Cosa fare se il tuo indirizzo email è stato coinvolto in una violazione dei dati

Cosa fare se la tua email è stata coinvolta in una violazione dei dati

Il fatto che il tuo indirizzo email sia comparso in una violazione dei dati non significa di per sé che qualcuno sia entrato nel tuo account email. Per prima cosa, verifica l'avviso tramite il sito ufficiale dell'azienda e scopri cos'altro è stato esposto. Se una password è trapelata, cambiala ovunque l'hai usata e attiva una protezione di accesso più forte. Se sono trapelati dati di carte, conti bancari o del Social Security, segui i passaggi corrispondenti indicati dalla banca, dall'agenzia di credito o da IdentityTheft.gov.

• Solo indirizzo email: aspettati più spam e phishing rivolti a te. Non è la prova che qualcuno abbia avuto accesso alla tua casella di posta.
• Password esposta o segnalata come compromessa: cambiala sull'account interessato e su tutti gli altri account in cui hai usato la stessa password.
• Segnali di una compromissione (accessi sconosciuti, dati di recupero modificati, regole di inoltro che non hai creato, messaggi che non hai inviato): usa la procedura di recupero dell'account compromesso del tuo provider email.
• Dati di carte, conti bancari, Social Security o documenti d'identità esposti: segui i passaggi specifici per quei dati, non una lista generica di controlli email.

Come capire se la tua email è stata coinvolta in una violazione dei dati

Conferma l'avviso tramite il sito ufficiale o l'app dell'azienda interessata, poi controlla un servizio di ricerca violazioni affidabile e gli avvisi sulle password salvate. Nessun singolo servizio contiene tutte le violazioni, quindi leggi anche l'avviso di incidente dell'azienda per scoprire quali dati sono stati esposti insieme al tuo indirizzo.

Verifica l'avviso senza usare i suoi link

Gli avvisi di violazione sono un travestimento preferito dal phishing, quindi non cliccare sui link né chiamare i numeri di telefono indicati nel messaggio. Il National Cyber Security Centre (NCSC) del Regno Unito consiglia di contattare l'organizzazione tramite il suo sito web ufficiale o la sua app. Digita tu stesso l'indirizzo o apri l'app che già usi, poi cerca la pagina dell'incidente o l'articolo di supporto dell'azienda.

Cerca la descrizione dell'incidente fornita dall'azienda e le categorie di dati che indica come interessate, ad esempio indirizzi email, password, numeri di telefono o dati di pagamento. Se l'avviso è vago, chiedi al team di supporto dell'azienda, tramite un canale ufficiale, quali dati che ti riguardano sono stati coinvolti.

Controlla Have I Been Pwned e i tuoi avvisi sulle password salvate

Have I Been Pwned è un servizio gratuito di ricerca delle violazioni gestito dal ricercatore di sicurezza Troy Hunt. Inserisci un indirizzo email e il servizio elenca le violazioni note presenti nel suo dataset che includono quell'indirizzo. Le sue FAQ affermano che le ricerche per email non vengono registrate e offre un avviso gratuito "Avvisami" che viene inviato solo all'indirizzo monitorato.

Un risultato pulito non prova che il tuo indirizzo non sia mai trapelato. Have I Been Pwned può segnalare solo le violazioni che ha indicizzato, e alcuni set di dati sono gestiti in modo diverso o non emergono mai pubblicamente.

Anche i tuoi strumenti per le password salvate possono segnalare le password esposte. Google Password Manager dispone di un Controllo password che segnala le password salvate come esposte, riutilizzate o deboli. Su iPhone, la sezione Sicurezza dell'app Password identifica le password deboli o compromesse, comprese quelle rilevate in fughe di dati note. Alcuni altri gestori di password offrono un monitoraggio simile. Google consiglia di aprire direttamente il Controllo password per verificare un avviso invece di seguire un link nella notifica, un'abitudine valida per qualsiasi avviso di sicurezza.

Ciò che è trapelato determina cosa devi fare

Adatta la tua risposta ai dati che sono stati esposti. Un indirizzo email trapelato aumenta soprattutto il rischio di phishing, una password trapelata richiede nuove password, e dati finanziari o del Social Security trapelati richiedono interventi presso la banca e l'agenzia di credito.

Un numero di telefono, un indirizzo o una data di nascita non significano che sia in arrivo uno scambio di SIM. Tuttavia, questi dettagli rendono più facile l'ingegneria sociale, e la Federal Trade Commission (FTC) osserva che impostare un PIN o una password sul tuo account cellulare può aiutare a bloccare modifiche non autorizzate.

