Ricevi un messaggio che segnala una password compromessa, oppure noti un accesso che non riconosci? Evita di reagire cliccando subito: una notifica può essere autentica, ma anche un’esca per rubare le credenziali. E una password comparsa in una fuga di dati non prova, da sola, che qualcuno abbia già usato il tuo account.
La priorità è verificare l’avviso dal sito o dall’app ufficiale, proteggere l’email che consente di recuperare gli altri account e poi controllare sessioni, metodi di recupero e impostazioni. Se la password era riutilizzata, dovrai intervenire anche sui servizi che la condividevano.
Che cosa significa davvero una password compromessa?
La parola “compromessa” può indicare che una credenziale è stata trovata in dati divulgati, che è stata inserita in un sito falso oppure che qualcuno ha già effettuato un accesso. Sono situazioni diverse. Una password esposta aumenta il rischio, soprattutto se la riusi, ma non è una prova automatica di intrusione nell’account specifico.
Tratta la segnalazione come un motivo per verificare, non come una conferma. Gli avvisi via email o SMS possono imitare il servizio legittimo e invitarti ad accedere da una pagina contraffatta. Non aprire il collegamento contenuto nel messaggio e non inserire credenziali in pagine raggiunte da quel link. Apri invece l’app già installata oppure digita direttamente l’indirizzo ufficiale che conosci. Puoi partire dalla sezione Web e tecnologia per orientarti tra i temi di sicurezza digitale.
Come controllare l’avviso senza rischiare un altro furto?
Accedi al servizio attraverso un canale indipendente dal messaggio: app ufficiale, preferito già salvato o indirizzo digitato manualmente. Cerca nelle impostazioni la sezione dedicata a sicurezza, attività recenti o dispositivi connessi. Un avviso autentico dovrebbe poter essere verificato anche lì, se il servizio offre questa funzione.
Non digitare la password, né altri segreti, in siti che promettono di controllare se una credenziale è stata esposta. Non inviare codici di accesso o di recupero a chi ti contatta. Se l’avviso riguarda un conto o un servizio finanziario, raggiungi l’istituto con il numero o l’app che usi normalmente, non con i recapiti indicati nel messaggio sospetto.
Un accesso sconosciuto, un cambio non autorizzato dell’email di recupero o l’impossibilità di entrare sono segnali più concreti di una semplice notifica di esposizione. Se non riesci più ad accedere, usa esclusivamente il percorso ufficiale di recupero: evita chi propone di recuperare l’account chiedendoti denaro, password o codici temporanei.
Perché conviene mettere al sicuro prima la posta elettronica?
La casella principale spesso riceve i collegamenti per reimpostare le password degli altri servizi. Se qualcun altro può leggerla, può tentare di recuperare account collegati e intercettare comunicazioni importanti. Per questo è ragionevole proteggerla prima di procedere con gli account secondari.
Se sospetti che il dispositivo abituale sia infetto o controllato, usa per le modifiche un dispositivo affidabile e aggiornato, non uno sul quale hai appena installato software sconosciuti. Accedi alla posta dal sito o dall’app ufficiale. Cambia la password con una nuova e non riutilizzata altrove, quindi attiva l’autenticazione a più fattori, se disponibile. Questa richiede una verifica aggiuntiva oltre alla password; una passkey, quando supportata, è un’alternativa di accesso distinta dalle password tradizionali.
La guida di Google per un account compromesso consiglia di controllare attività, dispositivi e impostazioni Gmail, comprese le regole di inoltro e i filtri non riconosciuti. (support.google.com) La stessa priorità ha senso per altri provider: verifica che l’indirizzo e il numero di recupero siano ancora tuoi e rimuovi quelli che non riconosci.
Quali account cambiare e in quale ordine?
Dopo aver protetto la posta, cambia la password del servizio segnalato. Se l’hai usata anche altrove, cambia anche quelle credenziali, una per ogni account interessato. Inizia dai servizi che custodiscono dati di lavoro, pagamenti o documenti, e da quelli che possono reimpostare le credenziali di altri account.
- Metti al sicuro la casella email principale e verifica i metodi di recupero.
- Cambia la password segnalata, entrando dal canale ufficiale.
- Aggiorna gli account che usavano la stessa password o una variante prevedibile.
- Attiva l’autenticazione a più fattori o una passkey, dove disponibile.
- Disconnetti le sessioni e revoca gli accessi che non riconosci.
- Ricontrolla le impostazioni e avvisa l’IT se si tratta di un account aziendale.
