Il punto di partenza è Have I Been Pwned (haveibeenpwned.com): inserisci l'email e vedi in quali breach noti compare; la verifica delle password usa k-anonymity – al servizio arriva solo un frammento dell'hash, mai la password. I password manager seri integrano lo stesso controllo e segnalano da soli le credenziali finite nei dump.
Se risulti compromesso: cambia la password su quel servizio e ovunque l'avessi riusata (è il riuso il vero danno – credential stuffing), attiva l'MFA, e occhio ai phishing a tema "sicurezza" nei giorni successivi: i truffatori leggono gli stessi dump.
Per un'organizzazione il controllo one-shot non basta: serve monitoraggio continuo di breach, paste site e canali underground sulla propria superficie – self-hosted, senza regalare a terzi la lista dei propri punti deboli: è il mestiere di NASO.