Cosa fare dopo una violazione dei dati: il tuo piano d'azione 2026

Una serie di gravi violazioni ha segnato il 2026 — credenziali trapelate legate a dispositivi firewall Fortinet/FortiGate, Kodak, una terza parte collegata a Nintendo e la lunga coda dell'incidente 23andMe hanno tutte fatto notizia. Se stai leggendo questo chiedendoti „sono rimasto coinvolto in una di queste, e ora?“, questa è la checklist calma e pratica da seguire. Niente di tutto ciò richiede competenze tecniche, e i passi più importanti richiedono solo pochi minuti.

La risposta breve

• Controlla se sei stato colpito con Have I Been Pwned e qualsiasi avviso ufficiale dell'azienda.
• Cambia la password trapelata — e ogni account in cui l'hai riutilizzata.
• Attiva la 2FA così che una password rubata da sola non possa accedere.
• Resta vigile sul phishing che sfrutta la violazione, e congela il tuo credito se sono stati esposti dati d'identità.
• Risolvilo per sempre: una password unica per ogni account, conservata in un password manager.

Passo 1 — Scopri se sei stato colpito

Niente panico, e non tirare a indovinare. Ci sono due modi affidabili per saperlo:

• Have I Been Pwned (haveibeenpwned.com) è un servizio gratuito e ben noto che confronta il tuo indirizzo e-mail o numero di telefono con un database di violazioni note. Ti dice in quali violazioni è comparso il tuo indirizzo, così sai esattamente quali account dare priorità.
• La notifica ufficiale. Le aziende che subiscono una violazione sono generalmente tenute a informare gli utenti colpiti. Leggila per i dettagli — quali dati sono stati esposti (solo e-mail? password? dati di pagamento?) determina quanto è grave per te.

Fai attenzione qui: il post-violazione è esattamente il momento in cui si diffondono false e-mail „sei stato violato“. Non accedere mai tramite un link in un messaggio del genere. Vai direttamente al servizio.

Passo 2 — Cambia la password (e ferma la reazione a catena)

Cambia prima la password dell'account colpito. Poi — questo è il passo che le persone saltano — cambiala su ogni altro account in cui hai usato la stessa password o una simile. Gli aggressori prendono le credenziali trapelate in una violazione e le provano automaticamente su centinaia di altri siti. Questo è il credential stuffing, e le password riutilizzate sono ciò che lo fa funzionare.

Ogni password sostitutiva dovrebbe essere lunga, casuale e unica. Non limitarti ad aumentare un numero alla fine della vecchia — gli aggressori e i loro strumenti indovinano facilmente quelle piccole variazioni. Inizia dagli account più importanti: e-mail, banca e tutto ciò che è legato alle tue carte di pagamento. Procedi verso l'esterno da lì verso i social media, lo shopping e le decine di iscrizioni che hai dimenticato negli anni.

Passo 3 — Attiva l'autenticazione a due fattori

Una volta cambiata la password, aggiungi una seconda serratura. Con l'autenticazione a due fattori attivata, persino una futura fuga della tua password non basterà ad accedere — un aggressore avrebbe bisogno anche del codice dalla tua app authenticator o della tua chiave hardware. Dai priorità prima all'account e-mail (può reimpostare tutto il resto), poi alla banca e al tuo password manager. Dove puoi scegliere, preferisci un'app authenticator o una chiave hardware ai codici SMS, che sono la forma più debole di 2FA. Richiede un paio di minuti per account e chiude la porta che una password trapelata lascia aperta.

Passo 4 — Tieni d'occhio i tuoi soldi e la tua casella di posta

• Monitora i conti finanziari. Controlla gli estratti conto bancari e delle carte per addebiti sconosciuti per almeno qualche mese. Imposta avvisi sulle transazioni se la tua banca li offre.
• Aspettati phishing mirato. Ora che i tuoi dati sono in circolazione, vedrai probabilmente messaggi truffa convincenti. Tratta ogni e-mail „metti in sicurezza il tuo account“ come sospetta e verifica aprendo tu stesso il servizio.
• Congela il tuo credito se sono trapelati dati d'identità. Se sono stati esposti un codice fiscale, un documento d'identità o dati bancari, un blocco del credito impedisce ai truffatori di aprire nuovi conti a tuo nome. È gratuito da attivare e rimuovere.

La vera soluzione a lungo termine

Le violazioni presso le aziende non sono qualcosa che puoi prevenire — ma puoi renderle innocue per te. Il singolo cambiamento che conta di più è una password unica per ogni account, così che una fuga non si diffonda mai. Ricordare a mano decine di password forti e casuali è impossibile, ed è per questo che esiste un password manager: le genera e le conserva, le compila per te, e molti possono monitorare le violazioni note e dirti con precisione quali dei tuoi accessi cambiare.

In sintesi

Una violazione è allarmante, ma la risposta è semplice: controlla se sei stato colpito, cambia la password trapelata e tutte quelle riutilizzate, attiva la 2FA e resta attento al phishing e alle frodi. Poi chiudi la porta per sempre dando a ogni account la propria password unica tramite un manager. Esegui oggi i passi urgenti, e l'ondata di violazioni del 2026 diventa uno spavento invece di un disastro. Successivamente, scopri come funziona la 2FA e come gli aggressori sfruttano gli accessi riutilizzati nel credential stuffing.