Un avviso di “password compromessa” non va ignorato, ma neppure seguito attraverso un collegamento arrivato per email o SMS. La verifica sicura parte dal gestore di password che usi già sul telefono. Se l’avviso compare anche lì, cambia la credenziale dal sito o dall’app ufficiale del servizio e controlla dove hai riutilizzato la stessa password.
Un avviso non significa necessariamente che qualcuno sia entrato
Una password può essere segnalata perché è comparsa in una fuga di dati nota, perché è debole o perché viene riutilizzata. Questo non dimostra da solo che il tuo account sia già stato aperto da un’altra persona. Indica però che quella credenziale non deve più essere considerata sicura.
Distingui la password del singolo sito da quella del tuo Apple Account o Account Google. Cambiare una credenziale diversa non risolve il problema. Annota il nome esatto del servizio segnalato senza copiare la password in una chat o in una nota non protetta.
Verifica l’avviso senza usare il messaggio ricevuto
Non toccare il pulsante “metti in sicurezza” in un messaggio inatteso. Apri l’app Password su iPhone oppure il Gestore delle password di Google su Android. In alternativa, digita personalmente l’indirizzo del servizio.
Se il controllo ufficiale non mostra la stessa segnalazione, controlla anche l’attività dell’account dal sito ufficiale. Un’email può essere contraffatta; il percorso scelto da te evita di consegnare la password che stai cercando di proteggere.
Su iPhone: apri i consigli di sicurezza
Con iOS 18 o versioni successive, Apple raccoglie password, passkey e codici di verifica nell’app Password. Aprila, autenticati con il metodo richiesto dal dispositivo e consulta la sezione dedicata alla sicurezza. Apple può segnalare credenziali compromesse, deboli o riutilizzate.
Su versioni precedenti di iOS il percorso può trovarsi in Impostazioni > Password > Suggerimenti di sicurezza. L’opzione “Rileva password compromesse” consente al telefono di avvisare quando una password salvata è associata a una fuga di dati nota. Se i nomi cambiano, cerca “Password” nelle impostazioni.
Su Android: usa Controllo password di Google
Apri il Gestore delle password di Google sul telefono e scegli Controllo password. Puoi raggiungerlo anche da Chrome oppure digitando passwords.google.com nel browser. Potrebbe essere necessario accedere al tuo Account Google.
Google distingue password esposte, inefficaci e utilizzate in più account. Leggi quale sito è indicato e non limitarti a premere “ignora”. Un risultato riguarda le credenziali salvate nel gestore: se una password non è stata salvata lì, non aspettarti che il controllo la conosca.
Cambia la password nel servizio corretto
Raggiungi il sito o l’app ufficiale dell’account segnalato, apri le impostazioni di sicurezza e crea una password nuova e unica. Non modificare soltanto quella conservata nel gestore: prima deve cambiare la credenziale presso il servizio, poi il gestore deve salvare il nuovo valore.
Puoi lasciare che il gestore già configurato proponga una password complessa. Dopo la modifica, prova un nuovo accesso. Non comunicare la nuova password a chi ti ha inviato l’avviso e non leggere codici di verifica durante una telefonata.
Se l’avevi riutilizzata, intervieni sugli altri account
Una password identica usata su più siti amplia il rischio. Cerca nel gestore gli account segnalati come riutilizzati e cambia ciascuno dal relativo canale ufficiale. Inizia dall’email principale; continua con banca, identità digitale, negozi e social.
Non creare una variante prevedibile aggiungendo solo un numero o l’anno. Ogni account importante deve avere una credenziale distinta. Procedi uno alla volta e verifica l’accesso dopo ogni modifica.
Controlla accessi, recupero e doppia verifica
Nel servizio interessato guarda dispositivi collegati, attività recente, indirizzi email e numeri di recupero. Disconnetti sessioni che non riconosci seguendo le istruzioni ufficiali. Se noti pagamenti, messaggi o modifiche non autorizzate, contatta il fornitore dal suo canale di assistenza e conserva le prove.
Dopo aver stabilizzato l’account, attiva la verifica in due passaggi quando disponibile. Questa protezione non rende sicuro consegnare un codice a un interlocutore: una richiesta durante una chiamata resta un segnale per fermarsi.
Un esempio inventato
Anna riceve un’email che dice: “La password della posta è stata esposta, cambiala entro un’ora”. Non apre il collegamento. Avvia direttamente il gestore di password del telefono e trova una segnalazione relativa a un vecchio negozio online, non alla posta. Entra nel negozio dall’app abituale, cambia la password e scopre che la stessa credenziale era usata anche su un secondo sito. La sostituisce anche lì, poi controlla che email e numero di recupero siano corretti.
La differenza è stata verificare la richiesta attraverso un percorso indipendente.
Allenati prima che arrivi un avviso urgente
Il corso Al sicuro, online di Curalune Academy comprende una lezione su password e doppia verifica, oltre a esercizi su messaggi sospetti e richieste urgenti. Il percorso aiuta a preparare un piano personale; non controlla né modifica i tuoi account.
Puoi iniziare dalla prima lezione gratuita, senza account né carta, per provare il metodo prima di scegliere l’Academy completa.
Domande frequenti
Se ricevo l’avviso devo cambiare tutte le password?
Cambia quella segnalata e tutte le credenziali uguali o sostanzialmente riutilizzate. Per gli altri account controlla gli avvisi del gestore e l’attività recente, evitando modifiche casuali che potresti non riuscire a ricostruire.
Posso fidarmi del pulsante nell’email di sicurezza?
È più sicuro non usarlo. Apri personalmente l’app o il sito ufficiale e verifica lì l’avviso. In questo modo un messaggio falso non decide la pagina sulla quale inserirai la password.
Cambiare la password salvata nel telefono è sufficiente?
No. La password deve essere modificata presso il sito o l’app del servizio. Il gestore serve a conservare e compilare la nuova credenziale, non a cambiarla automaticamente per ogni account.
Una password compromessa dimostra che il telefono ha un virus?
No. La segnalazione può derivare da una fuga di dati relativa a un servizio. Se osservi anche comportamenti anomali del dispositivo, rivolgiti al supporto ufficiale senza installare strumenti proposti da messaggi o telefonate inattese.