Dark web scanner «gratuiti» vs HIBP: cosa promettono e a cosa non credere
Gli scanner del dark web «gratuiti» possono chiederti l'email per venderti allarmismo. Confronto onesto con Have I Been Pwned e quando ha senso pagare.
Se navighi su YouTube o leggi testate online, puoi imbatterti in annunci del tipo: «Il tuo indirizzo email è in pericolo! Controlla gratis se i tuoi dati sono sul dark web».
Clicchi, arrivi su una pagina dall’aspetto professionale (spesso sponsorizzata da marchi antivirus o da aziende di marketing) e inserisci l’email. Dopo qualche secondo di «scansione» teatrale, lo schermo diventa rosso: «3 minacce critiche». Per vedere quali, serve un abbonamento.
Questo è il modello tipico di molti dark web scanner commerciali: usano un termine che suona misterioso — il dark web — per spingere un pagamento. Nella pratica, molti di questi servizi non fanno nulla di più di ciò che strumenti gratuiti e trasparenti offrono da anni.
Qui confronto questi scanner con Have I Been Pwned (HIBP), lo standard di riferimento per i data breach pubblici: come funzionano davvero le «scansioni», perché inserire l’email nel sito sbagliato è un rischio di privacy, e quando (raramente) ha senso pagare. Per il come fare passo-passo su HIBP resta la guida su email e password compromesse.
Cosa significa davvero «scansionare il dark web»
Il marketing usa «dark web» perché evoca mercati sotterranei in tempo reale. La realtà tecnica è più noiosa.
Non esiste un motore magico che interroga «tutto» il dark web live. Quando un servizio dichiara di scansionarlo, in genere interroga un proprio database interno.
Dopo un data breach, gli archivi sottratti finiscono spesso su forum o canali criminali: file di testo o CSV con milioni di righe (email, password in chiaro o hash, a volte IP o altri campi). Aziende e ricercatori scaricano quegli archivi, li ripuliscono e li mettono in database privati. Quando inserisci l’email, il sistema fa una ricerca: sei in quell’elenco? Sì o no.
Non c’è una scansione live di server nascosti. Stanno controllando se il tuo indirizzo compare in dump già noti — a volte vecchi di mesi o anni.
Due corollari utili:
- «Trovato sul dark web» ≠ «qualcuno sta attaccando il tuo PC adesso». Spesso è un record in un elenco statico.
- Due scanner diversi possono dare numeri diversi sullo stesso indirizzo: database diversi, date di ingestione diverse, soglie di «breach» diverse. Un conteggio più alto non prova automaticamente che il servizio sia migliore — può solo spaventarti di più.
Have I Been Pwned (HIBP): perché è lo standard
Il riferimento più citato in questo ambito è Have I Been Pwned, creato nel 2013 dal ricercatore australiano Troy Hunt: database pubblico, consultabile gratis, alimentato da migliaia di violazioni verificate.
Nella guida madre trovi il flusso operativo (controllo email, cosa fare se lo schermo è rosso). Qui conta il perché è diverso dagli scanner freemium.
La forza di HIBP è la trasparenza. Se l’email risulta in una o più violazioni, vedi quali sono, in che periodo e quali categorie di dati risultano esposte. Niente paywall sui dettagli di base e niente timer a pagamento.
Password su HIBP: il modello k-anonymity (in breve)
Dubbio legittimo: «Se controllo una password su HIBP, non la sto regalando a un server?»
Per Pwned Passwords la password non lascia il dispositivo per intero. In sintesi:
- Il browser calcola l’hash SHA-1 della password.
- Invia solo i primi 5 caratteri dell’hash (modello k-anonymity).
- Il server restituisce l’elenco degli hash compromessi con lo stesso prefisso.
- Il confronto finale avviene in locale nel browser.
Approfondimento tecnico (con limiti e quando meglio non usare il form): k-Anonymity su HIBP.
💡 Consiglio pratico — Solo l’URL ufficiale
L’indirizzo legittimo èhttps://haveibeenpwned.com. Diffida di cloni, intermediari e «scanner HIBP» non ufficiali.
I limiti onesti di HIBP
HIBP non ha tutti i dump del mondo. Una violazione di ieri, o dati mai pubblicati su canali aperti, può restare fuori. Anche i log di infostealer (malware che rubano cookie di sessione) entrano nei radar solo se aggregati in archivi pubblici noti.
Uno schermo verde significa: «non sei in questi database». Non significa «sei invulnerabile».
Scanner commerciali e freemium: il modello di business
Se HIBP è gratuito e trasparente, perché proliferano gli scanner? Spesso per lead generation.
Pattern tipico:
- Gancio — scansione gratis.
- Dati — email primaria (a volte telefono).
- Teatro — barre di progresso, «terminale» finto.
- Upsell — avviso rosso, password oscurate da asterischi.
- Paywall — carta di credito per vedere i dettagli.
Il paradosso privacy: non inserire l’email ovunque
Per paura che i dati siano «in mano a sconosciuti», puoi finire per regalare l’indirizzo primario a un’azienda di cui non hai letto l’informativa.
