Come Sapere se la Tua Password è Stata Compromessa: Guida Completa 2026

Ogni anno vengono esposti miliardi di credenziali in violazioni di dati, e la maggior parte degli utenti non sa nemmeno di essere coinvolta. Se usi la stessa password da anni o la riutilizzi su più siti, le probabilità che sia già finita in qualche database di hacker sono molto alte. In questa guida ti spiego passo passo come verificare se una password è stata compromessa, quali strumenti usare e cosa fare immediatamente se scopri una fuga di dati.

Cosa significa "password compromessa"

Una password compromessa è una credenziale che è stata esposta pubblicamente o venduta nel dark web dopo un attacco informatico, un data breach aziendale o un episodio di phishing. Da quel momento la password non è più segreta: può essere usata da chiunque abbia accesso a quei database.

Il problema principale non è solo il singolo account violato. Secondo diversi studi di sicurezza, oltre il 60% degli utenti riutilizza la stessa password su più servizi. Questo significa che se la tua password di un forum del 2015 è stata rubata, potrebbe aprire anche la tua email, il tuo home banking o il tuo profilo social oggi.

Le principali cause di compromissione

Data breach aziendali: hacker penetrano nei server di un sito e rubano l'intero database utenti (es. LinkedIn, Yahoo, Facebook).
Phishing: email o siti falsi che ti convincono a digitare le credenziali su una pagina controllata dai criminali.
Malware: software malevolo (keylogger, infostealer) che registra ciò che digiti.
Password deboli: parole comuni crackabili in pochi secondi con attacchi di dizionario.
Reti Wi-Fi pubbliche non protette: in alcune circostanze possono esporre il traffico non cifrato.

Segnali che la tua password è stata compromessa

Prima di usare strumenti dedicati, ci sono alcuni campanelli d'allarme che dovrebbero farti correre a cambiare le credenziali:

Email di "accesso insolito": Google, Microsoft o Apple ti notificano un login da un dispositivo o paese che non riconosci.
Reset password non richiesti: ricevi email per reimpostare password di servizi che non hai mai richiesto.
Spam inviato dal tuo account: i tuoi contatti ti dicono di aver ricevuto messaggi strani da te.
Transazioni sconosciute: addebiti sulla carta o acquisti online che non hai effettuato.
Impossibilità di accedere: la tua password "di colpo" non funziona più perché qualcuno l'ha cambiata.
Notifiche 2FA inattese: ricevi codici di verifica che non hai richiesto.

Se riconosci anche solo uno di questi segnali, considera la password già compromessa e agisci subito.

Come verificare se una password è stata compromessa: strumenti gratuiti

Esistono diversi servizi affidabili che confrontano le tue credenziali con enormi database di violazioni pubbliche, senza rischi per la tua privacy se usati correttamente.

1. Have I Been Pwned (HIBP)

È il servizio più famoso al mondo, creato dall'esperto di sicurezza Troy Hunt. Puoi inserire il tuo indirizzo email su haveibeenpwned.com e scoprire in quali data breach noti è apparso.

Esiste anche una sezione dedicata Pwned Passwords: ti permette di controllare se una specifica password è nel database di oltre 850 milioni di credenziali compromesse. Il sistema usa l'hashing SHA-1 con k-anonymity: la tua password non viene mai trasmessa in chiaro, solo i primi 5 caratteri dell'hash.

2. Google Password Checkup

Se usi Chrome o un account Google, hai già uno strumento integrato. Vai su passwords.google.com e clicca su "Controllo delle password". Google verificherà tutte le credenziali salvate nel browser contro i database di violazioni note e ti segnalerà:

Password compromesse (presenti in breach)
Password riutilizzate su più siti
Password deboli facilmente indovinabili

3. Firefox Monitor (Mozilla)

Mozilla offre un servizio simile a HIBP, integrato nel browser Firefox e disponibile su monitor.firefox.com. Puoi registrare la tua email e ricevere notifiche automatiche quando viene coinvolta in nuove violazioni.

4. Apple Password Monitoring

Su iOS e macOS, nelle Impostazioni > Password, Apple segnala automaticamente le credenziali del Portachiavi iCloud che risultano in data breach noti. È attivo di default dai sistemi recenti.

