La mia password è stata violata? Come verificarlo e cosa fare

MaciPhoneAndroidWindowsAggiornato 2026-10-31

Probabilmente il tuo telefono o il tuo computer può già dirtelo. L'app Password di Apple e il Gestore delle password di Google controllano le password che hai salvato e segnalano quelle comparse in fughe di dati note. Se una viene segnalata, cambiala su quel sito e ovunque tu l'abbia usata, poi attiva l'autenticazione a due fattori.

Risposta breve

Apri l'app Password su iPhone o Mac e scegli Sicurezza, oppure avvia il Controllo password di Google in Chrome o su passwords.google.com. Entrambi segnalano le password salvate comparse in fughe di dati note. Cambia ogni password segnalata su quel sito e su tutti gli altri account dove l'hai riusata, e attiva l'autenticazione a due fattori.

Come controllo su iPhone o Mac?

Usa l'app Password. Apple spiega che iPhone è in grado di monitorare le password e di avvisarti se compaiono in fughe di dati note, e lo stesso vale per il Mac.

Su iPhone:

Apri l'app Password.
Tocca Sicurezza. Se un account ha una password non sicura o compromessa, un messaggio spiega il problema.
Tocca un account, poi tocca «Cambia password» e modificala sul sito web o nell'app.

Su Mac:

Apri l'app Password.
Fai clic su Sicurezza nella barra laterale. Compare l'elenco degli account con password deboli o compromesse.
Fai clic su un account, poi su «Modifica password», e modificala sul sito web o nell'app.

Il controllo si può disattivare, quindi verifica che sia attivo. Su iPhone vai in Impostazioni > App > Password e attiva «Rileva password compromesse». Su Mac apri Password, scegli Password > Impostazioni e seleziona «Rileva password compromesse».

Come controllo con il Gestore delle password di Google?

Avvia il Controllo password. Google spiega che verifica se le password del tuo Account Google sono esposte, inefficaci o utilizzate in più account.

Chrome sul computer: in alto a destra seleziona Altro > Password e compilazione automatica > Gestore delle password di Google, poi a sinistra seleziona Controllo.
Un altro browser: vai su passwords.google.com, seleziona «Vai a Controllo password», poi «Controlla password». Potresti dover eseguire l'accesso.

Google indica che il Controllo password si raggiunge anche da Android. Secondo Google, le password e le combinazioni di nome utente compromesse non sono sicure perché sono state pubblicate online, e conviene cambiarle il prima possibile.

Ci sono altri modi per controllare?

Il NCSC, il centro nazionale per la cybersicurezza del Regno Unito, indica strumenti online per sapere se i tuoi dati compaiono in violazioni pubbliche, e cita haveibeenpwned.com come esempio. Aggiunge che servizi simili sono spesso inclusi negli antivirus o nei gestori di password che potresti già avere.

La mia password è stata violata. Cosa faccio?

Cambiala, e poi cambiala ovunque tu l'abbia riusata. Il Garante per la protezione dei dati personali consiglia password diverse per account diversi: così, in caso di furto di una password, eviti che anche gli altri tuoi profili possano essere facilmente violati. Il NCSC spiega che i criminali provano le password rubate in una violazione su altri account, una tecnica chiamata credential stuffing.

Cambia la password violata su quel sito. Raggiungilo scrivendo tu l'indirizzo o usando la sua app, non da un link in un messaggio.
Cambiala su ogni altro account che usava la stessa password.
Valuta un gestore di password. Il Garante li descrive come programmi che generano password sicure e le salvano in un database cifrato. Nella sua scheda sulle password consiglia anche di non conservarle su biglietti o in file non protetti, e di non condividerle via e-mail, SMS o messaggistica.
Attiva l'autenticazione a due fattori, soprattutto per e-mail, social network, app di messaggistica e servizi con informazioni personali o finanziarie. La Polizia Postale spiega che rende più difficile entrare nei tuoi account anche se qualcuno conosce la tua password.

