Come scoprire se le proprie credenziali sono esposte sul dark web

Le credenziali rubate sono la merce più scambiata nei mercati clandestini del dark web: nomi utente, e-mail e password sottratti nelle violazioni finiscono in vendita a pochi euro, spesso mesi dopo il furto, quando l’azienda o la persona colpita ha già dimenticato l’incidente. Scoprire per tempo se le proprie credenziali sono esposte è il modo per intervenire prima che qualcuno le usi.

In questa guida vediamo come verificare se le vostre credenziali — personali o aziendali — sono finite sul dark web, cosa fare se le trovate, e soprattutto come ridurre il rischio che ci arrivino. Per capire cos’è il dark web e come funziona, rimandiamo alla guida su che cos’è il dark web.

1. Perché le credenziali finiscono sul dark web
2. Come verificare se sono esposte
3. Cosa fare se le trovate esposte
4. Come prevenire l’esposizione
5. Il rischio per le aziende

Perché le credenziali finiscono sul dark web

Le credenziali arrivano sul dark web attraverso tre canali principali. Il più comune sono i data breach: quando un servizio online viene violato, gli archivi di utenti e password sottratti vengono rivenduti in blocco. Il secondo è il phishing: e-mail e siti falsi che inducono l’utente a digitare le proprie credenziali direttamente nelle mani dell’attaccante. Il terzo sono gli infostealer, malware progettati per rubare le credenziali salvate nel browser e inviarle ai criminali.

Il vero moltiplicatore del danno è però un’abitudine diffusa: il riutilizzo della stessa password su più servizi. Quando una singola violazione espone una password riutilizzata, gli attaccanti la provano automaticamente su decine di altri servizi — è la tecnica del credential stuffing, che trasforma una fuga circoscritta in un accesso a mezza vita digitale della vittima.

Come verificare se sono esposte

Verificare l’esposizione delle proprie credenziali è possibile, e per fortuna non richiede di avventurarsi sul dark web. Lo strumento più noto e affidabile è Have I Been Pwned: un servizio gratuito che raccoglie i dati delle violazioni note e permette di controllare, inserendo un indirizzo e-mail, in quali data breach quell’indirizzo è stato coinvolto. È il primo controllo da fare, ed è immediato.

Accanto a questo, i password manager moderni e alcuni browser integrano funzioni di allerta che segnalano automaticamente se una password salvata compare in una violazione nota — un monitoraggio continuo e senza sforzo. Per le esigenze più strutturate esistono infine i servizi professionali di dark web monitoring, che sorvegliano forum e mercati clandestini alla ricerca di credenziali associate a un dominio o a un’organizzazione, e avvisano in caso di comparsa.

Un avvertimento importante: diffidate delle scorciatoie “fai da te” che circolano online — accedere direttamente a forum o mercati del dark web per cercare i propri dati non è un metodo per utenti comuni, espone a malware e truffe, e non offre alcuna garanzia. Gli strumenti legittimi sopra citati fanno lo stesso lavoro in sicurezza.

Cosa fare se le trovate esposte

Se scoprite che una vostra credenziale è esposta, la rapidità è tutto. Il primo passo è cambiare immediatamente la password del servizio coinvolto e — punto cruciale — di ogni altro servizio dove aveste usato la stessa password o una simile. È qui che il riutilizzo presenta il conto: una sola fuga costringe a mettere in sicurezza decine di account.

Il secondo passo è attivare l’autenticazione a due fattori ovunque sia disponibile, a partire dagli account critici (e-mail, banca, servizi di lavoro): anche se un attaccante possiede la password, senza il secondo fattore non entra. Il terzo, per i casi che coinvolgono dati finanziari o un furto d’identità in corso, è la denuncia alle autorità competenti e la segnalazione alla banca. Infine, un periodo di monitoraggio attento degli account e dei movimenti, perché le conseguenze di una credenziale esposta possono manifestarsi a distanza di tempo.

Come prevenire l’esposizione

Nessuno può impedire del tutto che un servizio a cui si è iscritti subisca una violazione, ma si può fare in modo che una fuga di dati faccia il minimo danno possibile. Le due misure che contano più di ogni altra:

• Una password diversa per ogni servizio, gestita da un password manager: così una violazione resta confinata a un solo account invece di propagarsi a tutti. È la singola abitudine che neutralizza il credential stuffing;
• L’autenticazione a due fattori ovunque: trasforma una password rubata in una chiave che da sola non apre nulla.

A queste si aggiungono le buone abitudini di sempre: diffidenza verso le e-mail che chiedono credenziali, aggiornamento costante di dispositivi e software per chiudere le porte agli infostealer, e attenzione a dove si digitano i propri dati. Non sono misure sofisticate — sono esattamente quelle che la maggior parte delle vittime non aveva adottato.

Il rischio per le aziende

Per un’azienda il tema cambia scala. Non si tratta di una password personale, ma delle credenziali di decine o centinaia di dipendenti, ciascuna delle quali è una potenziale porta d’ingresso ai sistemi aziendali. Un solo dipendente che riutilizza la password del gestionale su un servizio poi violato può aprire agli attaccanti l’accesso all’intera infrastruttura — ed è uno degli scenari da cui partono più spesso gli incidenti gravi, con i costi che abbiamo analizzato in quanto costa un attacco informatico a una PMI.

La difesa aziendale si gioca quindi su due piani. Da un lato la tecnologia e le policy: password manager aziendali, autenticazione a due fattori obbligatoria, monitoraggio delle credenziali esposte associate al dominio. Dall’altro, il piano decisivo, le persone: perché la password riutilizzata, l’e-mail di phishing aperta, il secondo fattore mai attivato dipendono dai comportamenti quotidiani di chi lavora, e nessuna tecnologia li corregge da sola.

In conclusione

Scoprire se le proprie credenziali sono esposte sul dark web è oggi semplice e alla portata di tutti, grazie a strumenti gratuiti e affidabili. Ma la verifica è solo metà del lavoro: conta di più ciò che si fa prima — password uniche, autenticazione a due fattori, attenzione — e ciò che si fa subito dopo aver scoperto un’esposizione. Per un’azienda, dove ogni dipendente è una potenziale via d’accesso, questa disciplina non è più una buona pratica individuale ma una misura di sicurezza collettiva, che vive nella consapevolezza di chi ogni giorno gestisce le proprie chiavi digitali.