5. 1Password Watchtower e Bitwarden Reports

Se usi un password manager a pagamento o open source come Bitwarden, hai funzioni dashboard dedicate che analizzano l'intero vault segnalando password deboli, riutilizzate o compromesse.

Confronto tra gli strumenti principali

Strumento	Costo	Verifica email	Verifica password	Notifiche automatiche
Have I Been Pwned	Gratuito	Sì	Sì	Sì (iscrizione)
Google Password Checkup	Gratuito	No	Sì (salvate)	Sì
Firefox Monitor	Gratuito	Sì	No	Sì
Apple Password Monitoring	Gratuito	No	Sì (Portachiavi)	Sì
Bitwarden Reports	Freemium	Sì (Premium)	Sì	Sì

Come verificare la tua password passo per passo

Ecco la procedura consigliata per fare un check completo della tua sicurezza:

Vai su haveibeenpwned.com e inserisci il tuo indirizzo email principale. Ripeti per tutte le email secondarie.
Annota ogni breach in cui compari: segnati il nome del sito e l'anno della violazione.
Verifica le password specifiche: su haveibeenpwned.com/Passwords prova le password che usi più spesso (fallo solo su connessione fidata).
Apri il Password Checkup di Google da passwords.google.com/checkup.
Esamina il report: ordina per gravità, iniziando dalle password compromesse per account critici (banca, email, lavoro).
Iscriviti alle notifiche di HIBP e Firefox Monitor per essere avvisato dei futuri breach.

Cosa fare se la tua password è stata compromessa

Scoprire una password compromessa non è la fine del mondo, ma devi agire velocemente e nel modo giusto. Ecco il protocollo da seguire:

1. Cambia subito la password del servizio coinvolto

Accedi al sito e crea una password nuova, lunga almeno 14-16 caratteri, con mix di lettere maiuscole/minuscole, numeri e simboli. Non usare mai variazioni della precedente (tipo aggiungere "1" o "!" alla fine).

2. Cambia la stessa password ovunque l'abbia riutilizzata

Questo è il passaggio più importante e più trascurato. Se la password "Milano2020!" era sulla tua email e anche su tre e-commerce, devi cambiarla su tutti e quattro i servizi.

3. Attiva l'autenticazione a due fattori (2FA)

La 2FA è la tua rete di sicurezza: anche se qualcuno conosce la password, senza il codice temporaneo non può entrare. Usa preferibilmente app come Google Authenticator, Authy o Aegis invece degli SMS (vulnerabili al SIM swap).

4. Controlla l'attività recente dell'account

Nelle impostazioni di sicurezza di Google, Microsoft, Facebook ecc. puoi vedere ultimi accessi, dispositivi collegati e sessioni attive. Disconnetti tutto ciò che non riconosci.

5. Avvisa il tuo entourage digitale

Se l'account compromesso è un social o un'email, i criminali potrebbero aver scritto a contatti chiedendo soldi o inviando link malevoli. Fai sapere ad amici e colleghi di ignorare messaggi sospetti recenti.

6. In caso di dati finanziari esposti, segnala tutto

Blocca carte di credito, contatta la banca e, se necessario, presenta denuncia alla Polizia Postale. In Italia puoi anche segnalare la violazione al Garante per la Protezione dei Dati Personali se il titolare del trattamento non ti ha informato come previsto dal GDPR.

Come creare password sicure e impossibili da compromettere

Prevenire è meglio che curare. Ecco le best practice da adottare subito:

Usa un password manager

Strumenti come Bitwarden, 1Password, KeePassXC o Proton Pass generano e memorizzano password uniche e complesse per ogni servizio. Tu devi ricordare solo la master password. Questo singolo cambiamento riduce del 90% il rischio di compromissione a cascata.

Lunghezza prima della complessità

Una passphrase di 20 caratteri come "cavallo-bicicletta-verde-mare-42" è più sicura di "P@ss1!" ed è anche più facile da ricordare. Gli attacchi brute-force si misurano in esponenziali: ogni carattere in più raddoppia o triplica il tempo necessario per crackarla.

Mai riutilizzare password

È la regola d'oro. Una password per sito, sempre. Se un servizio viene violato, il danno resta circoscritto a quel singolo account.

