Ho appena ricevuto un'email che dice che uno dei miei vecchi account potrebbe essere stato incluso in una violazione di qualche anno fa. Non ricordo nemmeno su quali siti ho usato quella password. C'è un modo per verificare se le mie password vere stanno circolando in giro, o devo per forza cambiarle tutte?
Usa un servizio come Have I Been Pwned per controllare se la tua email o il tuo nome utente appare in violazioni di dati conosciute. Vai sul sito, digita il tuo indirizzo email, e ti dirà in quali violazioni il tuo account è comparso. Questo non espone la tua password effettiva a te - ti dice solo se quella email faceva parte di una violazione che è stata documentata. Se la tua email salta fuori, sai che qualcosa è successo con quell'account.
La parte complicata è che le password effettive di solito non stanno girando pubblicamente in database ricercabili. Quello che viene esposto nelle violazioni sono tipicamente password hashate, che sono versioni codificate più difficili (ma non impossibili) da decifrare. Quindi nella maggior parte dei casi non troverai la tua password in chiaro là fuori. Detto questo, se era una violazione davvero vecchia e l'hashing era debole, c'è la possibilità che qualcuno l'abbia decifrata ormai - ma non è qualcosa che puoi facilmente verificare da solo.
La mossa migliore è cambiare la password su quell'account subito, e se hai riutilizzato quella stessa password da qualche altra parte, cambiala anche su quegli altri siti. È qui che un password manager effettivamente diventa utile se non ne hai uno - ti permette di generare e tenere traccia di password forti diverse per tutto senza farti impazzire cercando di ricordarle tutte. E andando avanti, usare password uniche per ogni sito significa che una violazione non fa saltare in aria ogni account che possiedi.
I servizi di notifica delle violazioni coprono gli indirizzi email nei database trapelati, ma ecco il punto - non possono effettivamente dirti se la tua specifica password è in circolazione, solo che il tuo account è stato compromesso. Quello che importa di più è se hai riusato quella password da altre parti, perché gli attaccanti testeranno le credenziali compromesse su più siti.
Mi è capitato che una vecchia email finisse in una violazione anni fa e l'ho effettivamente trovata su quei siti di controllo, ma quello che mi ha davvero aiutato è stato passare in rassegna il mio gestore di password e vedere quali account avevano condiviso quella stessa password. Ho cambiato quelli per primi, poi ho fatto il resto. Se non ricordi quali siti usavano quella password, onestamente potrebbe valere la pena fare un reset completo di qualsiasi cosa importante - account che hanno informazioni di pagamento, accesso di recupero email, quel genere di cose. Le password in testo semplice praticamente non vengono mai trapelate in una forma utile per gli attaccanti; quello che viene rubato di solito sono hash, quindi anche se la tua password è "in circolazione", decifrarla richiede uno sforzo notevole.
La cosa che nessuno ti dice davvero è che anche se la tua email appare in una violazione, la tua vera password di solito non è lì semplicemente leggibile. La maggior parte dei siti usa l'hash per le password, il che significa che sono scramblate in un modo super difficile da invertire. Quindi quando ricevi quella notifica, di solito significa che la tua email e il tuo nome utente sono stati trapelati, non la password stessa - a meno che il sito non sia stato davvero negligente sulla sicurezza.
Detto questo, devi comunque prenderla sul serio perché gli hacker proveranno la tua email + password comuni o quelle da altre violazioni contro i tuoi altri account. Ho scoperto l'anno scorso che un vecchio forum che avevo usato anni fa è stato colpito, e anche se le password vere non erano esposte, qualcuno ha provato ad accedere alla mia email con credenziali trapelate da qualche altro sito. L'ho scoperto grazie agli avvisi di accesso, ma è stato un campanello d'allarme.
Ecco cosa conta davvero: se hai usato quella password da qualche altra parte, cambiala prima su quegli account, partendo da email e servizi bancari. Dopo, sì, passala attraverso Have I Been Pwned come le risposte precedenti hanno menzionato - ma concentrati sul lato email/nome utente, non nel cercare di verificare se la password stessa è in giro. Da adesso in poi, usa semplicemente un password manager così non stai riutilizzando niente, e non dovrai stare sveglio di notte chiedendoti quali siti hanno cosa. Ci vogliono tipo venti minuti per configurarlo e ti salva da questo esatto problema in futuro.
Una volta controllati quei database di violazioni e saputo quali account sono stati colpiti, la mossa pratica è cambiare la password su quel sito per primo, poi su tutti gli altri dove hai riusato la stessa password - il che è probabilmente il motivo per cui sei stressato per questa faccenda. La buona notizia è che anche se la violazione includeva hash delle password, non sono semplicemente leggibili in qualche file txt; il vero rischio è se qualcuno le passa attraverso uno strumento di cracking, ma quello richiede tempo e fatica per le violazioni più vecchie. Quello che conta di più è se hai riusato quella password su cose importanti come email o banca, perché quelle vengono prese di mira per prime.
Accediper rispondere.
