Il Tuo Account È Stato Hacked e Stanno Richiedendo Denaro

Un'email dice che qualcuno è stato dentro il tuo dispositivo per mesi, ti ha registrato attraverso la webcam, ha copiato i tuoi contatti e le tue chat, e invierà tutto ai tuoi amici a meno che tu non paghi in criptovaluta entro 48 ore. Poi vedi la tua password stampata nel messaggio, ed è reale, o lo era una volta.

[[answer]]Quasi tutti questi messaggi sono bluff inviati in massa costruiti su vecchie banche dati di password trapelate. Il mittente non ha accesso al tuo dispositivo e non ha registrazioni. Controlla se la password appare in una violazione nota, cambiala ovunque, attiva l'autenticazione a due fattori o una chiave di accesso, salva il messaggio come prova e non pagare.[[/answer]]

Quella riconoscenza è tutto il trucco: un messaggio inviato a centinaia di migliaia di indirizzi improvvisamente sembra personale. Nulla in esso richiede una risposta nei prossimi dieci minuti.

Perché la maggior parte di questi messaggi sono bluff

Le email di estorsione di questo tipo sono un affare di volume. Qualcuno acquista un dump di indirizzi e password da una vecchia violazione e invia un modello a ogni indirizzo, con la password inserita automaticamente. Non ci sono sorveglianze e nessuna cartella di screenshot — solo un foglio di calcolo e un server di posta.

I segnali sono coerenti. Il messaggio non menziona mai nulla di specifico: nessun sito che usi realmente, nessuna conversazione reale, nessun nome. Descrive ciò che suppone di avere invece di mostrarlo, richiede criptovaluta perché quel pagamento non può essere annullato, e fissa una scadenza breve, perché una persona spaventata che pensa per un giorno smette di essere spaventata. Se sembra provenire dal tuo stesso indirizzo, ciò non prova nulla: un campo mittente è altrettanto falsificabile quanto l'indirizzo di ritorno su una busta. Sapere [[post:how-personal-data-is-collected-online|da dove provengono queste banche dati di email e password]] toglie gran parte della minaccia.

Come controllare se la password è stata realmente trapelata

Non devi indovinare. Le banche dati di notifica delle violazioni gratuite indicizzano le credenziali da dump pubblici e ti permettono di cercare per indirizzo email; Have I Been Pwned è il più noto e funziona come un progetto di interesse pubblico. Se il tuo indirizzo appare accanto a un sito che riconosci, e l'anno corrisponde a quando hai usato quella password, il mistero è risolto.

Il controllo è forte in una sola direzione, e quel limite è importante. Un colpo ti dice che la password è stata in circolazione per anni, il che indica un bluff. Non trovare nulla ti dice solo che nessun dump indicizzato contiene il tuo indirizzo — molti dati rubati non vengono mai pubblicati, mai analizzati, o rimangono nel commercio privato. La più grande fonte singola di accessi rubati oggi non è affatto un sito web hackerato ma malware infostealer: software che svuota il deposito di password salvate di un computer infetto e lo spedisce in blocco. Have I Been Pwned indicizza parte di questo materiale separatamente come registri di rubatori, e singoli lotti hanno aggiunto decine di milioni di indirizzi unici fino al 2025 e 2026. Quindi leggi un risultato vuoto come «non provato», mai come «la mia password non è mai trapelata» e mai come prova che la minaccia deve essere reale.

Google e Apple hanno entrambi inserito un controllore all'interno dei propri gestori di password, che è di solito la via più veloce. Il Password Checkup di Google confronta le password salvate con le violazioni note. Su iPhone e iPad l'equivalente si trova nell'app separata Passwords, nella sua sezione Sicurezza; la rilevazione stessa è attivata in Impostazioni → App → Passwords → Rileva Password Compromesse. Entrambi mostrano quali accessi riutilizzano la stessa password, di solito la domanda più urgente. Una regola: cerca per indirizzo email, e non digitare mai una password attuale in un sito che non puoi verificare. Alcuni strumenti legittimi sono costruiti in modo che la password non lasci mai il tuo dispositivo — la ricerca di password di Have I Been Pwned invia solo un breve prefisso di un hash e confronta il resto localmente — ma quella è una proprietà da confermare prima di digitare, non da assumere.