Attenzione ai link sospetti

Il phishing resta la causa numero uno di furto credenziali. Verifica sempre l'URL prima di cliccare, soprattutto nelle email che chiedono login o reset password. Strumenti come Lunyb permettono di gestire link in modo trasparente e tracciabile, e nel nostro blog puoi approfondire anche cosa sa Google di te e come riprendere il controllo dei tuoi dati.

Aggiorna sempre browser e sistema operativo

Molti attacchi sfruttano vulnerabilità note già corrette dalle patch ufficiali. Un sistema aggiornato ti protegge automaticamente da gran parte delle minacce.

Errori comuni da evitare durante la verifica

Inserire password su siti non ufficiali: controlla sempre di essere su haveibeenpwned.com (non su cloni con URL simili).
Testare password da reti pubbliche: fai le verifiche da connessioni di casa o dati mobili.
Credere che "a me non succederà": statisticamente, se hai un'email da più di 5 anni, sei quasi certamente in qualche breach.
Cambiare solo la password senza attivare 2FA: fa' entrambe le cose per una protezione reale.
Usare lo stesso "schema" per generare password: se gli hacker capiscono il tuo pattern, lo applicano anche ad altre tue credenziali.

Monitoraggio continuo: la vera protezione a lungo termine

Verificare una volta non basta. Nuove violazioni avvengono ogni settimana. Per essere davvero al sicuro:

Iscriviti alle notifiche di Have I Been Pwned (ti arriva un'email quando la tua compare in un nuovo breach).
Esegui il Password Checkup di Google almeno una volta ogni 3 mesi.
Rivedi le sessioni attive dei tuoi account principali mensilmente.
Mantieni il tuo password manager aggiornato e fai un audit del vault ogni 6 mesi.

Se gestisci link e contenuti pubblici, scegliere piattaforme che prendano sul serio la sicurezza fa la differenza: per approfondire la selezione di strumenti affidabili puoi leggere la nostra guida alla migliore piattaforma di gestione link del 2026.

FAQ: Domande Frequenti sulle Password Compromesse

È sicuro inserire la mia password su Have I Been Pwned?

Sì, se usi il sito ufficiale. HIBP utilizza un sistema di k-anonymity: la password viene trasformata in un hash SHA-1 sul tuo browser e solo i primi 5 caratteri dell'hash vengono inviati al server. La password in chiaro non lascia mai il tuo dispositivo. In ogni caso, come buona pratica, dopo aver verificato una password cambiatela comunque.

Ogni quanto dovrei cambiare le mie password?

Le linee guida moderne (NIST) sconsigliano cambi forzati periodici che portano a password più deboli. Meglio cambiare la password solo quando c'è un sospetto di compromissione o un breach noto, mantenendo credenziali uniche e molto robuste su ogni servizio, con 2FA attiva.

Cosa è un data breach e come posso saperne di nuovi?

Un data breach è una violazione in cui dati personali (incluse credenziali) vengono rubati o esposti pubblicamente. Per restare aggiornato iscriviti alle notifiche di Have I Been Pwned, Firefox Monitor, e segui comunicazioni ufficiali dei servizi che usi. In base al GDPR, i siti con sede nell'UE devono notificare le violazioni gravi entro 72 ore al Garante.

Il mio browser salva le password: è sicuro?

I password manager integrati in Chrome, Firefox, Safari ed Edge sono migliorati molto e offrono controlli automatici sulle credenziali compromesse. Tuttavia un password manager dedicato (Bitwarden, 1Password, KeePassXC) offre funzioni avanzate: condivisione sicura, audit del vault, supporto a passkey e maggiore cross-platform. Per uso base i browser sono accettabili, per uso serio meglio uno strumento dedicato.

Cosa faccio se la mia email principale è stata compromessa?

L'email è l'account più critico perché controlla il reset di tutti gli altri. Agisci subito: 1) cambia la password dell'email con una nuovissima e lunga; 2) attiva 2FA con app di autenticazione; 3) controlla filtri e regole di inoltro automatico (gli hacker ne creano per intercettare messaggi); 4) rivedi tutti gli account collegati a quell'email e aggiorna anche le loro password; 5) notifica il provider se noti attività sospette non riconducibili a te.