Trovare il tuo indirizzo email in una violazione di dati non dimostra che il tuo account sia stato hackerato. Per sapere se il tuo indirizzo email è trapelato, inseriscilo su Have I Been Pwned: questo servizio gratuito elenca le violazioni note che lo contengono. Al 28 ottobre 2026 il suo database conta 1.048 siti compromessi e più di 17,8 miliardi di indirizzi.
Come verificare se il tuo indirizzo email è trapelato?
Apri haveibeenpwned.com, scrivi il tuo indirizzo nel campo di ricerca e conferma. Il sito risponde con l’elenco delle violazioni in cui compare oppure con un messaggio che indica che non è stata trovata nessuna violazione. Le ricerche non vengono registrate, secondo le FAQ di HIBP.
Testare ogni indirizzo che usi
Il risultato riguarda solo l’indirizzo inserito. Testa quindi l’indirizzo principale, quello di lavoro se l’hai usato per iscrizioni private e le vecchie caselle (Gmail, Outlook, Yahoo) che conservi ancora. CaptainVerify offre anche uno strumento per testare gli indirizzi email che permette di verificare se un’email è stata compromessa in una violazione di dati.
Testare le password
Il servizio «Pwned Passwords» di HIBP confronta una password con quelle già esposte nelle violazioni. Le password vengono sottoposte a hash SHA-1 e rese anonime prima dell’invio. In questo servizio nessuna password è archiviata accanto a dati personali, secondo HIBP.
Che cosa significa il risultato: il tuo account è stato hackerato?
Non per forza. Comparire in una violazione indica che un servizio in cui avevi lasciato questo indirizzo ha perso dei dati. La tua casella può restare intatta. All’inverso, un risultato vuoto garantisce soltanto che nessuna violazione nota a HIBP contiene l’indirizzo. Tutto dipende da ciò che è stato rubato e dal riutilizzo delle password.
HIBP classifica le violazioni per livello di certezza. Una violazione «unverified» (non verificata) è una fuga la cui legittimità non è stato possibile stabilire oltre ogni ragionevole dubbio. Una «spam list» raccoglie dati usati per lo spam mirato, senza che sia stato necessariamente violato un sistema. Una «sensitive breach» non si trova nella ricerca pubblica: solo il proprietario verificato dell’indirizzo la vede, dal proprio pannello.
Quali dati possono essere trapelati insieme al tuo indirizzo?
Dipende dal servizio colpito: a volte il solo indirizzo, a volte molto di più. La fuga dell’operatore francese Free, avvenuta nell’ottobre 2024 e aggiunta a HIBP il 27 maggio 2025, mostra fin dove si può arrivare. Secondo la scheda di HIBP riguardava 14 milioni di indirizzi unici, ovvero 13,9 milioni di account nell’anteprima della scheda. Vi erano associati dati di identità (nome, indirizzo postale, telefono, sesso, data di nascita) e, per molti, un IBAN.
Rileggi dunque l’elenco delle violazioni con una domanda: a quale servizio ho dato quali informazioni? Una violazione in cui avevi lasciato un IBAN richiede una reazione più rapida di un forum in cui avevi indicato solo un nickname.
Un indirizzo email da solo rappresenta un rischio?
Sì, un rischio reale. Un indirizzo esposto alimenta il phishing mirato e il credential stuffing, che prova automaticamente su altri siti coppie di indirizzo e password rubate.
Il truffatore che sa di quale servizio sei cliente (un operatore come Free, una banca, un negozio) può scrivere un messaggio credibile, o addirittura falsificare il mittente (vedi l’email spoofing). Un falso link di tracciamento pacco o di rimborso basta per ottenere le tue credenziali: è il principio del phishing. Quanto al credential stuffing, riesce solo se la stessa password è usata altrove. Con una password unica per servizio, una violazione resta limitata a quel servizio.
Che cosa fare se il tuo indirizzo compare in una violazione di dati?
Segui l’ordine dell’opuscolo di tre pagine pubblicato il 1° ottobre 2026 dall’autorità francese per la protezione dei dati, la CNIL, e da Cybermalveillance.gouv.fr, «Violation de données personnelles, que faire en 3 étapes clés ?» (che cosa fare in 3 passaggi chiave dopo una violazione di dati personali): prima la prima settimana, poi le settimane successive, infine la vita di tutti i giorni.
La prima settimana
Conserva la notifica dell’organismo interessato: ti servirà come prova. Cambia poi la password, cominciando dalla casella email, perché permette di reimpostare tutti gli altri account. Scegli una password unica che ricordi un gestore di password e attiva l’autenticazione a due fattori o una passkey (chiave di accesso) quando il servizio la propone. Diffida di email, SMS e telefonate che citano il servizio colpito.
Le settimane successive
Apri le impostazioni della tua casella e controlla tre punti: le sessioni attive, gli indirizzi di recupero e le regole di inoltro automatico. Un pirata aggiunge queste regole per ricevere copia dei tuoi messaggi. Cambia anche ogni password che hai riutilizzato altrove. In Gmail, secondo Google, l’inoltro si imposta in Impostazioni > Visualizza tutte le impostazioni > «Inoltro e POP/IMAP». I dispositivi connessi si controllano nella sezione sicurezza del tuo Account Google. Cybermalveillance.gouv.fr, il servizio pubblico francese di assistenza sulla cybersicurezza, descrive questa verifica per una casella hackerata, con la disconnessione delle sessioni e la reimpostazione delle password riutilizzate.
Se la fuga riguardava dati bancari, avvisa la tua banca. Controlla poi gli estratti conto e non firmare alcun mandato SEPA sospetto.
Ogni giorno
Dai ai servizi meno informazioni possibile. Tieni separati un indirizzo di lavoro e uno personale. Elimina gli account inutilizzati: un database che hai lasciato non può più far trapelare il tuo indirizzo.
Bisogna cambiare indirizzo email dopo una fuga di dati?
Raramente. Il tuo indirizzo compare già nei database trapelati e cambiare casella ti costringerebbe ad aggiornare ogni account. Rinnovare la password della casella e attivare l’autenticazione a due fattori protegge di più.
Il cambio è giustificato se la casella diventa inutilizzabile sotto i messaggi fraudolenti. Per il futuro, un alias email permette di isolare le iscrizioni. È un indirizzo di inoltro specifico per ogni servizio: se l’alias di un sito trapela, lo elimini senza toccare l’indirizzo principale.
Chi avvisare e come segnalare una fuga di dati?
Spetta all’organismo colpito informarti di una violazione. La CNIL non può dirti se ne fai parte. Se non hai ricevuto alcuna notifica, scrivi al servizio interessato per ottenere dettagli. La CNIL sconsiglia inoltre i siti sconosciuti che affermano di detenere i dati e di dirti se sei coinvolto. Have I Been Pwned, gestito da Troy Hunt dal 2013, si limita a indicare le violazioni che ha indicizzato.
Il GDPR (il regolamento europeo del 2016) ti dà un diritto alla cancellazione: puoi chiedere a un servizio di eliminare il tuo account e i dati associati. In caso di danno accertato, per esempio un addebito fraudolento o un furto d’identità, in Francia la denuncia si presenta online su «THESEE». Cybermalveillance.gouv.fr cita questo servizio del ministero dell’Interno francese.
Un indirizzo divulgato resta divulgato: ciò che si cambia è la serratura che c’è dietro. Riapri la scheda di ogni violazione elencata da Have I Been Pwned e occupati per prime di quelle che toccano la tua casella o i tuoi dati bancari.
