Verificare se i miei dati sono stati rubati: email e telefono

Risposta rapida

Per verificare se la tua email è stata rubata, inseriscila su haveibeenpwned.com, che elenca le violazioni in cui compare. Controlla le password salvate con Controllo password di Google o con il report di sicurezza del tuo password manager. Non esiste un controllo gratuito affidabile per i numeri di telefono, quindi considera esposto il tuo se era in un account violato. Poi cambia le password riutilizzate, attiva le passkey o l'autenticazione a due fattori con app, chiedi un PIN all'operatore e congela il credito (USA) o valuta la Protective Registration di Cifas (Regno Unito).

Numeri chiave

17,8 miliardidi account violati consultabili su Have I Been Pwned, da oltre 1.000 siti violatiHave I Been Pwned
1,31 miliardi di dollaripersi nel 2025 secondo 67.456 denunce all'FBI per violazioni di dati personaliFBI IC3 2025 Internet Crime Report
38%l'aumento dei SIM swap non autorizzati registrati nel National Fraud Database britannico nel 2025Cifas Fraudscape 2026
4,46 milionidi persone hanno avuto nome, numero di Social Security e data di nascita esposti nella violazione di TransUnion del 2025SecurityWeek

Ti è arrivata un'email che dice che un'azienda di cui sei cliente "ha subito un incidente di sicurezza". Oppure un truffatore ti ha scritto chiamandoti per nome. In entrambi i casi la domanda è la stessa: quali miei dati sono in giro, e cosa può farci qualcuno? Prima di tutto conviene verificare se i tuoi dati sono stati rubati. Have I Been Pwned, il servizio di controllo delle violazioni più conosciuto, contiene più di 17,8 miliardi di account violati. Le probabilità che almeno uno dei tuoi sia lì dentro sono alte.

Una fuga di dati non equivale a essere stati hackerati. Ma consegna ai criminali la materia prima per phishing, furto di account e frodi d'identità. Nel 2025 l'FBI ha registrato 67.456 denunce per violazioni di dati personali, con perdite dichiarate per 1,31 miliardi di dollari. I passaggi qui sotto richiedono circa 30 minuti e chiudono quasi tutte le porte che una fuga di dati apre.

Come verifico se la mia email è finita in un data breach?

Inserisci il tuo indirizzo email su haveibeenpwned.com. È gratuito, è gestito dal ricercatore di sicurezza Troy Hunt ed elenca ogni violazione nota in cui compare il tuo indirizzo, con la data e i tipi di dati esposti.

Controlla ogni indirizzo che hai usato, compresi quelli vecchi di lavoro, di scuola e quelli usa e getta.
Leggi ogni violazione. Annota cosa è uscito: password, numeri di telefono, indirizzi, date di nascita, domande di sicurezza.
Dai la priorità alle violazioni che includevano password o numeri di documenti d'identità, e agli account che usi ancora.
Attiva Notify me per ricevere un'email se il tuo indirizzo compare in una violazione futura.

"No breaches found" non significa che sei al sicuro. Molte violazioni non vengono mai rese pubbliche e alcuni dati vengono venduti in privato. Consideralo una buona notizia, non una garanzia.

Come verifico se le mie password sono state rubate?

Se salvi le password in Chrome o su Android, usa Controllo password di Google su passwords.google.com. Ti dice quali password salvate sono state compromesse e quali sono deboli. L'app Password di Apple e la maggior parte dei password manager hanno un report di sicurezza simile.

Puoi anche provare una singola password sulla pagina Pwned Passwords di Have I Been Pwned. Non invia mai la tua password: il browser ne calcola l'hash e invia solo i primi cinque caratteri, poi confronta i risultati sul tuo dispositivo.

Una password rubata conta soprattutto se l'hai riutilizzata. I criminali prendono le coppie email e password rubate e le provano in automatico su banche, email, negozi online e social. Si chiama credential stuffing, ed è il motivo per cui una vecchia violazione può aprire dieci account.

