Email compromessa: come verificare se la tua email è stata violata e cosa fare

Scoprire che la propria email compromessa circola da qualche parte, o anche solo il sospetto che qualcuno ci sia entrato, mette addosso una fretta cattiva. La prima reazione è quasi sempre sbagliata: cambio la password, chiudo tutto, spero che passi. In oltre trent’anni passati a mettere in sicurezza caselle di posta di aziende e professionisti ho imparato che il vero problema, il più delle volte, non è la password. È la diagnosi. Sotto la stessa frase, “mi hanno bucato la mail”, si nascondono almeno tre situazioni tecnicamente diverse, che richiedono azioni diverse. Confonderle significa perdere tempo prezioso o, peggio, non accorgersi che l’intruso è ancora dentro. In questa guida imparerai a distinguerle, a verificare davvero cosa è successo e a reagire nell’ordine corretto, con un’attenzione in più che quasi nessuno affronta: cosa cambia quando quella casella è aziendale e contiene dati altrui.

Cosa significa davvero “email compromessa” (i tre scenari che vengono confusi)

La parola compromissione viene usata come un ombrello per fenomeni molto diversi tra loro. C’è chi cerca in rete “email hackerata” e chi digita “email compromessa” intendendo cose opposte, e questa confusione linguistica riflette una confusione reale sui fatti. Prima di aprire qualsiasi strumento di verifica, vale la pena capire in quale dei tre scenari ti trovi, perché la risposta operativa a una email compromessa cambia completamente a seconda di cosa è successo davvero.

Il primo scenario è il più frequente e, paradossalmente, il meno grave nell’immediato: il tuo indirizzo compare in un data breach subìto da un servizio terzo. Un negozio online, un forum, una piattaforma a cui ti eri iscritto anni fa viene violato, e nel bottino finiscono email e password degli utenti. La tua casella, in sé, non è stata toccata. Il rischio nasce dal fatto che quella password, se l’hai riutilizzata altrove, diventa una chiave universale in mano a chi ha comprato quel database. Capire come viaggiano le credenziali aiuta a inquadrare il problema, e su come funziona davvero la posta elettronica ho scritto una guida dedicata al funzionamento delle email.

Il secondo scenario è la compromissione vera e propria, quella che in gergo si chiama account takeover: qualcuno è entrato nella tua casella e ci sta operando. Legge, inoltra, cancella, magari scrive a nome tuo. Qui non parliamo più di una password trapelata da un sito qualsiasi, ma di un accesso attivo al tuo account. È lo scenario che richiede la reazione più rapida.

Il terzo scenario confonde più di tutti. Ricevi una email che sembra arrivare dal tuo stesso indirizzo, spesso con la minaccia di aver registrato la tua webcam o di conoscere le tue password, e la richiesta di un riscatto in criptovaluta. Il mittente uguale al tuo indirizzo ti fa pensare al peggio. Nella grande maggioranza dei casi, invece, non sei compromesso affatto: è spoofing, cioè la falsificazione del campo mittente, una tecnica banale che non richiede alcun accesso alla tua casella. Distinguere questo terzo caso dai primi due ti risparmia panico e, soprattutto, soldi.

Perché insisto tanto su questa distinzione invece di darti subito la lista di tool, come fanno quasi tutti? Perché la reazione corretta cambia radicalmente da uno scenario all’altro. Nel primo caso la cosa giusta è cambiare la password riutilizzata; nel secondo bisogna espellere un intruso attivo e mettere in sicurezza tutti gli account collegati; nel terzo, spesso, non c’è nulla da fare se non ignorare il ricatto. Applicare la ricetta del secondo scenario quando sei nel terzo ti fa perdere ore inutili; fare il contrario ti lascia l’aggressore in casa. La tabella qui sotto riassume come riconoscere ciascuna situazione e la mossa prioritaria.

I segnali che la tua casella è stata violata davvero

Se il sospetto riguarda il secondo scenario, l’accesso abusivo, ci sono indizi concreti da cercare prima ancora di affidarsi a un tool. Alcuni sono ovvi, altri li nota solo chi sa dove guardare.

