorda che lo stesso smartphone o computer può comparire attraverso più sessioni.
3. Attiva l’autenticazione a due fattori
L’autenticazione a due fattori, chiamata anche 2FA, aggiunge una verifica ulteriore oltre alla password.
Quando il servizio lo consente, puoi scegliere tra un’app di autenticazione, una chiave di sicurezza fisica, una passkey oppure un codice ricevuto tramite SMS. Le modalità disponibili variano in base alla piattaforma.
Le passkey e le chiavi di sicurezza compatibili con gli standard FIDO offrono una protezione particolarmente efficace contro molti tentativi di phishing. I codici SMS restano utili, ma possono essere esposti a rischi legati al controllo del numero telefonico.
Non approvare richieste di autenticazione che non hai avviato e non comunicare mai i codici temporanei a chi ti contatta, anche se sostiene di appartenere all’assistenza clienti.
4. Controlla email e numero di recupero
Un criminale che riesce a entrare in un account potrebbe tentare di modificarne i recapiti di recupero.
Verifica che l’indirizzo email secondario, il numero telefonico e i metodi di autenticazione registrati siano effettivamente tuoi.
Controlla anche l’eventuale presenza di applicazioni collegate che non riconosci, autorizzazioni concesse a servizi esterni e metodi di accesso aggiunti senza il tuo consenso.
Se trovi impostazioni sospette, rimuovile seguendo le procedure della piattaforma. Dopo aver ripreso il controllo, rigenera anche gli eventuali codici di recupero che potrebbero essere stati esposti.
Hai usato la stessa password su più siti? Il rischio aumenta
Una delle situazioni più pericolose nasce dal riutilizzo delle credenziali.
Immagina di aver creato anni fa un account su un piccolo negozio online, utilizzando la stessa combinazione di email e password che adoperi per la posta elettronica.
Se quel negozio subisce una violazione dei dati e le credenziali vengono esposte, i criminali possono tentare di utilizzarle su servizi completamente diversi.
Questa tecnica si chiama credential stuffing: tentativi di accesso automatizzati che sfruttano combinazioni di username e password già compromesse.
Non serve che Gmail, Facebook o il servizio bancario abbiano subito direttamente un attacco. Il punto debole può essere un sito molto meno conosciuto sul quale hai utilizzato le stesse credenziali.
La priorità dovrebbe essere:
- Account email principale e indirizzi utilizzati per il recupero degli altri servizi.
- Home banking, pagamenti digitali e servizi finanziari.
- Account Google, Apple o Microsoft collegati ai dispositivi.
- Social network, ecommerce e piattaforme che conservano informazioni personali.
- Altri siti sui quali è stata riutilizzata la password compromessa.
Se le credenziali rubate vengono utilizzate anche altrove, non limitarti a proteggere il servizio che ha inviato l’avviso. Cambia la password su ogni account interessato, scegliendone una diversa per ciascuno.
Perché la password dell’email è la più delicata
Perdere il controllo della casella email principale può avere conseguenze ben più ampie rispetto alla compromissione di un singolo social network.
Molti servizi consentono di recuperare una password attraverso un collegamento inviato proprio all’indirizzo di posta elettronica registrato.
Chi controlla quella casella potrebbe quindi richiedere la reimpostazione delle credenziali di altri account, intercettare i messaggi di conferma e tentare di escludere il proprietario legittimo.
C’è anche un problema meno evidente: le regole di inoltro automatico.
Un intruso potrebbe configurare l’account affinché una copia dei messaggi in arrivo venga inviata a un indirizzo esterno. In questo scenario, cambiare password e disconnettere i dispositivi non basta a eliminare l’inoltro già impostato.
Per questo, dopo aver recuperato la casella email, è opportuno controllare:
- Inoltri automatici e filtri della posta.
- Indirizzi alternativi e deleghe di accesso.
- Applicazioni esterne autorizzate.
- Cartelle della posta inviata, eliminata e archiviata.
- Eventuali modifiche alle impostazioni di sicurezza.
Google e Microsoft includono esplicitamente il controllo delle impostazioni di inoltro tra le verifiche consigliate dopo una compromissione. Google Account Help+1
Cosa fare se il criminale ha già cambiato la password
La situazione diventa più complicata quando la password non funziona più e non puoi accedere all’account.
La prima cosa da evitare è affidarsi a presunti esperti che promettono di recuperarlo dietro pagamento, magari contattandoti sui social. Nessun intermediario sconosciuto dovrebbe ricevere i tuoi codici di verifica, documenti o credenziali.
Utilizza esclusivamente la procedura ufficiale del fornitore.
Per un account Google compromesso, la pagina di assistenza dedicata permette di avviare il recupero anche quando qualcuno ha modificato password o informazioni personali.
Microsoft mette a disposizione uno strumento di assistenza all’accesso per gli account compromessi. Le verifiche richieste dipendono dalle informazioni ancora associate al profilo e dai metodi di recupero disponibili.
Non esiste un tempo di recupero valido per tutti: alcuni account possono essere ripristinati attraverso verifiche immediate, mentre altri richiedono controlli aggiuntivi. Nei casi più difficili potrebbe non essere possibile dimostrare la titolarità con gli elementi disponibili.
Se un account è legato a un’email ancora accessibile, proteggi subito anche quella. Può essere determinante per ricevere le comunicazioni e completare il recupero.
Come verificare se la password è finita in un data breach
A volte si scopre il problema senza aver ricevuto notifiche di accessi sospetti. Un browser o un gestore di password può segnalare che una credenziale compare in un archivio associato a una violazione dei dati.