Se l'azienda dice che sono stati esposti gli hash delle password

Molte aziende memorizzano le password come hash anziché come testo leggibile. Se un avviso di violazione indica che sono stati sottratti gli hash delle password, segui le istruzioni di reset dell'azienda e sostituisci quella password ovunque l'hai riutilizzata. L'hashing può ridurre la possibilità che una password venga recuperata, ma la protezione dipende dal metodo di hashing, dalla sua configurazione e dalla robustezza della tua password. Non dare per scontato che una password con hash sia immediatamente leggibile o permanentemente al sicuro.

Se l'avviso menziona uno stealer log o un malware

Alcuni avvisi di violazione provengono dagli "stealer log", cioè credenziali raccolte da malware su un dispositivo infetto anziché copiate dal database di un'azienda. Se un avviso lo dice esplicitamente, aggiorna e scansiona il dispositivo interessato con un software di sicurezza affidabile, poi cambia le password sensibili da un dispositivo che sai essere pulito. Una normale violazione aziendale non significa, di per sé, che il tuo telefono o computer abbia un malware.

Se una password è stata esposta o riutilizzata

Agisci tempestivamente quando una password è stata esposta, perché qualcuno potrebbe provare quella combinazione email-password sull'account violato o su altri siti. Cambiala sull'account interessato, poi sostituiscila ovunque la usi ancora.

Cambiala sull'account interessato

Accedi digitando tu stesso l'indirizzo del sito, non tramite un link in un'email, e imposta una nuova password lunga e unica. IdentityTheft.gov suggerisce anche di cambiare il nome utente se il sito lo consente. Se non riesci ad accedere, contatta l'azienda e chiedi come recuperare o chiudere l'account.

Mentre sei connesso, controlla se ci sono modifiche che non hai fatto, soprattutto sui siti di shopping o finanziari. Controlla l'indirizzo di spedizione, le carte salvate, gli account collegati e gli ordini o le transazioni recenti.

Sostituiscila ovunque l'hai riutilizzata

Qualsiasi altro account che usa ancora la password trapelata è a rischio, anche se quel servizio non è stato violato. Cambia poi quelle password, iniziando dagli account che possono sbloccare altri servizi o esporre denaro o informazioni sensibili:

1. I tuoi account email, dato che i link per reimpostare la password di quasi tutto il resto arrivano lì
2. Conti bancari, di pagamento e di investimento
3. Siti di shopping che memorizzano una carta
4. Social media, archiviazione cloud e account degli operatori telefonici

Se la password della tua email principale non è stata riutilizzata, non è stata segnalata e non mostra attività insolite, non deve essere la prima da cambiare. Cambiala quando è condivisa con il sito violato o compare in un avviso di violazione che la riguarda.

Un gestore di password rende tutto questo praticabile creando e memorizzando una password diversa per ogni account. Alcuni gestori di password possono anche segnalare le password salvate che sono riutilizzate o note per essere state esposte. Un gestore di password non può impedire che un'azienda venga violata, ma password uniche evitano che una password trapelata sblocchi altri account.

Passa a una passkey o aggiungi una protezione più forte per l'accesso

Dove un sito supporta le passkey, valuta di usarne una invece di una password. Altrimenti, usa una password unica e attiva l'autenticazione a più fattori (MFA). Per gli account importanti, un'app di autenticazione o una chiave di sicurezza è la scelta più solida. I codici via SMS aggiungono comunque protezione, ma la FTC avverte che potrebbero non impedire uno scambio di SIM.

Prima di rimuovere un vecchio metodo di accesso, verifica che l'indirizzo email di recupero, il numero di telefono di recupero, i codici di backup e i dispositivi affidabili siano sotto il tuo controllo. Non disattivare la verifica via SMS finché un altro metodo non è configurato e funzionante, altrimenti potresti restare bloccato fuori.

Se ci sono segnali che qualcuno ha avuto accesso al tuo account email

Una violazione che coinvolge un'altra azienda non significa necessariamente che qualcuno abbia avuto accesso alla tua casella di posta. I passaggi seguenti si applicano solo se noti segni di una compromissione dell'account email, come:

• Non riesci ad accedere, oppure la tua password o il tuo nome utente sono cambiati senza che tu abbia fatto nulla
• Avvisi di accesso da dispositivi o luoghi che non riconosci
• Indirizzi email di recupero o numeri di telefono che non hai aggiunto
• Messaggi inviati che non hai scritto, o amici che ti segnalano email strane provenienti da te

Recupera l'account tramite il tuo fornitore

Usa la pagina ufficiale di recupero account del tuo provider, raggiungibile digitandone l'indirizzo o aprendo la sua app. Una volta rientrato, cambia la password, esci da tutte le altre sessioni e dai dispositivi e attiva l'MFA se era disattivata. La FTC suggerisce anche di aggiornare il software di sicurezza ed eseguire una scansione.