Cosa fare nella prima ora

[[steps]] Non rispondere e non pagare :: Qualsiasi risposta dice al mittente che l'indirizzo è attivo e appartiene a qualcuno che reagisce, il che ti sposta su una lista più breve e aggressiva. Controlla la password contro i registri delle violazioni :: Scopri a quale account apparteneva, poi cerca il tuo indirizzo email in un indice di violazione. Una corrispondenza lo stabilisce a favore di un bluff; non trovare nulla stabilisce molto meno, perché non ogni dump è indicizzato. Cambia quella password ovunque sia stata usata :: Non solo sul sito originale. Il riutilizzo trasforma una vecchia violazione in dieci account attivi. Attiva l'autenticazione a due fattori, o una chiave di accesso dove è offerta :: Un codice dell'app, una chiave hardware o una chiave di accesso fanno la differenza tra una password rubata che è un'inconveniente e un'intrusione, e una chiave di accesso non lascia alcun segreto condiviso per la prossima violazione da trapelare. Rivedi le sessioni attive e le app collegate :: Ogni servizio principale elenca i dispositivi e le app con accesso. Disconnetti qualsiasi cosa non familiare. Salva la prova e parla con qualcuno :: Tieni il messaggio con le sue intestazioni, e dillo ad alta voce a una persona di cui ti fidi — la vergogna e l'isolamento sono ciò che rende questo efficace. [[/steps]]

Quando la minaccia è reale

Una minoranza di casi coinvolge accesso genuino, e allora un cambio di password non è sufficiente. I segnali qui sotto devono essere letti insieme, non uno alla volta: nessuna singola riga prova nulla da sola.

[[compare]] Segnale | Bluff inviato in massa | Compromissione reale | Come controllarlo Password citata | Vecchia, o usata solo su un sito minore | Corrente, e mai riutilizzata | Cerca il tuo indirizzo in un indice di violazione: un colpo punta a un bluff, nessun colpo non prova nulla in entrambi i sensi Prova offerta | Nessuna, o una descrizione vaga | Un file o un messaggio che riconosci | Chiedi se quella prova potrebbe provenire da un profilo pubblico Attività dell'account | La cronologia di accesso sembra normale | Dispositivi sconosciuti, nuove password per le app | Apri la pagina di sicurezza o dispositivi dell'account Dove è arrivato | Indirizzo vecchio, modello generico | Dentro una chat che usi, o dal tuo stesso account | Controlla la cartella Inviati e le intestazioni del messaggio [[/compare]]

L'attività dell'account è la riga che porta il maggior peso, perché è l'unica che il mittente non può simulare. Se un contatto ha ricevuto messaggi che non hai mai scritto, la tua email di recupero è cambiata senza il tuo consenso, o sei stato disconnesso da un servizio da cui non te ne sei mai andato, trattalo come un'intrusione attiva e segui i passaggi per quando [[post:someone-signed-into-my-account|qualcuno ha realmente effettuato l'accesso al tuo account]]. La compromissione reale del dispositivo è ancora più rara e lascia segni — rapido consumo della batteria, utilizzo di dati inspiegabile, app di amministrazione sconosciute — che è [[post:what-is-spyware-programs|come si comporta realmente il spyware su un telefono]].

Perché pagare raramente risolve il problema

Le persone che pagano vengono registrate come persone che pagano. Il modello riportato più e più volte è che il pagamento è seguito entro pochi giorni da una seconda richiesta con una cifra maggiore, perché la prima ha dimostrato che il bersaglio poteva essere pressato. Nulla obbliga nessuno a cancellare nulla, e in un bluff non c'è nulla da cancellare. Anche nel raro caso in cui il materiale esista realmente, il pagamento acquista una promessa da qualcuno anonimo per definizione, che non ha modo di dimostrare che una copia è stata distrutta.

