Come proteggersi dalle fughe di dati nel 2026

Una fuga di dati (o violazione di dati, data breach) avviene quando informazioni personali detenute da un'organizzazione — nome, email, telefono, indirizzo, IBAN, numeri identificativi — finiscono nelle mani di persone non autorizzate. Il punto essenziale da capire: non sei quasi mai tu a essere hackerato. Sono le aziende a cui hai affidato i tuoi dati. Proteggersi dalle fughe non significa quindi mettere in sicurezza il tuo computer, ma decidere chi detiene cosa su di te — e fare in modo che ciò che trapela comunque non serva a niente.

1 Capire da dove vengono le fughe di dati

Le cifre europee recenti danno la misura del problema. Solo in Francia — uno dei mercati meglio documentati — quasi tutta la popolazione è stata colpita da almeno una violazione importante in pochi anni:

Le cause si ripetono: intrusione tramite un accesso mal protetto (VPN, account di un subappaltatore), phishing mirato contro i dipendenti, vulnerabilità applicative — o semplicemente banche dati rivendute da data broker che sono a loro volta vittime di violazioni. Per capire come questi broker accumulano profili su di te, leggi come i data brokers si arricchiscono sulle nostre spalle.

2 Pilastro 1 — Ridurre la tua superficie di esposizione

È la leva più potente e la più trascurata: la minimizzazione dei dati. Un dato che nessuno detiene non può trapelare. Tre cantieri concreti:

Dare meno, fin dall'inizio

A ogni creazione di account, compila solo i campi obbligatori. Data di nascita, telefono, indirizzo postale: se il servizio non ne ha bisogno per funzionare, non fornirli. Per gli acquisti online occasionali, preferisci il checkout come ospite alla creazione di un account permanente.

Chiudere gli account inattivi

I vecchi account e-commerce, i forum e le app abbandonate sono bombe a orologeria: le loro banche dati invecchiano, la loro sicurezza pure, e i tuoi dati a volte dormono lì da dieci anni. Passa in rassegna il tuo gestore di password o la tua casella email (cerca «benvenuto», «conferma la registrazione») ed elimina ciò che non serve più. La nostra guida per eliminare i tuoi dati personali da internet descrive il metodo.

Esercitare il diritto alla cancellazione (GDPR articolo 17)

Chiudere un account non basta sempre: molte aziende conservano i tuoi dati dopo la chiusura. L'articolo 17 del GDPR ti permette di esigere la loro eliminazione effettiva — dai commercianti online, ma soprattutto dai data broker, quegli intermediari che compilano e rivendono profili completi senza che tu ne abbia mai sentito parlare. Due approcci:

3 Pilastro 2 — Rendere inutilizzabili i dati rubati

Anche riducendo la tua esposizione, alcune fughe ti raggiungeranno. Il secondo pilastro consiste nel fare in modo che un dato rubato non dia accesso a nient'altro. È tutto il senso del credential stuffing: gli aggressori testano automaticamente una coppia email + password rubata su centinaia di altri siti. Se riutilizzi le tue password, una sola fuga compromette tutta la tua vita digitale.

• Una password unica per sito, generata e ricordata da un gestore di password. È la raccomandazione n. 1 di tutte le agenzie di cybersicurezza — e da sola neutralizza il credential stuffing.
• L'autenticazione a due fattori (2FA) su tutti gli account sensibili: email principale, banca, fisco, social network. Una password rubata non basta più per entrare.
• Gli alias email per le registrazioni secondarie: se l'alias trapela, sai esattamente da dove viene la fuga e lo disattivi — il tuo indirizzo principale resta pulito.
• Le carte bancarie virtuali (offerte dalla maggior parte delle banche) per gli acquisti online: un numero compromesso si disattiva in un clic, senza toccare la tua carta reale.

Il dettaglio di questi tre strumenti — gestore, alias, 2FA — e come metterli in pratica passo dopo passo sono nella nostra guida dedicata: come limitare le fughe di dati personali.

4 Pilastro 3 — Monitorare i tuoi indirizzi e account

Tra il momento in cui una violazione avviene e quello in cui l'azienda la rivela, passano spesso settimane, a volte mesi. Un monitoraggio attivo accorcia quella finestra — e ogni giorno guadagnato limita i danni.

Verificare se i tuoi indirizzi sono già trapelati

Servizi come Have I Been Pwned confrontano il tuo indirizzo email con le violazioni note pubblicamente. Inserisci i tuoi indirizzi principali e annota le fughe elencate: ciascuna indica quali tipi di dati sono stati esposti. Ma tieni presente la sfumatura: un risultato negativo non dimostra nulla — le violazioni vendute in privato sul dark web compaiono in questi strumenti solo quando diventano pubbliche.

Attivare gli avvisi automatici

I browser (Chrome, Firefox, Safari) e i gestori di password ora segnalano le credenziali compromesse. Attiva questi avvisi e trattali come allarmi antincendio: non si ignorano, si agisce entro l'ora.

5 Pilastro 4 — Reagire in fretta quando una fuga ti colpisce

Quando arriva l'allerta — email dell'azienda, notifica del browser, articolo di stampa — l'ordine delle azioni conta più della loro esaustività:

• Cambiare la password dell'account colpito — e di tutti gli account che condividevano la stessa password, cominciando dalla tua email principale.
• Attivare la 2FA sull'account interessato se non lo è già.
• Anticipare il phishing: nei giorni successivi a una violazione, le campagne di phishing sfruttano i dati rubati per spacciarsi per l'azienda colpita, la tua banca o un servizio pubblico. Diffidenza massima verso qualsiasi messaggio che menzioni la violazione.
• Controllare i tuoi conti bancari se sono coinvolti IBAN o dati di pagamento, e segnalare subito alla tua banca qualsiasi addebito sconosciuto.
• Chiedere la cancellazione dei tuoi dati all'azienda responsabile (GDPR articolo 17): ha dimostrato di non saperli proteggere, non ha più motivo di conservarli.

6 I tuoi diritti verso le aziende che fanno trapelare i tuoi dati

Il GDPR non si limita a regolare la raccolta dei dati: impone obblighi precisi in caso di violazione, e ti dà leve concrete.

L'azienda deve notificare l'autorità di controllo entro 72 ore da quando viene a conoscenza della violazione (articolo 33) e informarti direttamente quando la fuga crea un rischio elevato per i tuoi diritti (articolo 34). Puoi poi esercitare il tuo diritto di accesso (articolo 15) per sapere esattamente quali tuoi dati erano coinvolti, il tuo diritto alla cancellazione (articolo 17), e presentare un reclamo al Garante per la protezione dei dati personali se l'azienda non risponde entro un mese. Le sanzioni sono diventate dissuasive — 42 M€ per Free a maggio 2026, 5 M€ per France Travail a gennaio 2026 — e resta possibile un'azione di risarcimento davanti ai tribunali (articolo 82).