Usa una password diversa per ogni servizio. Un gestore di password può aiutarti a generarne e conservarne di uniche; l’importante è proteggere anche l’accesso al gestore e predisporre il recupero in modo sicuro. La scelta tra una password tradizionale e una passkey dipende dai servizi che usi e dalle opzioni disponibili: puoi valutare quale accesso protegge meglio i tuoi account.
Come rimuovere sessioni e accessi che non riconosci?
Cambiare la password non garantisce che tutte le sessioni già aperte vengano chiuse. Anche la Federal Trade Commission consiglia di uscire da tutti i dispositivi quando si recupera un account violato. Cerca un comando come “Esci da tutti i dispositivi”, “Gestisci sessioni” o “Disconnetti”. Se il servizio non offre un’uscita generale, termina manualmente le sessioni che non riconosci e segui le sue istruzioni di sicurezza. La guida Google sui dispositivi con accesso spiega che una sessione può corrispondere a un browser, un’app o un servizio, e consente di controllare gli accessi e disconnettere quelli indesiderati. (support.google.com)
Controlla anche le applicazioni collegate e revoca quelle che non usi o che non riconosci. Per la posta, esamina inoltri automatici, filtri, deleghe e impostazioni di accesso tramite altri protocolli, se presenti: una regola estranea può continuare a copiare o nascondere i messaggi anche dopo il cambio della password. Google indica esplicitamente di rimuovere filtri o regole di inoltro che non hai configurato. Non cancellare impostazioni legittime senza aver verificato a cosa servono.
Come verificare che l’account sia di nuovo sotto controllo?
Torna alla pagina di sicurezza dopo aver applicato le modifiche. Verifica che i recapiti di recupero siano corretti, che non compaiano dispositivi o sessioni estranee e che i metodi di autenticazione siano quelli scelti da te. Controlla anche l’attività recente, le app autorizzate e, per la posta, le regole di inoltro e i filtri.
La cronologia non è sempre una prova definitiva: un dispositivo che non riconosci a prima vista potrebbe essere un tuo browser, e la posizione mostrata può non coincidere esattamente con il luogo da cui ti sei collegato. Confronta tipo di dispositivo e orario con la tua attività e segui le indicazioni del provider se un evento resta sospetto. Google spiega che nella sezione dispositivi possono comparire sessioni diverse dello stesso dispositivo e che occorre valutarle singolarmente.
Se l’account è di lavoro, avvisa subito il referente IT o chi gestisce la sicurezza aziendale, anche se hai già cambiato la password. Un accesso aziendale può essere collegato a file condivisi, posta, strumenti di collaborazione e altri account: l’IT può controllare elementi che non vedi dalle impostazioni personali. Se il servizio è collegato a pagamenti o dati finanziari e noti operazioni anomale, contatta l’istituto tramite i canali ufficiali e chiedi quali ulteriori verifiche effettuare.
Per ridurre il rischio che una credenziale rubata basti a entrare, abilita la verifica in due passaggi quando il servizio la offre. Il CERT-AGID raccomanda questa misura e la chiusura manuale delle sessioni attive quando si sospetta la compromissione di un account WhatsApp. (cert-agid.gov.it) Una volta ripristinato l’accesso, conserva le nuove credenziali in modo sicuro e non riutilizzarle: la verifica finale consiste nell’accertare che i recapiti, le sessioni e le autorizzazioni rimaste corrispondano davvero a quelli che hai scelto.
Domande frequenti
Una password segnalata come esposta significa che l’account è stato violato?
No: indica che la credenziale potrebbe essere stata divulgata, ma non prova che qualcuno abbia effettuato l’accesso al tuo account. Verifica gli eventi di sicurezza e le sessioni dal sito ufficiale del servizio. Se trovi attività estranee, oppure non riesci più ad accedere, considera l’account compromesso e avvia subito la procedura ufficiale di recupero.
Devo cambiare anche le password degli altri account?
Sì, se hai riutilizzato la password o una sua variante. Cambiala su ogni servizio che la usa, iniziando dalla posta elettronica e dagli account che permettono di reimpostare altre credenziali. Crea una password diversa per ciascun servizio: cambiare soltanto quella segnalata lascia esposti gli account che condividono la stessa chiave.
Cambiare password disconnette automaticamente chi è già entrato?
Non è garantito. Il modo in cui un servizio gestisce le sessioni varia: alcune restano attive anche dopo il cambio della password. Cerca nelle impostazioni di sicurezza la funzione per disconnettere le sessioni o rimuovere i dispositivi sconosciuti, poi controlla separatamente app autorizzate, token o accessi collegati.