Qualcuno ha effettuato l'accesso al mio account: come scoprirlo e cosa fare

La notifica arriva a un'ora insolita: un nuovo accesso da una città che non hai mai visitato. Oppure non arriva nulla, e noti solo perché un messaggio che non hai mai scritto è presente in una chat. In entrambi i casi la domanda è la stessa: c'è davvero qualcuno dentro, e cosa è ancora sotto il tuo controllo.

[[answer]]Ogni servizio principale tiene un elenco delle sessioni attive con dispositivo, posizione e ora. Aprilo prima di cambiare qualsiasi cosa: l'elenco ti dice se l'intrusione è reale e da quanto tempo sta avvenendo. Poi chiudi le sessioni, poi cambia la password — in quest'ordine, o l'intruso semplicemente mantiene la propria sessione.[[/answer]]

Perché l'ordine è più importante della password

Un cambio di password non espelle nessuno da solo. La maggior parte dei servizi mantiene attive le sessioni esistenti: la persona che ne possiede una rimane connessa, a volte per settimane, mentre tu credi che il problema sia risolto. Ecco perché la sequenza è controllare, poi revocare, poi cambiare — e perché "Ho cambiato la mia password" non è una risposta a "c'è ancora qualcuno dentro".

L'elenco delle sessioni è anche l'unica prova onesta che hai. Le email di notifica possono essere falsificate: un messaggio che afferma "accesso insolito, clicca qui" è il più vecchio modello di phishing che esista. L'elenco all'interno del tuo account non può essere falsificato, perché lo hai raggiunto tu stesso.

[[steps]] Apri l'elenco delle sessioni :: Google, Apple, Meta, Telegram e WhatsApp ne tengono uno nelle impostazioni di sicurezza. Controlla dispositivo, posizione approssimativa e ultima attività. Giudica ciò che vedi :: Il tuo stesso telefono all'estero su una VPN sembra allarmante e non lo è. Un modello di dispositivo sconosciuto alle 4 del mattino è un'altra questione. Revoca tutto tranne questo dispositivo :: Ogni servizio ha un'azione "disconnetti da tutte le altre sessioni". Usala prima di toccare la password. Cambia la password :: Una nuova, non una variazione della vecchia. Se la vecchia password è stata riutilizzata altrove, quegli account ne hanno bisogno anch'essi. Controlla di nuovo le impostazioni di recupero :: Il trucco più comune non è rimanere connessi — è aggiungere silenziosamente un'email di recupero o un telefono che appartiene a qualcun altro. Attiva un secondo fattore :: Un'app o una chiave hardware, non SMS, per i motivi nella sezione sottostante. [[/steps]]

Dove si trovano gli elenchi delle sessioni

La formulazione varia, l'idea no. Google lo mette sotto I tuoi dispositivi nella sicurezza dell'account; Apple mostra i dispositivi connessi nelle impostazioni dell'ID Apple su ciascuno dei tuoi dispositivi; Meta lo chiama "Dove sei connesso" all'interno di Password e Sicurezza. Telegram ha Dispositivi, WhatsApp ha Dispositivi collegati — entrambi ti permettono di terminare altre sessioni dal telefono che hai in mano.

Due di questi meritano un secondo sguardo anche quando nulla sembra sbagliato. I dispositivi collegati nei messaggeri sono dove una sessione di laptop dimenticata vive per anni. E le impostazioni di recupero sono dove un attaccante lascia il proprio appiglio, perché cambiare una password non rimuove un indirizzo di recupero che qualcun altro ha aggiunto.

Cosa cercava probabilmente l'intruso

Contrariamente all'immagine mentale, la maggior parte delle intrusioni negli account non è personale. L'account è un mezzo: per raggiungere una carta di pagamento, per inviare la stessa truffa alla tua lista di contatti, o per raccogliere codici di conferma per qualcos'altro. Questo è importante da sapere perché ti dice cosa controllare dopo.