Dove segnalarlo

Segnalare raramente porta all'indagine di un messaggio, ma alimenta i dati che chiudono portafogli e campagne. Negli Stati Uniti la FTC accetta segnalazioni su reportfraud.ftc.gov e l'FBI gestisce il Centro di Reclamo per Crimine Informatico, che accetta denunce di estorsione online. Nel Regno Unito quel ruolo ora appartiene al servizio Report Fraud gestito dalla City of London Police — online su reportfraud.police.uk o per telefono al 0300 123 2040 — che ha sostituito Action Fraud durante l'inverno del 2025–2026 e copre Inghilterra, Galles e Irlanda del Nord; in Scozia, segnalare alla Polizia Scozzese al 101. Contrassegna anche come phishing nel tuo client di posta, e se è arrivato tramite un messenger, usa lo strumento di segnalazione nell'app — Apple documenta come bloccare, filtrare e segnalare messaggi su iPhone. Se la persona presa di mira ha meno di 18 anni, vai direttamente alle forze dell'ordine o a un servizio di rimozione per la protezione dei minori.

Rendere il prossimo innocuo

Il motivo per cui una password trapelata anni fa può ancora spaventarti oggi è il riutilizzo. Una volta che ogni account ha la propria password e secondo fattore, una vecchia violazione diventa una curiosità piuttosto che una leva, e i gestori di password integrati in iOS, Android e nei browser sono sufficienti per la maggior parte delle persone. Dove un servizio offre una chiave di accesso, accettala: la credenziale rimane sul dispositivo o nel gestore di password e nulla riutilizzabile è memorizzato sul server, quindi una futura violazione di quel sito non ha nulla da vendere. Gli account Apple, Google e Microsoft supportano tutti le chiavi di accesso, e i gestori integrati le sincronizzano tra i dispositivi.

Tieni aggiornati i contatti di recupero e copri la webcam di un laptop se ti fa sentire più tranquillo. Se i controlli sopra hanno indicato un bluff — una vecchia password, nessuna prova specifica, cronologia di accesso pulita — allora nessuno ti ha guardato individualmente in primo luogo, e il prossimo messaggio di questo tipo arriverà come testo su uno schermo, nient'altro. Se hanno indicato l'altro verso, la sezione sulla compromissione reale è quella da esaminare per prima.

[[faq]] L'email mostrava la mia vera password — significa che mi hanno hackerato? :: Non di per sé. Le password trapelano in massa da siti web violati e da malware che svuota i depositi di password salvate, poi vengono rivendute in liste, quindi citare una prova solo che era in circolazione. Ho cercato il mio email in un indice di violazione e non ho trovato nulla — la minaccia è reale allora? :: No. Gli indici coprono solo i dump che sono stati pubblicati e processati, quindi un risultato vuoto significa «non confermato», non «mai trapelato». Giudica la minaccia dalla cronologia di accesso e dai dispositivi, non dall'assenza di un record. Il messaggio proveniva dal mio stesso indirizzo, quindi sono dentro il mio account? :: Gli indirizzi del mittente possono essere falsificati, e questo è standard in queste campagne. Controlla la cartella Inviati e la cronologia di accesso: se il messaggio non è lì e non ci sono dispositivi sconosciuti elencati, nulla è stato inviato dalla tua casella di posta. Dovrei pagare se ho davvero qualcosa di imbarazzante? :: No. Il pagamento ti segna come qualcuno che paga, e una seconda richiesta segue comunemente. Se esiste materiale genuino, segnalalo piuttosto che negoziare — un mittente anonimo non può dimostrare che una copia è stata eliminata. Cosa succede se ho già risposto a loro? :: Smetti di rispondere, cambia le password sugli account nominati o implicati, attiva l'autenticazione a due fattori o le chiavi di accesso, e aspettati ulteriori tentativi. Una risposta non dà accesso a nulla. [[/faq]]