Sapere che un indirizzo è comparso in una fuga di dati non costa nulla e non cambia nulla: vale per quasi tutti. La domanda che chiama in causa la vostra responsabilità è duplice: questa fuga apre ancora una porta da voi, e chi dovete avvisare, entro quale termine.
Una fuga di credenziali non è un evento isolato da voi: è un flusso mondiale. Per dare un ordine di grandezza, il riferimento pubblico del settore ha indicizzato 1 957 476 021 indirizzi unici in una sola operazione nel novembre 2025 (cifra pubblicata da Have I Been Pwned).
Conclusione pratica: la presenza del vostro nome di dominio in una fuga è probabile e non è di per sé un'informazione utilizzabile. Ciò che conta è il seguito.
Nessuna di queste tre risposte si trova in una banca dati di fughe. Si leggono all'interno della vostra directory o del vostro tenant, con il vostro consenso.
Questa procedura segue il GDPR, articoli 33 e 34. Testo ufficiale. Non sostituisce un parere legale: siamo revisori, non avvocati. Fonti ufficiali: regolamento (UE) 2016/679, articoli 33 e 34 (EUR-Lex) ; linee guida 9/2022 del CEPD ; CNIL: violazioni di dati personali ; CNIL: notificare una violazione ; direttiva (UE) 2022/2555, articolo 23 (EUR-Lex).
L'autorità di protezione dei dati competente per 30 Paesi dello Spazio economico europeo. Ventisette righe sono state verificate singolarmente rispetto all'elenco ufficiale dei membri del Comitato europeo per la protezione dei dati e riportano il collegamento a tale fonte; per il Liechtenstein la fonte è il sito dell'autorità stessa; per l'Islanda e il Lussemburgo la verifica non è pubblicata: controllate l'autorità sull'elenco del Comitato prima di notificare.
Una riga assente significa che non abbiamo potuto verificarla, non che non esista. Preferiamo una tabella più corta a una più falsa.
8 fonti pubbliche descrivono ciò che un attaccante vede di voi prima di entrare: registri dei certificati, record DNS e di posta, servizi esposti, nomi di dominio sosia, pubblicazioni di codice, documenti indicizzati.
È lì che si trovano le tre risposte che contano. Verifichiamo Microsoft 365 e Active Directory dalla vostra postazione, in sola lettura, e incrociamo ciò che la fuga annuncia con lo stato reale dei vostri account.
Il motore che interroga queste 8 fonti è scritto e funzionante, ma non ha ancora girato presso un cliente. Qui non vendiamo dunque una diagnosi in autonomia: la conduciamo noi, con voi, e siete avvisati che sareste tra i primi. Preferiamo dirlo piuttosto che lasciarvelo scoprire.
L'audit di Microsoft 365 e quello di Active Directory, invece, girano già presso clienti reali.