Come faccio a sapere se il mio numero di telefono è stato rubato?

Non esiste uno strumento gratuito affidabile che controlli i numeri di telefono in tutte le violazioni, quindi la risposta onesta è: se un account violato conteneva il tuo numero, consideralo esposto. Segnali forti sono un aumento di chiamate e SMS truffa, messaggi che usano il tuo nome e codici monouso che non hai richiesto.

Probabilmente il tuo numero è pubblico anche in altri modi. Siti di ricerca persone, vecchi annunci e profili social collegano i numeri di telefono a nomi e indirizzi. Per vedere cosa uno sconosciuto può collegare a te, fai una ricerca Cerca te stesso su Search A-Z. Il report mostra i profili pubblici, le menzioni sul web e i dati di lavoro legati al tuo nome, e verifica se un numero di telefono o un'email che inserisci è reale, che tipo di linea è (cellulare, fisso o internet/VoIP) e se presenta un rischio di frode. Le ricerche negli USA possono includere registri pubblici come indirizzi e telefoni.

Quali sono stati i data breach più gravi del 2025 e del 2026?

Le violazioni recenti hanno esposto soprattutto dati di contatto e d'identità più che numeri di carta, cioè proprio ciò che i truffatori usano per phishing e impersonificazione. Alcune delle più grandi:

Violazione	Persone coinvolte	Cosa è uscito
Co-op, Regno Unito (aprile 2025)	6,5 milioni di soci	Dati di contatto dei soci; nessun dato finanziario o sulle transazioni
TransUnion, USA (luglio 2025)	4,46 milioni	Nomi, numeri di Social Security, date di nascita
Carnival, USA (aprile 2026)	5.995.277	Nomi, email, date di nascita, dati del programma fedeltà (variabili)
ADT, USA (2026)	Circa 5,5 milioni (secondo Have I Been Pwned)	Nomi, numeri di telefono, indirizzi; in alcuni casi date di nascita e SSN parziali
Panera Bread, USA (2026)	Circa 5,1 milioni di email (secondo Have I Been Pwned)	Nomi, email, numeri di telefono, indirizzi

Secondo Malwarebytes, la violazione di Carnival è partita dall'ingegneria sociale: un attaccante ha convinto un dipendente a concedergli l'accesso. A metà 2025 i titoli parlavano di "16 miliardi di password rubate". BleepingComputer ha spiegato che si trattava di una raccolta di vecchie violazioni e di log di malware infostealer, non di una nuova violazione. Restava comunque un buon motivo per smettere di riutilizzare le password.

Cosa possono fare i truffatori con i miei dati rubati?

I truffatori usano i dati rubati per rendere credibili i loro approcci e superare i controlli di sicurezza. I rischi principali:

Phishing mirato. Un messaggio che usa il tuo nome, l'azienda violata e i tuoi veri dati di ordine o di account. Spesso si spacciano per l'azienda violata e offrono un "risarcimento" o una "verifica dell'account".
Furto di account. Le password rubate vengono provate su email, banca e negozi online. Nel 2025 Cifas ha registrato nel Regno Unito più di 78.000 casi di furto di account.
SIM swap. Con nome, numero e data di nascita, un criminale convince il tuo operatore a trasferire il numero sulla sua SIM, poi riceve i tuoi codici via SMS. Nel 2025 l'FBI ha ricevuto 971 denunce per SIM swap con 17,4 milioni di dollari di perdite, e Cifas ha visto un aumento del 38% dei casi nel Regno Unito.
Frode d'identità. Aprire finanziamenti, contratti telefonici o conti a tuo nome. Nel 2025 la frode d'identità ha rappresentato il 54% di tutti i casi nel National Fraud Database britannico, più di 242.000 casi.
Impersonificazione. Messaggi ai tuoi contatti o al tuo datore di lavoro che sembrano arrivare da te, a volte da un indirizzo email simile al tuo.