Controlla dispositivi, dettagli di recupero, regole di inoltro e app collegate

Un intruso può modificare le impostazioni che mantengono l'accesso o farsi inviare copie dei tuoi messaggi dopo che hai reimpostato la password. Le linee guida di Google per gli account compromessi indicano i controlli riportati di seguito; usa le impostazioni di sicurezza e di posta equivalenti offerte dal tuo fornitore.

• Dispositivi e sessioni: esamina le attività di sicurezza recenti e rimuovi qualsiasi dispositivo che non riconosci.
• Dettagli di recupero: correggi qualsiasi indirizzo email di recupero, numero di telefono o nome account che non hai impostato tu.
• Inoltro, filtri e delegati: elimina le regole di inoltro, i filtri e i delegati di posta che non hai creato. Controlla le cartelle degli inviati e degli elementi eliminati per individuare messaggi inviati o letti da qualcun altro.
• App collegate: rimuovi le app di terze parti che hanno accesso al tuo account e che non riconosci o non usi più.

Avvisa i tuoi contatti se sono partiti dei messaggi

Se qualcuno ha inviato email dal tuo account, avvisa i tuoi contatti così non cliccano sui link né rispondono a richieste di denaro che sembrano provenire da te.

Se sono stati esposti dati di carte, conti bancari o del numero di previdenza sociale

I dati finanziari e d'identità richiedono misure che una nuova password non può coprire. I passaggi di questa sezione seguono le linee guida di IdentityTheft.gov della FTC e sono specifici per gli Stati Uniti. Altrove, rivolgiti alle autorità nazionali del tuo paese per la criminalità informatica, la protezione dei dati e la segnalazione del credito, oltre che alla tua banca.

Carta di credito o di debito

Contatta l'emittente della carta usando il numero sul retro della carta o sull'estratto conto, non un numero proveniente da un messaggio relativo alla violazione. Chiedi di bloccare la carta e di riceverne una nuova. Esamina le transazioni recenti, segnala quelle che non riconosci e aggiorna i pagamenti automatici con il nuovo numero di carta.

Conto bancario o di investimento

Informa la tua banca o il tuo intermediario di ciò che è successo, usando recapiti di cui sai già che sono autentici. IdentityTheft.gov suggerisce di chiudere il conto e aprirne uno nuovo, ma segui le istruzioni specifiche del tuo istituto. Poi esamina regolarmente le transazioni e aggiorna eventuali pagamenti automatici.

Numero di previdenza sociale

Un numero di previdenza sociale esposto può essere usato per aprire crediti, presentare dichiarazioni fiscali o ottenere un lavoro a tuo nome. Questi sono i principali passi di protezione:

• Blocca il tuo credito con Equifax, Experian e TransUnion. Devi contattare ogni agenzia separatamente. Il blocco è gratuito, dura finché non lo revochi e non influisce sul tuo punteggio di credito. Chiunque può richiederne uno in qualsiasi momento, ma è particolarmente importante quando trapelano il tuo numero di previdenza sociale o altri dati d'identità. Impedisce l'apertura di nuovi conti di credito; non ferma l'uso improprio di carte o conti esistenti.
• Valuta un avviso di frode. Un avviso iniziale è gratuito, dura un anno e richiede una sola chiamata: l'agenzia che contatti deve informare le altre due.
• Controlla i tuoi rapporti di credito su AnnualCreditReport.com, dove puoi consultare gratuitamente online ogni settimana i rapporti di tutte e tre le agenzie.
• Accetta il monitoraggio gratuito del credito se l'azienda vittima della violazione lo offre. Il monitoraggio ti avvisa delle attività sui tuoi rapporti; non blocca le frodi come può fare un blocco del credito.
• Richiedi un PIN di protezione dell'identità dell'IRS. Aiuta a impedire che qualcun altro usi il tuo numero di previdenza sociale per presentare una dichiarazione dei redditi federale fraudolenta, e ogni anno viene generato un nuovo IP PIN.
• Controlla la tua storia lavorativa in un account my Social Security per verificare se qualcuno ha usato il tuo numero per un lavoro.

