Hai ricevuto l’avviso “password esposta”? Le prime 5 mosse contano davvero

1. Verifica l’avviso senza usare il suo link

Un avviso autentico può essere copiato in un’email o in un SMS di phishing. Non usare link, numeri di telefono o allegati contenuti nel messaggio. Apri direttamente l’app già installata oppure digita l’indirizzo che conosci nel browser e cerca la sezione sicurezza, accessi o notifiche dell’account.

Controlla quale credenziale sarebbe coinvolta, su quale servizio e quando è stato rilevato il problema. Un gestore password o il browser può segnalare una credenziale trovata in una violazione senza provare che qualcuno sia già entrato nel tuo account. La risposta prudente resta cambiarla, ma questa distinzione aiuta a cercare anche accessi e operazioni anomale.

Se non riesci ad accedere, avvia il recupero soltanto dal sito ufficiale. Non comunicare password o codici temporanei a chi ti contatta e non installare strumenti di assistenza remota richiesti da sconosciuti.

2. Metti prima in sicurezza email e recupero

L’email principale può reimpostare molti altri account, quindi trattala come priorità operativa. Da un dispositivo aggiornato che ritieni affidabile cambia la password dell’email se è coinvolta, controlla telefono ed email di recupero e rimuovi soltanto dati che non riconosci. Se sospetti malware o controllo remoto del dispositivo, interrompi l’operazione e chiedi assistenza qualificata prima di inserire nuove credenziali.

Per una password creata manualmente, la pagina divulgativa NIST raccomanda almeno 15 caratteri; soprattutto deve essere unica. Un password manager può generare e conservare credenziali diverse e dovrebbe essere protetto a sua volta con autenticazione a più fattori. Dove disponibile puoi valutare una passkey seguendo la procedura ufficiale del servizio.

Non trasformare la vecchia password aggiungendo un numero, una data o il nome del sito. Varianti molto simili possono essere prevedibili e rendono difficile capire quali account siano ancora esposti.

3. Sostituisci ogni riutilizzo con un ordine di priorità

Se la password compromessa era usata altrove, considera coinvolti anche quegli account. Gli attaccanti possono provare automaticamente coppie email-password su servizi diversi. Cerca nel gestore password o nel tuo elenco di account la credenziale identica e le varianti evidenti, senza copiare la password in siti di verifica non ufficiali.

Procedi per impatto: email e identità digitale, servizi finanziari, account di lavoro, negozi con metodi di pagamento, social e servizi meno sensibili. L’ordine è una regola pratica, non una garanzia; se hai un avviso di accesso attivo su un servizio, intervieni lì immediatamente.

• Usa una credenziale nuova e diversa per ogni account.
• Aggiorna anche le varianti riconoscibili della password esposta.
• Non salvare il nuovo elenco in una nota non protetta o inviarlo in chat.
• Segna quali account hai completato senza annotare le password in chiaro.

4. Revoca accessi e ripara le modifiche nascoste

Cambiare password potrebbe non chiudere tutte le sessioni già aperte. Nella sicurezza dell’account esamina dispositivi, sessioni e applicazioni collegate; disconnetti ciò che non riconosci e usa “esci da tutti i dispositivi” quando disponibile e appropriato. Revoca accessi di app sconosciute, ma non eliminare integrazioni legittime senza verificarle.

Nell’email controlla indirizzi di recupero, regole di inoltro, filtri, deleghe e messaggi inviati. Negli altri servizi guarda modifiche del profilo, indirizzi di consegna, ordini, post, annunci o file condivisi. Salva data, ora e schermate delle anomalie prima di correggerle, senza diffondere dati sensibili.

Se un servizio offre un registro degli accessi, confronta dispositivo e attività, ma non basarti soltanto sulla località: può essere approssimativa. In caso di dubbio usa il canale di sicurezza o assistenza ufficiale.

5. Aggiungi un secondo fattore e monitora i danni

Attiva l’autenticazione a più fattori su email e account sensibili. Quando il servizio offre più opzioni, preferisci quella più resistente al phishing che puoi gestire correttamente, come una chiave di sicurezza o una passkey; un’app di autenticazione può essere preferibile ai codici via SMS. Conserva i codici di recupero separati dal dispositivo e non approvare richieste di accesso che non hai avviato.

MFA riduce il rischio se la password viene sottratta, ma non rende invulnerabili: phishing, furto della sessione e approvazioni ingannevoli restano possibili. Aggiorna sistema, browser e app dai canali ufficiali e osserva le notifiche di accesso nei giorni successivi.

Se trovi acquisti o movimenti finanziari non riconosciuti, contatta subito banca, emittente o servizio usando numeri e app ufficiali. Per furto di identità, account aziendali o dati regolamentati segui anche le procedure dell’organizzazione e delle autorità competenti. Documentare l’incidente non sostituisce la segnalazione richiesta.

• Password nuova e unica impostata.
• Riutilizzi e varianti sostituiti sugli altri account.
• Sessioni, recuperi, inoltri e app collegate controllati.
• MFA o passkey configurata e codici di recupero protetti.
• Attività anomale documentate e segnalate ai canali ufficiali.