Il segnale più diretto è la presenza, nello storico degli accessi, di dispositivi o indirizzi IP che non riconosci, tipicamente da Paesi in cui non sei mai stato. Gmail, Outlook e Aruba mettono a disposizione una schermata degli accessi recenti proprio per questo. Un altro campanello classico sono le email che spariscono dalla posta in arrivo o che compaiono già lette senza che tu le abbia aperte, oppure messaggi nella cartella “inviati” che non hai scritto.

C’è però un indizio che i più trascurano e che a me, quando faccio un’analisi, dice quasi sempre la verità: le regole di inoltro e i filtri nascosti. Un aggressore esperto non ha alcun interesse a farsi notare cambiando la password. Preferisce restare invisibile e creare una regola che gli inoltra in copia ogni email in arrivo, o che sposta automaticamente nel cestino i messaggi della tua banca, così non vedi gli avvisi di operazioni sospette. È un movimento silenzioso, pensato per durare mesi. Vale la pena aprire le impostazioni della casella e controllare a mano ogni regola e ogni filtro attivo: se ne trovi uno che non ricordi di aver creato, hai la conferma che qualcuno è passato di lì.

Infine, attenzione ai reset di password che arrivano per servizi collegati alla tua email senza che tu li abbia richiesti. Significa che qualcuno sta usando la casella come grimaldello per entrare altrove, sfruttando il fatto che l’indirizzo di posta è la chiave di recupero di quasi tutti i tuoi account.

Ci sono poi segnali indiretti, che arrivano da fuori. Un contatto che ti scrive per dirti di aver ricevuto da te un messaggio strano, con un link sospetto o una richiesta di denaro, è spesso il primo a segnalarti un problema che tu non hai ancora visto. Allo stesso modo, notifiche di autenticazione a due fattori che compaiono sul tuo telefono senza che tu stia effettuando alcun accesso raccontano che qualcuno, da qualche parte, sta provando a entrare con le tue credenziali. Vale la pena prendere sul serio queste avvisaglie invece di archiviarle come casualità: nella pratica quotidiana sono proprio i piccoli dettagli anomali, sommati, a comporre il quadro di una compromissione in corso. Quando li ignori, regali all’aggressore esattamente ciò di cui ha bisogno, cioè tempo.

Come verificare se la tua email è stata compromessa, passo per passo

Chiarito lo scenario, passiamo al metodo. Questa è la sequenza che seguo io per capire se un’email è compromessa, ordinata in modo da darti prima le informazioni che costano meno fatica e poi quelle più profonde. Non serve alcuna competenza tecnica particolare per i primi passaggi, mentre gli ultimi ripagano un minimo di pazienza. L’importante è non fermarsi al primo controllo: chi cerca conferme sul fatto che la propria email sia hackerata tende a guardare solo i database di violazioni e a trascurare gli indizi che contano di più, cioè quelli che vivono dentro le impostazioni della casella.

Il primo controllo riguarda i data breach. Esistono servizi gratuiti e affidabili, il più noto dei quali interroga un enorme archivio di violazioni note e ti dice se il tuo indirizzo vi compare, indicando anche in quali fughe di dati e con quali tipi di informazione. Inserisci l’indirizzo, leggi l’elenco delle violazioni e prendi nota degli anni: ti serve per capire quali password sono potenzialmente esposte. Ecco gli strumenti che uso e consiglio per questo controllo:

• Have I Been Pwned: l’archivio di riferimento, con miliardi di credenziali trapelate e la possibilità di attivare un avviso automatico per il futuro.
• Mozilla Monitor (l’ex Firefox Monitor): controlla il tuo indirizzo e ti notifica quando compare in nuove violazioni.
• Avast Hack Check: una verifica rapida e immediata dell’indirizzo email.

Ricorda però il limite di questi strumenti: un risultato “pulito” non è una garanzia di innocenza, ma solo l’assenza del tuo indirizzo negli archivi che quel servizio conosce.

Il secondo controllo è lo storico degli accessi del tuo provider. Nella sezione sicurezza dell’account trovi l’elenco delle sessioni con data, luogo approssimativo e tipo di dispositivo. È qui che, se c’è stato un accesso abusivo, quasi sempre resta la traccia. Non serve essere tecnici: se vedi un accesso da una città lontana in un momento in cui eri altrove, hai la tua risposta. La rilevanza di questo punto va oltre la semplice curiosità, perché quei log possono avere un peso anche in sede di contestazione, un tema che ho approfondito parlando del valore legale di email e SMS.