Se trovi dispositivi o accessi che non riconosci, la Polizia Postale consiglia di disconnetterli subito e cambiare la password. Se non riesci a reimpostare la password perché e-mail e numero associati sono stati cambiati, indica la procedura di recupero dell'account tramite il centro assistenza della piattaforma e la denuncia presso un qualunque ufficio di polizia. Vedi anche la guida (in inglese) su qualcun altro che ha effettuato l'accesso al tuo account.

PHP2Shell ha fatto trapelare le mie password?

Nessun avviso ufficiale lo dice. PHP2Shell sono due vulnerabilità critiche di PHP, il linguaggio di molti siti web, corrette dal progetto PHP il 21 ottobre 2026. Il CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale, scrive che, se sfruttate, potrebbero permettere a un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati. Una falla su un server non è una violazione di dati, che il Garante definisce come una violazione di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. Al 23 ottobre 2026 nessuno degli avvisi ufficiali citati in questa guida elenca aziende o clienti coinvolti. La guida sui tuoi dati personali e PHP2Shell spiega come verresti avvisato.

Il ruolo di Failshot

Failshot è per un altro momento: quando qualcuno si siede al tuo Mac e lo sblocca. La password del Mac è il primo livello. Failshot è il secondo livello di sicurezza, il livello che viene dopo la password.

Quando è attivo, fotografa chi sblocca il Mac, poi, con Pro, registra un video di 5 secondi, e la sua finestra avvisa quella persona che lo sblocco è stato fotografato. Con Pro, attiva gli avvisi e Failshot ti manda un'e-mail per uno sblocco che non confermi come tuo, per un PIN o una risposta di Failshot sbagliati, o se il suo accesso alla fotocamera viene disattivato mentre è attivo. Per disattivarlo, o per chiuderlo dal suo menu, servono Touch ID oppure il PIN di Failshot e la tua risposta, mai la password del Mac.

Failshot per Mac si scarica gratis da failshot.app, con macOS 14 o versioni successive. Gratis da usare. Pro aggiunge il video, gli avvisi via email e la cassaforte crittografata. Prova Failshot Pro gratis per 7 giorni su failshot.app. La carta viene registrata al momento dell'iscrizione e addebitata l'ottavo giorno, a meno che tu non disdica. L'app è in inglese, e le versioni per iPhone, Android e Windows sono in arrivo.

Altre domande

Una password segnalata vuol dire che qualcuno è entrato nel mio account?

Non di per sé. La segnalazione vuol dire che la password è comparsa in una fuga di dati nota. Cambiala comunque, poi controlla l'account: la Polizia Postale consiglia di verificare nelle impostazioni di sicurezza i dispositivi e le sessioni collegate, e che e-mail e numero di recupero siano davvero i tuoi.

Google mi avvisa se una delle mie password trapela?

Google dice che ti invia una notifica quando rileva online una delle tue password salvate, e che questi avvisi si attivano o disattivano su passwords.google.com, in Impostazioni, con l'opzione «Avvisi relativi alle password». Se ricevi un avviso, Google consiglia di andare subito alla pagina Controllo password per assicurarti che la notifica sia autentica.

Posso ignorare un avviso per un vecchio account?

Apple permette di nascondere un suggerimento che non puoi risolvere: in Password tocca o fai clic su Sicurezza, scegli l'account, poi Nascondi. Se compare un avviso che una password per un sito web o un'app non è più disponibile, Apple dice che puoi rimuovere l'account dal Mac e dal portachiavi iCloud.

Una passkey è meglio di una password?

Apple spiega che, se il sito o l'app consente di usare una passkey o di passare ad Accedi con Apple, puoi farlo quando cambi una password segnalata, per avere un ulteriore livello di sicurezza. Il NCSC suggerisce lo stesso passaggio, dove è disponibile.

Un'e-mail dice che la mia password è finita in una violazione. È vera?

Potrebbe non esserlo. Il Garante ricorda che, in generale, banche, enti pubblici e aziende non chiedono informazioni personali via e-mail, SMS o chat. Non usare i link. Controlla con l'app Password, con il Controllo password o sul sito ufficiale dell'organizzazione. La guida sulle e-mail di falsi aggiornamenti di sicurezza spiega come riconoscerle.