Email e dati personali, capire se un account è stato compromesso e intervenire con un data leak checker

Un indirizzo email può continuare a funzionare normalmente anche dopo essere comparso in un archivio sottratto o esposto online. Nessun messaggio di errore, nessun blocco dell’account e, in molti casi, nessun segnale immediatamente riconoscibile. È questo uno degli aspetti meno intuitivi delle fughe di dati personali: essere coinvolti in una violazione non significa necessariamente accorgersi subito che qualcosa è accaduto. L’incidente può riguardare un servizio utilizzato anni prima, un account dimenticato, un database gestito da un soggetto terzo oppure informazioni che, dopo essere state sottratte, vengono diffuse soltanto in un momento successivo. Per un normale utente diventa quindi difficile ricostruire dove sia finito nel tempo il proprio indirizzo email e quali altre informazioni possano essere state associate a esso. Da qui nasce l'utilità degli strumenti che permettono di confrontare un indirizzo con archivi relativi a fughe e violazioni conosciute. Il loro valore, tuttavia, va interpretato correttamente: possono segnalare un'esposizione già individuata, ma non certificano l'assenza assoluta di compromissioni. La sicurezza degli account richiede perciò un approccio più ampio, nel quale la verifica rappresenta un punto di partenza per capire se esiste un problema concreto e, soprattutto, per decidere quali credenziali modificare e quali ulteriori precauzioni adottare.

Data leak e data breach: cosa significa che un dato è stato compromesso

Nel linguaggio comune data leak e data breach vengono spesso utilizzati come sinonimi, ma la distinzione può essere utile per capire come un'informazione sia diventata accessibile a chi non avrebbe dovuto vederla. Con fuga di dati, o data leak, si può indicare in senso operativo un'esposizione dovuta, per esempio, a una configurazione errata, alla pubblicazione involontaria di un archivio, a procedure interne inadeguate o all'invio di informazioni al destinatario sbagliato. Con data breach si tende invece frequentemente a richiamare una violazione nella quale interviene un accesso non autorizzato. La realtà è però più articolata di questa contrapposizione. Il Garante per la protezione dei dati personali definisce infatti la violazione dei dati personali come una violazione di sicurezza che comporta, accidentalmente oppure in modo illecito, distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali. Una violazione può quindi interessare riservatezza, integrità o disponibilità delle informazioni, senza richiedere necessariamente la presenza dell'immagine tradizionale dell'hacker che sottrae un database. Anche le linee guida dell'European Data Protection Board distinguono infatti violazioni della confidenzialità, dell'integrità e della disponibilità. Per chi utilizza quotidianamente servizi digitali, la conseguenza pratica è più importante della classificazione: occorre capire quali dati siano stati coinvolti e se possano essere ancora utilizzati contro il titolare. Un indirizzo email isolato presenta un livello di rischio diverso rispetto a una combinazione composta da email, password, numero di telefono, nome, data di nascita, indirizzo o informazioni finanziarie. La presenza di più elementi nello stesso archivio permette infatti di collegare informazioni che, prese singolarmente, potrebbero avere un valore limitato. È anche per questa ragione che una violazione apparentemente vecchia può conservare conseguenze operative molto tempo dopo l'incidente originario.

Quando l'indirizzo email diventa la chiave per collegare account diversi

L'email occupa una posizione particolare nella sicurezza degli account perché viene utilizzata come identificativo in una quantità molto ampia di servizi. Shopping online, social network, piattaforme professionali, applicazioni, forum, servizi cloud, newsletter e siti aperti anni prima possono condividere lo stesso indirizzo. Se un database compromesso contiene anche una password, il problema più serio non è necessariamente limitato al servizio dal quale quelle credenziali provengono. Il fenomeno conosciuto come credential stuffing consiste proprio nel prendere combinazioni di username o indirizzo email e password ottenute da precedenti violazioni e provarle automaticamente su piattaforme differenti. OWASP descrive questo tipo di attacco distinguendolo dal tentativo di indovinare una password: nel credential stuffing le credenziali esistono già e vengono testate altrove per verificare se l'utente le abbia riutilizzate. ENISA raccomanda per lo stesso motivo di non utilizzare la stessa password su servizi differenti e indica anche l'impiego di strumenti affidabili per verificare se un indirizzo personale sia presente in violazioni note. Il riutilizzo delle password trasforma quindi una compromissione locale in un possibile problema trasversale. Se la password sottratta da un vecchio sito è identica a quella ancora utilizzata per la posta elettronica, un social network o un servizio commerciale, il rischio riguarda tutti quegli account. Una casella email compromessa merita un'attenzione ancora maggiore perché spesso costituisce il canale utilizzato per il recupero delle credenziali di altri servizi. Inoltre, dati come nome, numero di telefono e abitudini di registrazione possono essere sfruttati per rendere più credibili messaggi di phishing, comunicazioni fraudolente o tentativi di impersonificazione. Il valore di una fuga di dati per un aggressore deriva spesso dalla possibilità di combinare informazioni provenienti da fonti diverse, non soltanto dalla singola informazione sottratta.

