Cos'è una violazione dei dati? Come controllare i propri account e proteggere i propri dati

Una notifica di violazione dei dati può essere fonte di preoccupazione, soprattutto se arriva tramite SMS o e-mail e richiede un'azione immediata. Iniziate con una domanda semplice e rassicurante: quali informazioni sono state esposte e cosa si può fare con esse? Una violazione significa che i dati sono stati esposti o consultati senza autorizzazione; non dimostra automaticamente che qualcuno abbia effettuato l'accesso al vostro account o utilizzato la vostra identità. La soluzione migliore è disporre di una serie di fatti verificati, account protetti e un piano chiaro per la gestione di eventuali informazioni finanziarie o di identità esposte.

Segui i passaggi seguenti in ordine: verifica l'avviso, controlla quali informazioni sono note sul tuo indirizzo email, proteggi gli account che condividono credenziali esposte e agisci di conseguenza in base al tipo di dati coinvolti. Questa guida riflette le linee guida per i consumatori statunitensi verificate il 26 settembre 2026. Le singole aziende possono fornire ulteriori istruzioni per i propri casi.

1. Verifica l'avviso prima di agire

Se un'azienda afferma che i tuoi dati sono stati compromessi in una violazione, non utilizzare il link o il numero di telefono presenti nel messaggio per accedere. Apri l'app dell'azienda o digita un indirizzo web che già conosci, quindi cerca una notifica nel tuo account o contatta l'assistenza tramite un canale affidabile. La Federal Trade Commission (FTC) fornisce lo stesso consiglio pratico per i messaggi inaspettati: contatta l'azienda tramite un sito web o un numero di telefono che sai essere reale.

Leggete l'avviso relativo al servizio interessato, alla data dell'incidente, alle categorie di informazioni coinvolte e alle azioni consigliate dall'azienda. L'avviso potrebbe indicare che un indirizzo email, una password, un numero di telefono, i dati di pagamento, il codice fiscale o altre informazioni sono stati compromessi. Tali dettagli influenzano la risposta. Conservate l'avviso e la relativa data, nel caso in cui dobbiate contattare in seguito l'azienda, la banca, la compagnia assicurativa o un ente governativo.

Fai attenzione se il messaggio ti spinge ad agire immediatamente, ti chiede una password o un codice monouso, richiede un pagamento o ti indirizza a un sito sconosciuto. Una notifica di violazione dei dati autentica non rende legittimo ogni messaggio successivo. Se la notifica sembra reale, contatta direttamente l'organizzazione e chiedi se è stata lei a inviarla. Non rispondere fornendo dati personali né concedere a chi ti chiama l'accesso remoto al tuo dispositivo.

2. Controlla il tuo indirizzo email e gli account interessati

È possibile cercare un indirizzo email su Have I Been Pwned , un servizio di ricerca di violazioni che segnala se l'indirizzo compare nei dataset di violazioni raccolti. Le FAQ del servizio spiegano che la ricerca delle violazioni non mostra le password associate a un indirizzo. Utilizzatela come un indizio, non come un audit di sicurezza completo. Una pagina con "nessun risultato" non può stabilire con certezza che le vostre informazioni non siano mai state esposte: una violazione potrebbe essere recente, non ancora segnalata pubblicamente o non inclusa nel servizio. Alcuni incidenti sensibili, inoltre, non sono consultabili pubblicamente.

Inserisci solo l'indirizzo email che desideri controllare. Non incollare la tua password in una pagina di ricerca di violazioni, in un messaggio o in un modulo che afferma di poter "confermare" la tua esposizione. Se vuoi verificare se una password è nota per essere stata compromessa, utilizza gli strumenti di sicurezza integrati in un gestore di password affidabile o segui le istruzioni ufficiali del servizio; la scelta più sicura nell'immediato, nel caso di una password compromessa, è sostituirla con una nuova password univoca.

Successivamente, accedi al servizio interessato aprendo la relativa app o il sito web che conosci. Esamina l'attività di accesso recente, i dispositivi utilizzati, gli indirizzi email e i numeri di telefono di recupero, le app connesse e gli avvisi di sicurezza, se il servizio li offre. Negli account email, verifica anche la presenza di regole di inoltro o filtri sconosciuti. Sessioni sconosciute, un indirizzo di recupero modificato, messaggi che non hai inviato o notifiche inaspettate di reimpostazione della password sono segnali più forti che indicano che l'account potrebbe essere stato violato. La sola segnalazione di una violazione non è una prova sufficiente dell'acquisizione dell'account.

3. Metti in sicurezza gli account nell'ordine corretto

Se i dati esposti includono una password, cambiala sul servizio violato e ovunque tu l'abbia riutilizzata. Inizia con il tuo account di posta elettronica principale, perché spesso la posta elettronica controlla il ripristino delle password per altri servizi. Quindi proteggi gli account finanziari, del gestore telefonico, di archiviazione cloud, di shopping e social che condividevano la stessa password. Se ogni account ha già una password diversa e l'avviso indica che nessuna password è stata esposta, un cambio di password di routine ovunque potrebbe comportare lavoro inutile senza affrontare il rischio specifico.