• Messaggi inviati e chat archiviate. Le truffe inviate dal tuo account vengono solitamente eliminate subito dopo, ma l'archivio le conserva.
• Filtri e regole di inoltro nella posta. Una regola che inoltra silenziosamente tutto, o elimina messaggi dalla tua banca, sopravvive a un cambio di password ed è invisibile a meno che tu non la cerchi.
• App collegate e accesso di terze parti. Un'app autorizzata mesi fa mantiene il proprio token; revocare le sessioni non lo revoca.
• Metodi di pagamento e indirizzi di consegna. Un indirizzo cambiato su un account di shopping è la versione silenziosa del furto.

[[post:what-is-spyware-programs|Se il dispositivo stesso potrebbe essere compromesso]], la situazione è diversa: una password cambiata su un telefono infetto è una password che l'attaccante osserva mentre la digiti.

SMS è il secondo fattore più debole

È meglio di niente e peggio di tutto il resto. Un codice inviato tramite SMS viaggia attraverso la rete dell'operatore, e quella rete è stata progettata in un'era in cui si assumeva fiducia tra i carrier. Può anche essere trasferito a un'altra SIM completamente — la tecnica nota come SIM swapping, in cui qualcuno persuade un carrier a riemettere il tuo numero.

[[compare]] Metodo | Funziona offline | Resiste al phishing | Resiste allo swap della SIM | Impegno Codice SMS | no | no | no | nessuno App di autenticazione | sì | no | sì | configurazione una tantum Approvazione push | no | parzialmente | sì | nessuno Chiave hardware | sì | sì | sì | acquista una chiave Passkey | sì | sì | sì | configurazione una tantum [[/compare]]

La lettura pratica di quella tabella: spostati da SMS dove il servizio lo consente, e preferisci un'app per le approvazioni push, perché una notifica push che arriva alle 3 del mattino viene approvata da una persona mezzo addormentata più spesso di quanto chiunque ami ammettere.

Quando l'account è già andato

Tutto quanto sopra presuppone che tu possa ancora accedere. Se la password è stata cambiata e l'indirizzo di recupero è stato scambiato, il flusso di recupero ufficiale è la prima tappa — funziona più spesso di quanto le persone si aspettino, specialmente nei primi giorni, mentre il servizio ha ancora la tua cronologia dei dispositivi come prova. [[post:messenger-account-recovery-methods|Cosa fare quando il numero stesso è andato]] è una domanda separata con le proprie risposte.

[[faq]] Un avviso di accesso è arrivato da un altro paese — sono stato hackerato? :: Non necessariamente. VPN, roaming e instradamento del provider spostano tutti la posizione apparente. Controlla l'elenco delle sessioni; un dispositivo che riconosci è più significativo della città. Dovrei cliccare sul link nell'email di sicurezza? :: No. Apri il servizio tu stesso, digitando l'indirizzo. Le notifiche di sicurezza sono il tipo di email più imitato che esista. Cambiare la password disconnette tutti? :: Nella maggior parte dei servizi, no. Le sessioni sopravvivono a meno che tu non le termini esplicitamente, ed è per questo che la revoca viene prima. Quanto durano le vecchie sessioni? :: Spesso indefinitamente sulle app desktop. Un laptop connesso tre anni fa è ancora connesso a meno che qualcuno non l'abbia terminato. Vale la pena eliminare l'account e ricominciare? :: Raramente. Perdi la cronologia e i percorsi di recupero che dimostrano che l'account era tuo, e la fuga sottostante — di solito una password riutilizzata — viaggia con te. [[/faq]]

Dopo

Due abitudini prevengono la maggior parte delle ripetizioni, e nessuna richiede molto tempo. Controlla l'elenco delle sessioni del tuo account principale di tanto in tanto — allo stesso modo in cui dai un'occhiata a un estratto conto bancario. E smetti di riutilizzare la password del tuo account email altrove: è la chiave che sblocca ogni link di ripristino per tutto ciò che possiedi.