Un tipico messaggio truffa che arriva dopo una violazione:

Gentile [tuo nome], a seguito del recente incidente informatico che ha coinvolto [azienda], il suo account è stato segnalato. Per mantenere l'accesso e ricevere il rimborso, verifichi i suoi dati entro 24 ore: [link]

Non cliccare mai i link nei messaggi sulle violazioni. Vai tu sul sito o sull'app dell'azienda. Se al lavoro un messaggio ti chiede di verificare un mittente o dei dati di pagamento, la nostra guida su come verificare il mittente di un'email spiega i controlli.

Cosa devo fare se i miei dati sono stati rubati?

Se i tuoi dati sono stati rubati, cambia le password esposte o riutilizzate, attiva un accesso più sicuro, proteggi il tuo numero di telefono e blocca il credito. Fallo in quest'ordine:

Metti al sicuro prima l'email principale. È quella che reimposta tutto il resto. Nuova password unica, poi autenticazione a due fattori.
Cambia ogni password riutilizzata. Usa un password manager, così ogni account ha la sua. Se pensi che il computer abbia un malware, fai prima una scansione, altrimenti possono rubarti anche le nuove password.
Passa alle passkey dove disponibili. Google, Apple, Microsoft, Amazon, PayPal e molte banche le supportano. Le passkey non si possono rubare con il phishing né riutilizzare.
Usa un'app di autenticazione, non gli SMS, per i codici a due fattori degli account importanti. Il SIM swap intercetta i codici via SMS.
Chiedi un PIN o un blocco all'operatore. Chiedi al tuo operatore mobile un PIN per la portabilità o un blocco del numero, così nessuno può trasferirlo senza.
Congela il credito (USA). È gratis, non incide sul punteggio e resta attivo finché non lo togli. Fallo presso tutte e tre le agenzie: Equifax, Experian e TransUnion. Un fraud alert gratuito, chiesto a una sola agenzia, dura un anno.
Tieni d'occhio i conti. Controlla estratti conto, movimenti della carta e il tuo report di credito per tutto ciò che non riconosci.

Regno Unito: Protective Registration di Cifas

Chi risiede nel Regno Unito e ha avuto i propri dati d'identità rubati può acquistare la Protective Registration di Cifas, che costa 30 sterline per due anni. Segnala nome e indirizzo nel National Fraud Database, così finanziarie e compagnie telefoniche fanno controlli extra prima di aprire qualcosa a tuo nome. Le richieste autentiche possono richiedere un po' più di tempo, e non incide sul punteggio di credito. Cifas dice che è più utile nei primi mesi dopo una fuga di dati. Controlla anche il tuo report di credito con Experian, Equifax o TransUnion UK.

UE: cosa cambia

L'UE non ha un sistema unico di congelamento del credito. Avvisa la banca, tieni d'occhio i conti e sappi che, in base al GDPR, un'azienda che subisce una violazione deve comunicarla alla sua autorità per la protezione dei dati e, quando il rischio è alto, avvisarti direttamente. In Italia puoi chiedere gratis alla Banca d'Italia i dati della Centrale dei rischi per controllare i finanziamenti registrati a tuo nome.

Come capisco se qualcuno sta usando la mia identità?

Qualcuno potrebbe usare la tua identità se vedi attività che non hai avviato tu. Fai attenzione a:

Email di reimpostazione password o avvisi di accesso che non hai richiesto
Il telefono perde all'improvviso il segnale e mostra "Nessun servizio" o "Solo SOS"
Bollette, richieste di verifica del credito o conti che non riconosci
Amici che ricevono messaggi strani o richieste di soldi "da parte tua"
Società di recupero crediti che ti chiamano per debiti che non sono tuoi

Perdere il segnale senza motivo è urgente: chiama subito l'operatore da un altro telefono, perché può significare che il tuo numero è stato trasferito. Un profilo social falso con il tuo nome e le tue foto è più facile da notare se sai cosa c'è normalmente in giro su di te, e la nostra guida su cosa dice internet di te ti aiuta a scoprirlo.