Crea una password lunga e diversa per ogni account. Un gestore di password affidabile può generare e memorizzare credenziali univoche, così non dovrai ricordarle tutte. Le attuali linee guida sull'identità digitale del NIST, SP 800-63B Revisione 4, affermano che i servizi non dovrebbero richiedere cambi periodici arbitrari delle password; dovrebbero richiederne la modifica solo quando vi sono prove di una compromissione della password. Se la password è stata compromessa o riutilizzata, cambiala subito. Per gli account non coinvolti in una violazione e con credenziali univoche, concentrati sull'autenticazione a più fattori (MFA), sulle impostazioni di recupero e sulle attività sospette, piuttosto che sul cambio delle password in base a un calendario.

Attiva l'autenticazione a più fattori (MFA) per la tua email, i tuoi account finanziari, quelli del tuo operatore telefonico e altri account importanti, quando disponibile. L'MFA richiede un'ulteriore prova di identità oltre alla password, come l'approvazione di un autenticatore, una chiave di sicurezza, una password o un codice monouso. Preferisci una password, una chiave di sicurezza o un altro metodo resistente al phishing quando un servizio lo offre. La CISA raccomanda l'MFA resistente al phishing ove possibile e indica l'approvazione tramite corrispondenza del numero come un'alternativa più sicura rispetto a una notifica push non confermata. Se la verifica tramite SMS è l'unica opzione, aggiunge comunque un ulteriore livello di sicurezza oltre alla password, ma proteggi anche il numero di telefono e la procedura di recupero. Consulta le linee guida sull'autenticazione a più fattori della CISA per valutare i compromessi.

Dopo aver cambiato la password, utilizza la pagina di sicurezza del servizio per disconnetterti dalle altre sessioni e rimuovere i dispositivi o le app connesse che non riconosci. Verifica che i dati di recupero ti appartengano ancora e salva eventuali codici di backup in un luogo sicuro, separato dal telefono. Se non riesci ad accedere all'account, utilizza la procedura ufficiale di recupero dell'account del fornitore. Se riscontri attività finanziarie non autorizzate, contatta immediatamente la banca o l'emittente della carta utilizzando il numero presente sulla carta o l'app ufficiale.

4. Abbina l'azione successiva alle informazioni visualizzate

Negli Stati Uniti, il blocco del credito è gratuito e può rendere più difficile l'apertura di nuovi conti di credito a tuo nome. Non blocca ogni tipo di frode, come ad esempio gli addebiti su una carta di pagamento esistente, e potrebbe essere necessario sbloccarlo temporaneamente quando si richiede un credito. La FTC (Federal Trade Commission) spiega la differenza tra blocco e avviso di frode. Se sospetti un furto d'identità, IdentityTheft.gov può aiutarti a elaborare un piano di recupero; non devi attendere una notifica di violazione prima di utilizzare le sue indicazioni.

Come capire se la tua risposta sta funzionando

Cercate cambiamenti concreti, non promesse di poter rimediare a una violazione. Dovete sapere quale servizio è stato coinvolto e quali categorie di dati sono state menzionate; aver sostituito qualsiasi password esposta o riutilizzata; aver attivato l'autenticazione a più fattori (MFA) ove possibile; e aver rimosso sessioni o app connesse che non riconoscete. Controllate l'attività bancaria e delle carte per individuare transazioni inspiegabili. Se i dati di identità sono stati esposti, valutate se un blocco del credito o un avviso di frode siano appropriati alla vostra situazione e verificatene lo stato direttamente con le agenzie di credito.

Conservate la notifica, la risposta dell'azienda, i numeri di pratica e le note relative alle chiamate o alle transazioni contestate. Ricontrollate periodicamente l'attività del conto e gli estratti conto, soprattutto dopo aver ricevuto una notifica riguardante dati finanziari o di identità. Se compaiono nuovi messaggi di reimpostazione della password, accessi sconosciuti, addebiti non autorizzati o conti che non avete aperto, smettete di considerare l'evento come un semplice avviso: contattate il fornitore o la banca interessata e seguite le procedure di recupero indicate su IdentityTheft.gov.

Cosa non può rivelarti un controllo delle violazioni

Una ricerca pubblica di indirizzi email controlla solo i record disponibili a quel servizio; non può ispezionare ogni database privato né prevedere se qualcuno utilizzerà impropriamente le informazioni. Una ricerca senza esito negativo non è la prova che non si è stati compromessi, e una corrispondenza non è la prova che un malintenzionato abbia effettuato l'accesso al proprio account. Allo stesso modo, il monitoraggio del credito può aiutare a notare alcune modifiche, ma non impedisce a qualcuno di tentare di utilizzare i dati esposti. Il ripristino della password protegge gli accessi futuri con quelle credenziali; non può rimuovere le copie delle informazioni già divulgate.

Per le linee guida federali in materia di tutela dei consumatori e standard, si consiglia di iniziare con le procedure della FTC da seguire in caso di violazione dei dati , le linee guida Secure Our World della CISA e le linee guida sulle password NIST SP 800-63B Revisione 4. In caso di esposizione di dati relativi alla previdenza sociale o all'identità, si consiglia di utilizzare le procedure per informazioni smarrite o rubate di IdentityTheft.gov . Questi strumenti riducono i rischi e aiutano a organizzare il recupero, ma la procedura corretta da seguire dipende dal contenuto esatto della notifica e da ciò che si osserva nei propri account.

Guida verificata il 26 settembre 2026. Le impostazioni di sicurezza e i database delle violazioni sono soggetti a modifiche, pertanto si consiglia di consultare la pagina di assistenza e la dashboard dell'account di ciascun fornitore per le procedure esatte.