Facebook e le password rubate: perché il riuso mette a rischio gli account

Correzione del 31 ottobre 2026. Corretti i numeri e la cronologia Yahoo, rimossa la certezza sull’acquisto di miliardi di account e distinta la MFA dal recupero di un account compromesso.

Il tema di questa notizia del 2016 era il controllo delle credenziali esposte in fughe di dati. L'affermazione secondo cui Facebook avesse «comprato miliardi di account» non era sostenuta da una fonte primaria collegata nell'articolo e non va ripetuta come un fatto verificato.

Facebook ha invece descritto esplicitamente il confronto tra combinazioni di email e password pubblicate altrove e credenziali in uso sul servizio. Comunicazione Facebook del 2019. Osservare dati già esposti non equivale automaticamente ad acquistarli.

Il problema è la stessa chiave su porte diverse

Se riutilizzi una password, una violazione di un servizio può facilitare accessi agli altri. Il termine credential stuffing indica il tentativo di riusare credenziali già ottenute, senza dover indovinare da zero la password.

Anche il riferimento a Yahoo richiedeva una correzione: nel settembre 2016 l'azienda annunciò il furto di dati di almeno 500 milioni di account, avvenuto nel 2014. Non erano un miliardo e mezzo di password sottratte in quell'unico episodio. Comunicazione Yahoo depositata alla SEC.

Protezione e recupero

Usa credenziali distinte e attiva un secondo fattore o una passkey quando disponibili. La MFA riduce alcuni rischi di accesso: non garantisce di riprendere automaticamente un account già compromesso. Conserva e verifica separatamente i metodi di recupero previsti dal servizio; le funzioni nominate nel 2016 non vanno date per ancora disponibili.