Generalmente quello che succede è questo: in un qualche sito avviene una data breach e poniamo che i dati esposti sono indirizzo e password; in un altro sito avviene un'altra data breach e i dati esposti sono username e indirizzo. A questo punto chi vuole svolgere attività illecite cosa fa? Sostanzialmente incrocia i dati (per indirizzo, visto che è il fattore comune) e ottiene, nel caso dell'esempio, una coppia username/password... non ha importanza che quella coppia sia effettivamente mai stata usata dal proprietario di quei dati, è una coppia candidata su cui conviene provare. A questo punto su un pool di siti bersaglio si prova ad entrare con quelle credenziali.
Sono tutti meccanismi automatici... e se riescono ad entrare eseguono i compiti che gli sono assegnati.
Tieni presente che ci sono continuamente data breach e che i dataset che si riescono a creare sono veramente colossali.
Se vuoi fare qualche verifica di quali dei tuoi dati sono usciti, puoi usare questo sito:
https://monitor.firefox.com/o, se vuoi controllare una tua password, puoi usare
https://haveibeenpwned.com/PasswordsSuggerimento: non usare lo stesso sito per fare sequenze di controlli dove controlli email e password... la email su un sito, la password su un altro... magari anche facendolo ad orari/giorni diversi.
Ciao
Jenner