Come verificare se un indirizzo email compare in violazioni conosciute

Il problema per l'utente è che le violazioni possono rimanere invisibili dal punto di vista dell'esperienza quotidiana. Un account può continuare a funzionare e una password può continuare a essere accettata anche se una copia delle credenziali è finita in un archivio sottratto. Una prima verifica può essere effettuata utilizzando un data leak checker, cioè uno strumento che confronta un indirizzo email con informazioni provenienti da violazioni e fughe di dati conosciute. Questo genere di controllo è utile soprattutto per ricostruire esposizioni delle quali non si aveva memoria o che riguardano servizi utilizzati molto tempo prima. Il risultato va però letto con cautela. Se il data leak checker trova una corrispondenza, significa che l'indirizzo ricercato compare nelle fonti consultate dallo strumento e può quindi essere opportuno identificare quali informazioni risultano coinvolte e intervenire sugli account interessati. Se invece non viene trovata alcuna corrispondenza, non è possibile concludere che quell'indirizzo non sia mai stato compromesso. Nessun archivio di questo tipo può contenere automaticamente tutte le violazioni esistenti: alcuni incidenti possono non essere stati scoperti, altri non essere stati resi pubblici e altri ancora possono provenire da fonti che il servizio utilizzato non possiede o non indicizza. La differenza è sostanziale. Un controllo negativo significa che non è stata individuata una corrispondenza nelle fonti disponibili, non che esista una certificazione di sicurezza dell'account. Questo limite vale in generale per i servizi di monitoraggio delle violazioni e dovrebbe essere considerato parte della loro corretta interpretazione. La verifica resta comunque utile perché permette di trasformare un'eventualità generica in un'indicazione concreta sulla quale intervenire, soprattutto quando riporta alla luce credenziali associate a servizi dimenticati o password che nel frattempo sono state riutilizzate altrove.

In NordVPN il controllo delle fughe di dati è incluso gratuitamente

Tra gli strumenti disponibili, NordVPN propone un data leak checker gratuito dedicato alla verifica degli indirizzi email. La pagina italiana del servizio dichiara che lo strumento verifica se l'indirizzo inserito risulta coinvolto in fughe e violazioni di dati note e che il controllo viene effettuato su oltre 40.000 fonti. NordVPN specifica inoltre che l'indirizzo utilizzato viene impiegato esclusivamente per effettuare la verifica e che non viene conservato, condiviso o utilizzato per altri scopi. La stessa pagina precisa che il Data leak checker consulta database relativi a fughe conosciute e viene utilizzato per verificare la presenza dell'indirizzo email, mentre eventuali altri dati sensibili potrebbero essere stati esposti insieme a esso. È importante mantenere separato questo controllo puntuale dalle altre funzionalità commercializzate dall'azienda. Sulla stessa pagina NordVPN presenta infatti Dark Web Monitor Pro come soluzione distinta, destinata alla scansione automatica e continuativa delle fughe di dati e inclusa soltanto in determinati piani. Il supporto ufficiale descrive inoltre Dark Web Monitor e Dark Web Monitor Pro come funzionalità di monitoraggio continuativo, con possibilità differenti a seconda del servizio utilizzato. Attribuire queste caratteristiche al checker gratuito sarebbe quindi improprio: il controllo occasionale risponde alla domanda “questo indirizzo compare nelle fonti conosciute consultate adesso?”, mentre il monitoraggio continuativo ha la funzione diversa di verificare nel tempo la comparsa di nuove informazioni. È una distinzione importante anche sul piano della sicurezza personale. Nessuno dei due approcci impedisce di per sé che si verifichi una futura violazione; permette piuttosto di aumentare la capacità di individuare informazioni già esposte e intervenire sugli account interessati.

Cosa fare quando vengono trovate credenziali esposte

Scoprire che un indirizzo compare in una violazione non significa automaticamente che qualcuno abbia già utilizzato quelle informazioni per accedere a un account. È però un'indicazione sufficiente per verificare quali credenziali possano essere ancora valide. La priorità è modificare la password del servizio coinvolto quando è ancora attiva e, soprattutto, cambiare la stessa password in tutti gli altri account nei quali sia stata riutilizzata. Non serve sostituirla con una variante minima aggiungendo un numero o modificando un carattere: l'obiettivo è interrompere la possibilità di riutilizzare credenziali già esposte. Le indicazioni tecniche più recenti del NIST danno rilievo alla lunghezza delle password, all'utilizzo di credenziali uniche, ai password manager e al controllo delle password rispetto a liste di valori già compromessi. Dove disponibile, va inoltre attivata l'autenticazione a più fattori. CISA sottolinea come la MFA aggiunga un requisito ulteriore rispetto alla sola password e renda più difficile l'accesso anche quando una credenziale sia già stata sottratta; i metodi disponibili non offrono tutti lo stesso livello di resistenza al phishing, ma l'aggiunta di un secondo fattore rappresenta comunque una protezione rilevante rispetto alla sola password. La verifica deve poi riguardare l'attività recente dell'account: accessi da dispositivi sconosciuti, modifiche dei dati di recupero, regole di inoltro anomale nelle caselle email, richieste di reimpostazione delle password non avviate dal titolare o altre operazioni non riconosciute meritano attenzione. Se la fuga comprende nome, telefono o altri elementi personali, aumenta inoltre la necessità di valutare con prudenza messaggi e telefonate apparentemente credibili. Un tentativo di phishing che contiene informazioni corrette sulla vittima può sembrare molto più affidabile di una comunicazione fraudolenta generica.