Quando un servizio che usi rivela una violazione, la prima domanda è di solito sempre la stessa: sono stato coinvolto? Un utente giapponese, che dice di essere lui stesso una vittima della violazione dei dati di Times Car, si è posto quella domanda per ogni servizio che utilizza. Ha poi pubblicato una raccolta di fughe di dati personali e violazioni di servizi nazionali nell'ultimo anno, con indicazioni su dove cambiare le password. La sua lista è uno spunto utile per tutti per verificare se i tuoi dati sono trapelati in servizi che hai dimenticato da tempo.

Una nota sulle fonti: l'estratto dell'articolo originale a nostra disposizione è breve, quindi questo post non ripete i dettagli delle singole violazioni. Usa invece l'approccio dell'autore come modello che puoi applicare ai tuoi account.

Cosa mostra la violazione di Times Car sull'esposizione degli account

Il punto di partenza dell'autore merita attenzione. Non aveva l'intenzione di scrivere un riepilogo delle violazioni. È diventato vittima di un incidente, poi si è chiesto cos'altro potesse essere sfuggito nell'ultimo anno. È una reazione sensata, perché una singola notifica raramente racconta tutta la storia.

La maggior parte delle persone distribuisce i propri dati su decine di servizi: car sharing, acquisti, cloud storage, viaggi, consegne. Ognuno contiene una qualche combinazione del tuo nome, email, numero di telefono, indirizzo e talvolta dati di pagamento o di accesso. Non controlli quanto bene ciascuno di essi li protegga. Quando un fornitore viene violato, l'esposizione ti segue anche se il tuo dispositivo non è mai stato compromesso.

Questo rischio lato fornitore è la lezione chiave. La violazione di Rakuten Drive che ha colpito 15.000 account è un altro esempio di come un incidente presso un servizio possa mettere a rischio i dati che vi hai archiviato, indipendentemente da quanto tu sia stato accurato personalmente.

Come verificare quali servizi hanno fatto trapelare i tuoi dati

Puoi prendere in prestito il metodo dell'autore in pochi passaggi:

  1. Elenca i tuoi servizi. Cerca nella tua casella email messaggi di benvenuto, ricevute e email di reimpostazione della password degli ultimi anni. Includi ogni indirizzo che hai usato.
  2. Cerca le notifiche. Cerca nella tua casella parole come "accesso non autorizzato", "incidente di sicurezza" o "avviso importante". Le aziende di solito inviano un'email ai clienti colpiti, e questi messaggi spesso finiscono nello spam.
  3. Usa strumenti di ricerca delle violazioni. Servizi affidabili di ricerca delle violazioni ti permettono di inserire un indirizzo email o un numero di telefono e vedere se compare in dataset trapelati noti. Usa servizi consolidati e non inserire mai la tua password in uno di essi.
  4. Controlla gli annunci delle aziende. Per i servizi che usi davvero, consulta le pagine ufficiali di notizie o sicurezza. Una lista compilata come quella dell'autore può aiutarti a fare riferimenti incrociati tra i nomi.
  5. Annota ciò che trovi. Registra il servizio, la data e quali tipi di dati sarebbero stati esposti.

Una ricerca che non restituisce risultati non prova che sei al sicuro. Non tutte le violazioni sono pubblicamente note o indicizzate. Considera gli strumenti come un segnale tra i tanti.

Quali password cambiare per prime

Non devi cambiare tutto in una volta. Dai priorità in base al danno che un furto di account potrebbe causare:

  • Il tuo account email principale. Reimposta quasi tutto il resto, quindi viene per primo.
  • Qualsiasi account indicato in una notifica di violazione. Cambia la password anche se l'azienda dice che le password non sono state esposte.
  • Account finanziari, di pagamento e di acquisto con carte salvate o saldi punti.
  • Account di cloud storage e backup, che possono contenere documenti d'identità, foto e file di lavoro.
  • Qualsiasi account che condivide una password con uno violato. Il riutilizzo è il modo principale in cui una fuga diventa molte.

Esamina anche cos'altro è stato esposto. Se una notifica elenca numeri di telefono o indirizzi invece delle password, cambiare la password non aiuterà molto; aspettati invece phishing e messaggi truffaldini più convincenti e tratta con sospetto link e chiamate inaspettati.

Proteggere gli account con 2FA e un gestore di password

Una volta cambiate le password urgenti, rendi meno costosa la prossima violazione.

Usa un gestore di password. Genera una password lunga e unica per ogni servizio, così una fuga presso un fornitore non può sbloccarne un altro. Devi ricordare solo una passphrase principale forte.

Attiva l'autenticazione a due fattori (2FA). Preferisci un'app di autenticazione o una chiave di sicurezza hardware ai codici via SMS, dove il servizio li offre. Anche se una password trapela, un aggressore ha comunque bisogno del secondo fattore.

Esamina l'attività di accesso e le app collegate. Disconnetti i dispositivi sconosciuti e rimuovi gli accessi di terze parti che non usi più.

Elimina ciò che non ti serve. Chiudi gli account dei servizi che hai smesso di usare. I dati che non sono archiviati non possono trapelare.

Cosa significa per te

Le violazioni nei servizi che usi sono in gran parte fuori dal tuo controllo, ma la tua risposta no. Sapere quali dei tuoi account sono stati colpiti ti permette di agire prima su quelli giusti, e password uniche più 2FA limitano quanto lontano può diffondersi una singola fuga. Una VPN non protegge i dati che un'azienda archivia sui propri server, quindi in questa situazione l'igiene degli account conta più degli strumenti di rete.

Punti chiave

  • Riserva del tempo questa settimana per verificare se i tuoi dati sono trapelati nei servizi che usi.
  • Cerca nella tua casella le notifiche di violazione e crea una lista semplice degli account colpiti.
  • Cambia prima la password della tua email, poi quella degli account finanziari e cloud.
  • Adotta un gestore di password e attiva la 2FA ovunque sia offerta.
  • Chiudi gli account inutilizzati e rivedi come archivi i file presso i fornitori online, come mostra l'incidente di Rakuten Drive: i problemi lato fornitore possono raggiungere i dati archiviati.

Un'ora di verifica adesso è molto più semplice che recuperare un account compromesso in seguito.