Cambiare la password dopo un data breach: i consigli ufficiali

Dopo un data breach ti chiedi se devi cambiare la password. Le fonti italiane che abbiamo consultato non descrivono una procedura pensata apposta per i data breach. Offrono però regole concrete su come scegliere, usare e proteggere le password, che valgono anche in questa situazione. In questa guida le riportiamo attribuendo ogni punto alla fonte da cui viene.

Cosa dicono le fonti sui data breach

Diciamolo subito, per evitare aspettative sbagliate. La pagina del Garante per la protezione dei dati personali dedicata alle password e le due pagine della Polizia Postale non spiegano come comportarsi dopo una violazione di dati: non indicano un ordine di operazioni, né quali account cambiare per primi. Quello che leggi qui sotto sono i consigli generali sulle password e sulla protezione degli account.

La Polizia Postale ricorda un motivo per cui contano: password poco complesse possono essere scoperte facilmente da chi vuole accedere al tuo conto bancario, fare acquisti in Rete, sostituirsi a te sui social, inviare e-mail a tuo nome e raggiungere i tuoi dati personali.

Il punto di vista del Garante

Il Garante ha pubblicato un vademecum con suggerimenti per creare e gestire password a prova di privacy. È una scheda con finalità divulgative, che sarà aggiornata in base alle evoluzioni tecnologiche e normative, e il suo testo integrale è un documento a parte rispetto alla pagina.

Dalla pagina si ricava che il vademecum spiega:

• come scegliere una buona password;
• come gestire tutte quelle che fanno parte della vita quotidiana, dall'accesso ai dispositivi ai servizi di e-mail e di acquisto online;
• come conservarle in modo che non siano facile preda di eventuali malintenzionati.

Il Garante spiega inoltre che la prima linea di difesa dei nostri dati personali è sempre la consapevolezza su come gestiamo, conserviamo ed eventualmente diffondiamo le informazioni che ci riguardano. Nella pagina c'è anche un rinvio a linee guida in materia di conservazione delle password. Non le abbiamo usate per questa guida.

Come scegliere la nuova password: le indicazioni della Polizia Postale

La Polizia Postale elenca alcuni punti chiave da considerare quando si sceglie una password:

• imposta una password complessa, con un minimo di 8 caratteri alfanumerici in cui siano presenti almeno un numero, una lettera maiuscola e un simbolo speciale;
• non usare informazioni riconducibili a te, ai tuoi familiari o ai tuoi interessi, come la data di nascita o altri nomi;
• preferisci parole di fantasia o comunque non presenti sul dizionario;
• non condividere la password con altre persone;
• non usare la medesima password per tutti gli account.

Dove inserirla e quando cambiarla

Sulla stessa pagina la Polizia Postale aggiunge due indicazioni di uso. Quando inserisci la password su un dispositivo altrui, effettua la disconnessione al termine della navigazione e non memorizzarla mai sul browser che usi per accedere. Inoltre indica di cambiare periodicamente la password, ogni 90 giorni.

Nella pagina sulla protezione degli account social e di messaggistica istantanea la frequenza è espressa in altro modo: una password forte, efficace e complessa, da modificare almeno ogni tre mesi. Le due pagine usano formulazioni diverse; in entrambe l'idea è un cambio periodico. Le fonti non dicono se, dopo un data breach, convenga cambiare subito la password senza aspettare questi intervalli.

Autenticazione a due fattori e dati di recupero

Oltre alla password, la Polizia Postale consiglia di:

• attivare l'autenticazione a due fattori su tutte le applicazioni, oppure la verifica in due passaggi, nelle impostazioni di sicurezza;
• mantenere sempre aggiornati l'e-mail e il numero di telefono associati al profilo, per poter ripristinare le credenziali di accesso in qualunque momento;
• non cliccare mai sui link ricevuti per messaggio e non inviare per nessun motivo link e codici ricevuti tramite SMS: anche se pensi che l'account utilizzato appartenga a un tuo contatto, potrebbe essere stato a sua volta rubato;
• usare profili chiusi, che impediscono a persone che non conosci di impossessarsi delle tue immagini e di acquisire informazioni personali.

Se hai perso il controllo di un account

La Polizia Postale descrive come recuperare un account rubato:

1. Attiva la procedura di recupero della password dimenticata.
2. Se riesci ad accedere all'account, attiva immediatamente l'autenticazione a due fattori per evitare di perderne di nuovo il possesso.
3. Se non riesci a reimpostare la password perché hanno già modificato l'e-mail e il numero associati, avvia la procedura di recupero dell'account rubato attraverso il centro assistenza della piattaforma.
4. Recati presso un qualunque ufficio di polizia per formalizzare la denuncia.

Per qualsiasi altra informazione, la Polizia Postale rinvia a un modulo di richiesta informazioni sul sito commissariatodips.it.

Cosa non dicono le fonti

Le pagine consultate non indicano come sapere se i tuoi dati sono in una violazione, quanto tempo serva per proteggere gli account dopo un data breach o quali servizi cambiare per primi. Per questo non li indichiamo noi.

Se vuoi verificare se il tuo indirizzo compare in data breach noti, Remove Me offre un'analisi gratuita, senza account: inserisci i tuoi dati e il servizio cerca nei risultati web visibili pubblicamente, nei data breach noti (Have I Been Pwned) e in un registro di data broker, poi mostra un report. Il report si sblocca con un codice di 6 cifre ricevuto via e-mail. Remove Me non invia ancora richieste di cancellazione per tuo conto.