Hai ricevuto un avviso da Google, dal tuo gestore di password o da un servizio di monitoraggio: la tua email è stata trovata sul dark web. Prima di tutto: respira. Non significa che qualcuno stia usando i tuoi account in questo momento, e non significa che sei stato "hackerato" tu. Significa quasi sempre una cosa precisa: un sito a cui ti eri registrato ha subìto un furto di dati, e il suo archivio — con dentro la tua email e spesso altro — circola in rete.
La buona notizia: puoi limitare i danni in una ventina di minuti, seguendo i passaggi giusti nell'ordine giusto.
Cosa significa davvero "email sul dark web"
Quando un servizio online viene violato (è successo a colossi come LinkedIn, Adobe e Dropbox, e a migliaia di siti minori), i dati degli utenti finiscono in archivi venduti o pubblicati su forum e marketplace, spesso ospitati sul dark web. Questi archivi si chiamano data breach.
Il punto importante è cosa c'era nell'archivio insieme alla tua email:
- Solo l'indirizzo email: il rischio principale è ricevere più spam e phishing mirato.
- Email + password: rischio serio: chiunque abbia l'archivio può provare quella coppia su altri servizi (si chiama credential stuffing, ed è il motivo per cui riutilizzare le password è pericoloso).
- Email + altri dati personali (telefono, indirizzo, data di nascita): cresce il rischio di truffe personalizzate e furto d'identità.
Per capire in quale caso ti trovi devi sapere in quali breach compare la tua email e quali dati sono stati esposti — è esattamente ciò che mostra il check gratuito di Scudo.
Cosa fare subito, in ordine
1. Cambia la password dell'email
La casella di posta è il tuo account più importante: chi la controlla può resettare le password di tutto il resto. Cambiala per prima, con una password lunga (12-16 caratteri), unica, mai usata altrove.
2. Cambia le password riutilizzate
Se usavi la stessa password (o varianti tipo password1, password2) su più siti, cambiale tutte. È il passaggio più noioso ed è il più importante: i criminali non "indovinano" le password, provano quelle già trafugate su decine di altri servizi, in automatico. Un password manager (anche quello del browser o del telefono) rende il problema gestibile.
3. Attiva la verifica in due passaggi (2FA)
Sull'email, sulla banca, sui social: ovunque sia disponibile. Con la 2FA attiva, anche chi possiede la tua password non entra senza il secondo codice. È la singola contromisura più efficace che esista.
4. Controlla gli accessi recenti
Gmail, Outlook e la maggior parte dei servizi mostrano la cronologia degli accessi (dispositivi, luoghi, orari). Se vedi sessioni che non riconosci: disconnetti tutto e cambia di nuovo la password.
5. Alza la guardia sul phishing
Chi ha la tua email in un archivio sa che l'indirizzo è attivo. Aspettati email più credibili del solito: finte banche, finti corrieri, finti avvisi di sicurezza. Un caso frequente è l'email di ricatto che cita una tua vera password per estorcerti del denaro: sapere da dove arriva ti toglie ogni dubbio. Regola d'oro: mai cliccare link in email inaspettate — apri il sito digitando l'indirizzo tu stesso.
Cosa NON serve fare
- Cambiare indirizzo email: quasi mai necessario. L'indirizzo in sé, senza password valide, vale poco.
- Comprare una VPN: cifra la navigazione, ma non rimuove nulla dal dark web e non protegge account con password già trafugate. Per questo problema, non c'entra niente.
- Pagare servizi di "rimozione dal dark web": nessuno può rimuovere dati da archivi copiati migliaia di volte. Chi lo promette vende fumo.
Si può rimuovere l'email dal dark web?
No, e diffida di chi dice il contrario. Un archivio pubblicato è stato scaricato e ricondiviso innumerevoli volte: non esiste un "posto" da cui cancellarlo. La strategia giusta non è cancellare il passato, ma rendere inutili i dati trafugati: password nuove e uniche + 2FA fanno esattamente questo.
Domande frequenti
Come faccio a sapere quali dati sono stati esposti insieme alla mia email?
Serve controllare l'email contro i database dei breach noti. Con Scudo il conteggio dei furti di dati è gratuito; il report completo mostra quali breach e quali categorie di dati (password, telefono, indirizzo...) sono coinvolti.
L'avviso che ho ricevuto è affidabile o è una truffa?
Gli avvisi di Google, Apple e dei password manager sono affidabili. Diffida invece delle email che chiedono di cliccare un link o pagare per "proteggerti": quella è la truffa.
È successo tanti anni fa: devo preoccuparmi ancora?
Se la password di allora è ancora in uso da qualche parte, sì: gli archivi vecchi circolano per sempre. Se hai già cambiato password e attivato la 2FA, il rischio residuo è basso.
Devo denunciare qualcosa?
Per la sola presenza in un breach, no. Se riscontri accessi non autorizzati o movimenti sospetti, raccogli le prove (screenshot) e segnala alla Polizia Postale.