Se trovi conti, debiti o dichiarazioni fiscali che non riconosci, segnalali su IdentityTheft.gov. Il sito crea un piano di recupero personale basato su quanto accaduto.

I dati di un minore

Se il numero di previdenza sociale o altri dati identificativi di un minore sono stati esposti, un genitore o tutore può richiedere un blocco gratuito del credito per il minore a ciascuna agenzia. Ogni agenzia ha una propria procedura per i minori, diversa da quella per gli adulti.

Patente di guida, passaporto o dati dell'assicurazione sanitaria

Se sono stati esposti i dati della patente di guida, contatta l'agenzia della motorizzazione del tuo stato e chiedi se può segnalare il numero o emettere un duplicato. Se è stato esposto solo il numero del passaporto statunitense, il Dipartimento di Stato ha dichiarato di non raccomandare la segnalazione del passaporto come smarrito o rubato; fallo solo se il libretto o la carta fisica sono effettivamente smarriti o rubati, perché la segnalazione li annulla. Se sono stati esposti dati di Medicare, Medicaid o dell'assicurazione sanitaria, contatta il programma o l'assicuratore tramite un numero di cui sai con certezza che è reale e controlla le tue richieste di rimborso e le dichiarazioni di spiegazione dei benefici per prestazioni che non hai ricevuto. Se una qualsiasi di queste informazioni viene usata in modo improprio, segnalalo su IdentityTheft.gov.

Attenzione al phishing a tema violazione

I truffatori usano violazioni reali come esca, e questi messaggi possono arrivare molto tempo dopo che una violazione è finita sui giornali. I temi più comuni includono un "aggiornamento di sicurezza" che ti chiede di accedere, un'offerta di risarcimento, un reset urgente della password e un avviso che i tuoi dati sono in vendita sul dark web. Il consiglio della FTC per quest'ultimo vale per tutti: non cliccare su un link né usare un numero di telefono presente nel messaggio. Vai direttamente sul sito o sull'app dell'azienda.

Diffida dei codici di verifica o delle email di reset della password che non hai richiesto. Possono significare che qualcuno ha inserito il tuo indirizzo in un modulo di accesso o di recupero, ma non dimostrano che quella persona conosca la tua password. Non condividere il codice né approvare la richiesta. Controlla le attività di sicurezza recenti dell'account e cambia la password se è riutilizzata, segnalata come compromessa o accompagnata da segni di accesso non autorizzato.

Segnala il phishing con il pulsante di segnalazione della tua app email, così i suoi filtri migliorano. Negli Stati Uniti, segnala truffe e frodi su ReportFraud.ftc.gov e usa IdentityTheft.gov se qualcuno ha effettivamente usato le tue informazioni.

Se l'account appartiene al tuo lavoro o alla tua scuola

Se l'indirizzo o l'account violato è gestito da un datore di lavoro o da una scuola, contatta il suo team IT o di sicurezza tramite un canale approvato e segui le sue istruzioni prima di modificare le impostazioni gestite dall'organizzazione. Condividi l'avviso solo con il team autorizzato o l'indirizzo di segnalazione, non con un ampio gruppo di colleghi o compagni di corso.

Riduci l'esposizione prima della prossima violazione

Non puoi impedire che ogni azienda subisca una violazione, ma puoi limitare quanto una singola violazione rivela e quanto si diffonde. Password uniche memorizzate in un gestore di password impediscono che una fuga di dati sblocchi altri account. Microsoft suggerisce anche di mantenere indirizzi email separati, ad esempio uno per amici e familiari e un altro per gli account online.

Per iscrizioni a basso rischio come newsletter, coupon e download occasionali, un indirizzo separato tiene la tua casella principale fuori da un'altra lista clienti. Un alias permanente è adatto agli account che vuoi mantenere, mentre un indirizzo email temporaneo è adatto alle iscrizioni occasionali; il nostro confronto tra alias di posta temporanea e email spiega i pro e i contro.

L'email temporanea non ripara una violazione già avvenuta e non è pensata per operazioni bancarie, lavoro, sanità, recupero dell'account o qualsiasi account che devi conservare. Tmailor è solo in ricezione, non accetta allegati e cancella i messaggi circa 24 ore dopo il loro arrivo. Alcuni siti bloccano anche gli indirizzi usa e getta.

Questa guida spiega cosa fare dopo una violazione. Se vuoi ridurre la tua esposizione prima della prossima, leggi come la mail temporanea limita ciò che una violazione dei dati può esporre.