Verifica in autonomia se una password è comparsa in data breach pubblicamente noti. Calcolo eseguito interamente nel browser: nessun dato in chiaro lascia il tuo dispositivo.
Scrivi nel campo qui sotto una password che usi (o che vuoi usare) e premi «verifica»: in pochi secondi scopri se è già comparsa in qualche fuga di dati. Se sì, chi ha in mano quell'elenco potrebbe provarla su altri tuoi account: meglio saperlo e cambiarla subito.
Scrivi il tuo indirizzo email nel campo qui sotto e premi «verifica»: scopri se compare in violazioni di dati documentate, cioè quando un sito che usavi è stato attaccato e i tuoi dati sono finiti nelle mani sbagliate. Non mostriamo la password rubata, solo in quali violazioni sei coinvolto.
Crea una nuova password casuale e complessa, generata interamente sul tuo dispositivo: non viene mai inviata online, nemmeno a questo sito. Utile per sostituire una password che il controllo qui sopra ha segnalato come compromessa.
Scrivi il nome di un sito o di un servizio che usi per vedere se ha subito una violazione dei dati, quando è successo, quante persone ha coinvolto e cosa è stato esposto. Utile per capire da dove potrebbe arrivare un'esposizione dei tuoi dati.
Incolla nel campo qui sotto il testo di un'email o di un SMS che ti insospettisce e premi «analizza»: ti mostro quali segnali tipici del phishing contiene e ti spiego perché vanno guardati con attenzione. Il testo resta sul tuo dispositivo, non viene inviato da nessuna parte.
Questo strumento non stabilisce se un messaggio sia una truffa: evidenzia soltanto elementi ricorrenti nel phishing. L'assenza di segnali non significa che il messaggio sia legittimo, perché le truffe più curate non contengono nessuno di questi indizi. Nel dubbio, non cliccare e contatta l'azienda dai canali che conosci già.
Salva qui le email e le aziende che ti interessa tenere d'occhio: ogni volta che riapri questa pagina, le ricontrollo automaticamente e ti dico se è cambiato qualcosa dall'ultima visita. Tutto resta salvato solo in questo browser.
Il controllo delle email interroga un database di violazioni note ed è soggetto a limiti di frequenza: con più email monitorate la verifica di tutte può richiedere qualche secondo in più. La lista resta salvata solo su questo browser e dispositivo.
Scrivo regolarmente di sicurezza, privacy e geopolitica tech su alessiomattei.it.
leggi gli articoli →il browser calcola un'impronta crittografica (SHA-1) della password e ne invia solo un frammento parziale, mai il testo in chiaro.
il frammento viene confrontato con un archivio pubblico che raccoglie miliardi di credenziali comparse in breach noti nel tempo.
ricevi solo il risultato (compromessa o no, e quante volte è stata vista), mai dati grezzi di alcun leak.
Un data breach è una violazione in cui i dati custoditi da un'azienda finiscono nelle mani di chi non dovrebbe averli. Può succedere per un attacco informatico, per un database lasciato esposto senza protezione, o per un errore interno. Quando accade, gli archivi rubati contengono tipicamente indirizzi email, nomi utente e password, spesso protette in modo debole e a volte in chiaro. Da lì cominciano a circolare: prima in ambienti ristretti, poi in raccolte sempre più ampie che vengono scambiate e ripubblicate per anni.
Il problema raramente è il singolo sito violato. Il problema è che la stessa password viene usata su molti servizi diversi. Chi ottiene una lista di credenziali rubate non la prova solo dove è stata rubata: la prova ovunque, in modo automatico, su decine di servizi popolari. È una tecnica chiamata credential stuffing, ed è il motivo per cui una violazione di un forum dimenticato del 2014 può portare, anni dopo, alla perdita di un account email o di un profilo social. Una password unica per ogni servizio spezza questa catena.
Quando il controllo segnala che una password compare molte volte negli archivi, non significa che qualcuno abbia violato il tuo account. Significa che quella specifica sequenza di caratteri è già presente in raccolte di credenziali note, e quindi è quasi certamente inclusa nei dizionari usati per gli attacchi automatici. Più alto è il numero, più quella password è comune e più velocemente verrà provata. Una password vista anche una sola volta va considerata bruciata.
Dove è disponibile, la scelta migliore è passare alle passkey: sostituiscono del tutto la password con una chiave crittografica legata al dispositivo, non possono essere riutilizzate altrove e, a differenza di una password (anche quando è protetta da un secondo fattore via SMS), non possono essere sottratte con il phishing, perché non c'è nulla da digitare su un sito falso. Google, Apple, Microsoft e un numero crescente di servizi le supportano già. Dove le passkey non ci sono ancora, valgono tre abitudini: una password diversa per ogni servizio, il che rende praticamente indispensabile un gestore di password; l'autenticazione a due fattori attiva ovunque possibile, preferendo un'app di autenticazione o una chiave fisica agli SMS; e la priorità agli account che fanno da chiave per tutti gli altri: l'email personale prima di tutto, perché chi la controlla può reimpostare le password di quasi ogni altro servizio.
Scrivimi a info@deepleak.net. Nei limiti del mio tempo provo a rispondere a tutti e a indicarti i passaggi concreti per rimettere in sicurezza i tuoi account.
Non ti chiederò mai le tue password né l'accesso ai tuoi account: ti guiderò semplicemente nel fare le operazioni necessarie. Per i casi che richiedono un intervento formale, come furto d'identità, truffe con danno economico o ricatti, la strada giusta è la denuncia alla Polizia Postale, e te lo dirò chiaramente.
Sì. La password non lascia mai il tuo browser in chiaro: viene trasformata in un'impronta crittografica e solo un frammento parziale viene inviato per il controllo. Il sito non salva né registra nulla di quello che inserisci.
Non è la fine del mondo, ma è un segnale da prendere sul serio: qualcuno potrebbe avere quei dati e provarli su altri tuoi account. Sotto ogni risultato trovi una lista di azioni concrete da fare subito.
L'archivio pubblico da cui attingiamo i dati viene aggiornato continuamente man mano che nuove violazioni vengono scoperte e verificate. La data dell'ultimo aggiornamento è visibile nella sezione statistiche qui sopra.
Meglio di no: usa questo strumento solo per le tue email. Verificare dati altrui senza consenso solleva questioni di privacy, anche quando i dati provengono da archivi pubblici.
Non necessariamente tutte, ma sicuramente quelle che risultano compromesse e quelle riutilizzate su più servizi. Se hai poco tempo, parti dagli account che contano di più: email personale, home banking, e i servizi collegati a un metodo di pagamento.
No. Gli strumenti usati negli attacchi automatici provano anche le varianti prevedibili di una password nota: maiuscole, numeri finali, caratteri sostituiti con simboli simili. Se una password è compromessa, va sostituita con una completamente diversa.
È il modo più pratico per avere una password diversa e complessa su ogni servizio senza doverle ricordare. In alternativa esistono le passphrase, frasi lunghe composte da parole comuni, che sono robuste e memorizzabili, ma diventano ingestibili oltre una decina di account.
Le aziende sono tenute a comunicarlo agli utenti coinvolti, ma non sempre accade in tempi rapidi e talvolta la violazione emerge anni dopo. Controllare periodicamente il proprio indirizzo email è un modo per accorgersene anche quando la comunicazione non arriva.