Nella mia esperienza, molti scanner «gratis» da siti sconosciuti funzionano soprattutto come raccoglitori di contatti: interesse per la sicurezza = target commerciale. Peggio: confermi che l’indirizzo è attivo e presidato — segnale utile a chi fa spam o phishing mirato.
Confronto: HIBP vs scanner freemium vs suite antivirus
| Strumento | Trasparenza risultati | Cosa restituisce e costo |
|---|---|---|
| Have I Been Pwned (HIBP) Progetto indipendente | Alta | Nome violazione e categorie di dati in chiaro (uso base). Gratuito. |
| Scanner freemium (da pubblicità) Spesso orientati a lead generation | Bassa | Conteggio «minacce» + dettagli dietro paywall. Rischio profilazione dell’email. |
| Monitor in suite antivirus Inclusi in piani AV premium | Dipende | A volte usano API HIBP o database simili. Utili se paghi già l’antivirus; raramente «magia» in più rispetto a un check trasparente. |
ℹ️ Nota / Prerequisito operativo
Su iPhone/Mac recenti, Apple Password può segnalare credenziali in fughe note. Chrome offre Password Checkup. Spesso hai già un controllo ragionevole senza scanner terzi.
Segnali d’allarme: quando non fidarti
- Promesse assolute — «ti rimuoviamo al 100% dal dark web»: i dump, una volta copiati, non si cancellano con un abbonamento.
- Urgenza teatrale — timer («i tuoi dati saranno venduti tra 10 minuti»).
- Dati non necessari — codice fiscale, SSN, telefono «solo per la scansione iniziale».
- Download obbligatori —
.exe, installer o estensione browser per «controllare l’email».
🚨 Avviso critico — Niente software per una query
Controllare un data breach significa interrogare un database remoto. Non richiede di installare un programma. Se ti chiedono un download per la «scansione», trattalo come rischio alto (malware / spyware).
Ha mai senso pagare per il monitoraggio?
Non tutto il settore a pagamento è una frode — ma va distinto cosa stai comprando.
Pagare solo per una mail quando esce una nuova violazione, per un utente privato, è spesso superfluo: HIBP offre già notifiche gratuite sull’indirizzo.
Ha più senso in contesti precisi:
- Password manager — piani come Bitwarden / 1Password includono report che incrociano le password del vault con breach noti (spesso via HIBP o fonti simili). Paghi l’automazione e il vault, non lo «scanner» isolato. Vedi la guida pratica ai password manager.
- Identity theft protection — soprattutto in mercati nordamericani: monitoraggio credito, supporto legale se qualcuno apre conti a tuo nome. È un prodotto diverso dal freemium YouTube.
Per un utente privato in UE, un abbonamento separato «dark web scanner» raramente batte: HIBP + password uniche + 2FA.
Quando non pagare (anche se lo schermo è rosso)
Uno schermo rosso su uno scanner freemium non è, da solo, prova di un attacco in corso. Prima:
- Ripeti il controllo su HIBP (stesso indirizzo).
- Se HIBP conferma breach noti, segui la checklist post-breach — cambio password sui siti citati, 2FA, stop al riuso.
- Solo dopo valuta se ti serve altro (es. vault/password manager che non hai ancora).
Pagare prima di capire cosa è esposto è proprio il funnel che lo scanner freemium vuole.
Alternativa pratica: strategia post-breach
Sapere che una password è in un dump è utile. Rendere quel dump irrilevante è l’obiettivo.
- Controlla di tanto in tanto su HIBP (o iscriviti alle notifiche gratuite).
- Smetti di riusare le password — un password manager con stringhe uniche: il dump di un sito secondario non apre banca o email.
- 2FA (meglio app / passkey che SMS) sugli account vitali — anche con password corretta, senza il secondo fattore l’accesso fallisce. Checklist operativa: dopo un breach, 2FA e passkey.
Domande Frequenti (FAQ)
Qual è la differenza tra HIBP e uno scanner del dark web «gratis»?
HIBP è un database indipendente che, nell’uso base, mostra in chiaro le violazioni note. Molti scanner freemium nascondono i dettagli dietro abbonamento o usano l’email per marketing.
Gli scanner gratuiti vedono tutto il dark web in tempo reale?
No. Interrogano database chiusi di dump già raccolti — in larga parte simili a quelli pubblici noti, non una scansione live totale.
È sicuro inserire la mia email in uno scanner sconosciuto?
È un rischio spesso inutile: confermi a terzi che l’indirizzo è attivo. Meglio HIBP (o i checkup di sistema già installati).
HIBP trova tutte le fughe di dati?
No. Violazioni recentissime, mirate o mai pubblicate possono sfuggire. Uno schermo verde non è un certificato di immunità.
Serve un abbonamento di monitoraggio breach dedicato?
Per l’utente privato standard, quasi mai. Notifiche HIBP + password uniche + 2FA battono, in pratica, molti avvisi a pagamento.
Come riconosco un servizio che lucra sulla paura?
Rosso acceso, countdown, dettagli sfocati/asterischi sbloccabili solo con carta: segnali tipici di upsell basato sull’allarme.
