Ogni volta che scrivo di un data breach, prima o poi arriva la stessa domanda. Me la fanno per messaggio, via mail, qualche volta a cena. E come faccio a sapere se c'ero dentro pure io? La risposta onesta è antipatica: quasi sempre non lo sai. In teoria l'azienda violata dovrebbe avvisarti. In pratica il messaggio arriva tardi, arriva scritto in quel legalese che non dice niente, oppure non arriva proprio, perché la violazione salta fuori tre anni dopo quando qualcuno rimette in circolo un archivio che si era perso per strada. E mentre tu non ne sai nulla, quelle credenziali continuano a girare, prima in giro ristretto e poi dentro raccolte sempre più grosse, riordinate e ripubblicate all'infinito.
DeepLeak nasce esattamente lì, in quello spazio vuoto.
È uno strumento gratuito, in italiano, e serve a una cosa sola: farti verificare da solo se una tua password o una tua email sono finite in una fuga di dati già nota. Non è che roba del genere non esistesse, sia chiaro. Esiste da anni, funziona bene, e nel settore la usiamo tutti. Il punto è che parla inglese e risponde dando per scontato che tu sappia già di cosa si sta parlando. Ho visto più volte la stessa scena: una persona apre quelle pagine, legge un esito che capisce a metà, alza le spalle e chiude la scheda senza toccare nulla. L'informazione c'era. Non è servita a niente. Ho provato a lavorare su quel pezzo lì, e sotto ogni risultato ho messo la sola cosa che conta davvero, cioè cosa fare adesso, in che ordine, partendo da quello che scotta di più.
Dentro ci sono quattro strumenti. Il primo controlla una password, anche una che stai valutando di adottare adesso, e ti dice se è già comparsa negli archivi di credenziali trapelate e quante volte. Il secondo lavora sugli indirizzi email: non ti mostra nessuna password, solo in quali violazioni note quell'indirizzo compare, con le date e il tipo di dati esposti. Poi c'è un generatore di password casuali, che ho aggiunto per un motivo molto banale, cioè che quando scopri di avere una password bruciata la devi sostituire subito e in quel momento non hai nessuna voglia di inventartene una nuova. L'ultima parte è una ricerca sull'archivio per nome di azienda o di servizio: scrivi il sito che usi e vedi se e quando è stato bucato, e quante persone ci sono finite dentro. Serve soprattutto a capire da dove può essere partita l'esposizione.
La parte a cui tenevo di più, però, non si vede. Digitare la propria password dentro un sito web è un gesto che in qualunque altra situazione sconsiglierei senza pensarci due volte, e mi sembrava assurdo chiedere fiducia cieca proprio su uno strumento che di mestiere parla di sicurezza. Quindi il controllo non funziona spedendo la password da nessuna parte. È il browser a calcolare in locale un'impronta crittografica, e di quell'impronta parte solo un frammento iniziale, abbastanza per interrogare l'archivio ma non per risalire alla stringa di partenza. Il confronto vero e proprio avviene poi sul tuo dispositivo, tra i risultati parziali che tornano indietro. La password in chiaro non esce mai dal computer di chi la sta scrivendo, non passa dai miei server, non finisce in nessun log. Stessa storia per il generatore, che lavora completamente offline: la password che ti crea non viene inviata online nemmeno al sito che l'ha appena prodotta. Queste cose le ho scritte nero su bianco sulla pagina, insieme alla spiegazione del meccanismo, perché una promessa di privacy che non puoi controllare vale quello che vale.
Intorno agli strumenti c'è poi una parte da leggere, che per me conta quanto il resto. Spiega cos'è davvero un data breach, e soprattutto perché il problema quasi mai è il singolo sito violato ma il riutilizzo della stessa password su venti servizi diversi. C'è la spiegazione del credential stuffing, cioè quella tecnica automatica per cui una lista di credenziali rubate non viene provata dove è stata rubata, ma ovunque, a tappeto, su decine di piattaforme. È il motivo per cui un forum violato nel 2014 può costarti l'account email nel 2026. Poi c'è una sezione su come proteggersi sul serio, dove dico apertamente che dove esistono le passkey conviene passare alle passkey, perché sostituiscono la password con una chiave legata al dispositivo e contro il phishing sono immuni per costruzione: su un sito falso non c'è niente da digitare. Dove ancora non ci sono, restano le solite raccomandazioni noiose che però funzionano: password diversa su ogni servizio, e a quel punto un gestore diventa quasi obbligatorio; secondo fattore attivo ovunque si possa, meglio con un'app o una chiave fisica che via SMS; e priorità assoluta all'email personale, che è la chiave con cui si reimposta l'accesso a quasi tutto il resto della tua vita digitale.
Una precisazione che mi sembra doverosa: DeepLeak non è fatto per controllare gli altri. Verificare l'indirizzo di qualcun altro senza che lo sappia resta una faccenda di privacy anche quando i dati arrivano da archivi pubblici. Usatelo sul vostro perimetro, non su quello del vicino.
Il sito è online da oggi su deepleak.net, ed è disponibile anche in inglese. Lo aggiornerò man mano che nuove violazioni vengono verificate e indicizzate, e mi interessa parecchio sapere cosa funziona e cosa no, quindi scrivetemi. Uno strumento del genere ha senso solo se chi ci arriva poi se ne va avendo cambiato qualcosa.