Dove denuncio un furto d'identità o una truffa legata a un data breach?

Negli USA, segnala il furto d'identità su IdentityTheft.gov, che prepara un piano di recupero e la denuncia che ti serve per un fraud alert esteso di sette anni. Denuncia le frodi online all'FBI su ic3.gov.

Regno Unito: denuncia frodi e reati informatici a Report Fraud, il servizio che ha sostituito Action Fraud, su reportfraud.police.uk o allo 0300 123 2040. In Scozia, contatta Police Scotland al 101. Inoltra gli SMS truffa al 7726.

UE: denuncia la frode alla polizia, e presenta un reclamo all'autorità nazionale per la protezione dei dati se un'azienda ha gestito male i tuoi dati. In Italia, fai una segnalazione alla Polizia Postale (commissariatodips.it) e rivolgiti al Garante per la protezione dei dati personali.

Se la fuga di dati ha reso pubblici il tuo indirizzo di casa o il tuo numero su siti accessibili a tutti, la nostra guida su come cancellare i propri dati dai siti di ricerca persone spiega come farli togliere.

In sintesi

Controlla su Have I Been Pwned ogni email che hai usato, verifica le password salvate e considera il tuo numero di telefono già in circolazione. Poi fai le cose che bloccano davvero i criminali: password uniche, passkey o due fattori con app, un PIN dell'operatore, e il congelamento del credito negli USA o la Protective Registration nel Regno Unito.

Domande frequenti

Come verifico se la mia email è stata rubata?

Inseriscila su haveibeenpwned.com. Il servizio gratuito elenca ogni violazione nota in cui compare la tua email e quali dati sono stati esposti. Attiva Notify me per ricevere avvisi sulle violazioni future, e controlla ogni indirizzo email che hai usato.

Have I Been Pwned è sicuro da usare?

Sì. È un servizio gratuito attivo da anni, gestito dal ricercatore di sicurezza Troy Hunt. Cercare la tua email mostra solo in quali violazioni compare. Il controllo delle password non invia mai la tua vera password: invia solo una parte del suo hash.

Posso verificare se il mio numero di telefono è stato rubato?

Non in modo affidabile e gratuito. Se un account violato conteneva il tuo numero, consideralo esposto. Più SMS truffa, messaggi che usano il tuo nome e codici monouso non richiesti sono segnali comuni. Proteggilo con un PIN o un blocco del numero presso l'operatore.

Cosa devo fare per prima cosa dopo un data breach?

Metti al sicuro l'account email principale con una nuova password unica e l'autenticazione a due fattori, poi cambia le password riutilizzate. Negli USA, congela il credito presso Equifax, Experian e TransUnion. Nel Regno Unito, valuta la Protective Registration di Cifas.

Il congelamento del credito danneggia il mio punteggio?

No. Negli USA il congelamento del credito è gratuito, non incide sul punteggio e resta attivo finché non lo togli. Puoi sospenderlo temporaneamente presso l'agenzia che usa la finanziaria quando chiedi un prestito.

Che cos'è il SIM swap e come lo blocco?

Il SIM swap è quando un criminale convince il tuo operatore a trasferire il tuo numero sulla sua SIM, così riceve le tue chiamate e i codici via SMS. Bloccalo con un PIN o un blocco del numero presso l'operatore, e usa un'app di autenticazione o le passkey al posto dei codici via SMS.

Fonti

I dati sono gli ultimi pubblicati da ciascuna fonte al momento dell’aggiornamento della guida. Le perdite denunciate sono un minimo: la maggior parte delle frodi non viene mai denunciata.

Come verificare se email, numero di telefono o password sono stati rubati in un data breach