Uno dei servizi più conosciuti per controllare l’esposizione di un indirizzo email è Have I Been Pwned.
Il servizio raccoglie informazioni relative a violazioni note e permette di verificare se un indirizzo compare nei dati compromessi.
Bisogna però interpretare correttamente il risultato.
Se l’indirizzo è presente in una violazione, non significa necessariamente che la password attuale sia stata rubata. Potrebbero essere stati esposti altri dati oppure credenziali utilizzate in passato.
Al contrario, un risultato negativo non garantisce che l’account sia al sicuro. Non tutte le violazioni vengono individuate o rese pubbliche.
Il sito offre anche informazioni sulle password presenti in raccolte di credenziali compromesse, ma non è necessario digitare la propria password attuale in siti sconosciuti per verificare se è stata rubata.
Quando una password viene segnalata come compromessa da un sistema affidabile, la scelta prudente è sostituirla e verificare dove sia stata riutilizzata.
E se la password fosse stata rubata da un virus?
Non tutte le credenziali vengono sottratte attraverso una violazione dei server di un servizio.
Un altro scenario riguarda gli infostealer, malware progettati per raccogliere informazioni dai dispositivi infetti, comprese credenziali, dati memorizzati nei browser e, in alcuni casi, cookie o token di sessione.
Questo cambia il modo in cui bisogna affrontare il problema.
Se hai scaricato software da fonti poco affidabili, eseguito allegati sospetti o installato estensioni sconosciute, non puoi escludere che il dispositivo sia coinvolto.
In tal caso, cambiare tutte le password utilizzando lo stesso computer potenzialmente infetto rischia di esporre anche quelle nuove.
Interrompi l’accesso agli account sensibili da quel dispositivo. Utilizzane uno affidabile per mettere al sicuro le credenziali, poi esegui una scansione approfondita con strumenti di sicurezza aggiornati.
Se l’infezione viene confermata, potrebbe essere necessario un intervento tecnico più approfondito, fino alla reinstallazione del sistema operativo nei casi in cui non sia possibile ripristinare con sufficiente affidabilità la sicurezza del computer.
La Federal Trade Commission raccomanda di interrompere l’uso delle credenziali sui dispositivi sospetti e rimuovere il malware prima di riprendere le normali attività online. Consumer Advice
Quando contattare la banca o denunciare il furto
Se la password compromessa protegge un servizio bancario, una piattaforma di pagamento o un account contenente dati finanziari, il semplice cambio delle credenziali potrebbe non essere sufficiente.
Controlla immediatamente movimenti, beneficiari, dispositivi autorizzati e operazioni recenti.
In presenza di transazioni sconosciute, contatta la banca attraverso i canali ufficiali per richiedere le misure di sicurezza appropriate, che possono comprendere il blocco di strumenti di pagamento o dell’accesso digitale.
Se dall’account sono stati inviati messaggi fraudolenti ai tuoi contatti, avvisali attraverso un canale diverso da quello compromesso. Potrebbero aver ricevuto richieste di denaro, collegamenti dannosi o messaggi costruiti per sembrare autentici.
Quando emergono accessi abusivi, sottrazione di denaro, ricatti o utilizzo illecito dell’identità, è opportuno conservare notifiche, email originali, screenshot e riferimenti delle operazioni sospette, valutando una denuncia alla Polizia Postale o alle altre autorità competenti.
Non eliminare frettolosamente tutte le comunicazioni ricevute: alcune potrebbero essere utili per documentare l’accaduto.
Domande frequenti sulle password rubate
Se cambio password, un hacker può ancora entrare nel mio account?
In alcuni casi sì. Se sono rimaste attive sessioni autenticate, applicazioni autorizzate o metodi di recupero modificati, cambiare password potrebbe non essere sufficiente. Occorre controllare i dispositivi collegati, revocare gli accessi sospetti e verificare le impostazioni di sicurezza.
Possono rubarmi l’account anche con l’autenticazione a due fattori?
Sì. La 2FA riduce sensibilmente il rischio, ma non elimina ogni possibilità di compromissione. Alcuni attacchi sfruttano pagine di phishing capaci di intercettare sessioni autenticate, richieste di approvazione fraudolente o dispositivi infetti. Le passkey e le chiavi FIDO offrono una protezione maggiore contro il phishing.
Se la mia email compare in un data breach devo cambiare tutte le password?
Non necessariamente. Bisogna capire quali informazioni sono state esposte. Se è stata compromessa una password, cambiala su ogni servizio dove è stata riutilizzata. Se l’esposizione riguarda soltanto l’indirizzo email, presta maggiore attenzione ai tentativi di phishing.
Cosa succede se qualcuno ha rubato la password ma non l’ha ancora utilizzata?
Potresti riuscire a impedire l’accesso sostituendo tempestivamente la password e attivando la 2FA. Non è però possibile sapere con certezza se le credenziali siano già state utilizzate basandosi soltanto sull’assenza di notifiche. Controlla quindi la cronologia degli accessi e le sessioni attive.
Devo cambiare periodicamente le password anche se non sono state rubate?
Non è necessario modificarle continuamente in assenza di sospetti concreti o specifici requisiti del servizio. È più utile utilizzare password lunghe e diverse per ogni account, custodirle in un gestore affidabile e sostituirle quando emerge una compromissione.
Un ultimo controllo che può evitare nuovi problemi
Dopo aver recuperato gli account, controlla anche dove vengono conservate le password: browser sincronizzati, vecchi dispositivi e gestori di credenziali. Se uno di questi strumenti è stato compromesso, il problema potrebbe non riguardare un solo accesso. Una verifica delle credenziali salvate aiuta a individuare altri account potenzialmente esposti.