Il terzo controllo, già anticipato, è la caccia alle regole di inoltro e ai filtri. Dedicaci qualche minuto: è il passaggio che distingue una verifica seria da una superficiale. Il quarto controllo è sul tuo dispositivo. Se un malware “info-stealer” ti ha rubato le credenziali direttamente dal browser, cambiare password non serve a nulla finché il computer resta infetto, perché la nuova password verrà rubata di nuovo. Una scansione completa con un antimalware aggiornato è quindi parte integrante della verifica, non un optional, e su come riconoscere un sistema infetto puoi partire da questa guida su virus, malware e spyware. Il tema è tutt’altro che marginale: secondo l’ENISA, l’agenzia europea per la cybersicurezza, il phishing rappresenta circa il 60% dei casi di accesso iniziale ai sistemi, e quasi sempre l’obiettivo è proprio impossessarsi di credenziali, come documenta il Threat Landscape 2025 dell’ENISA.

Una precisazione onesta sui limiti di questi controlli, perché nessuno te la dà mai. Gli archivi di violazioni conoscono solo i breach diventati pubblici: esistono fughe di dati mai rese note e credenziali vendute in circuiti chiusi che non compariranno in nessuna ricerca. Per questo conviene incrociare più di una fonte invece di fidarsi di un solo servizio, e considerare utile anche il controllo password integrato in molti browser e gestori, che confronta le tue credenziali salvate con gli elenchi di quelle compromesse. D’altra parte, lo storico degli accessi è affidabile solo se l’aggressore non ha avuto modo di ripulirlo, cosa non impossibile su alcune piattaforme. In pratica, la verifica non è mai un semaforo verde o rosso netto, ma un insieme di indizi che vanno letti insieme. Se al termine di tutti i passaggi resta un dubbio serio, soprattutto su una casella importante, trattare la situazione come una compromissione confermata è la scelta prudente: costa qualche minuto in più e ti mette al riparo dallo scenario peggiore.

Ho la conferma: cosa fare, nell’ordine giusto, nelle prime ore

Quando la verifica conferma un accesso abusivo, l’ordine delle operazioni conta quanto le operazioni stesse. Farle nella sequenza sbagliata è l’errore che vedo più spesso, perché lascia all’aggressore il tempo di reagire. Ecco la priorità che consiglio.

Per prima cosa cambia la password, ma fallo da un dispositivo che sei certo essere pulito, non dallo stesso computer che potrebbe essere infetto. Subito dopo, e questo è il passaggio decisivo, revoca tutte le sessioni attive: quasi tutti i provider hanno un pulsante tipo “disconnetti da tutti i dispositivi”. Cambiare la password senza chiudere le sessioni aperte è come cambiare la serratura lasciando dentro casa chi era già entrato. Poi attiva l’autenticazione a due fattori, preferibilmente con un’app o una chiave fisica invece degli SMS, più intercettabili. A quel punto verifica i dati di recupero, cioè il numero di telefono e l’email secondaria: un aggressore accorto li modifica per riprendersi l’account dopo che tu lo hai “chiuso”. Infine avvisa i tuoi contatti se temi che siano partite email a nome tuo, e occupati degli altri account dove usavi la stessa password.

Un’accortezza che nessuno menziona, ma che conta parecchio quando la email compromessa apre un contenzioso: prima di cancellare tutto per “ripulire”, conserva le prove. Gli header dei messaggi sospetti, gli screenshot dello storico accessi con gli IP anomali, l’elenco delle regole di inoltro trovate. Se la vicenda finirà davanti a un legale o a un giudice, quei dati sono ciò che permette di ricostruire cosa è accaduto. Distruggerli per fretta significa rinunciare in partenza a difendersi. È un riflesso che ho maturato analizzando incidenti su incarico del Tribunale, ma vale per chiunque, non solo per le aziende.

La tabella seguente riassume le azioni prioritarie e l’errore da evitare per ciascuna.

Quando l’email compromessa è un problema legale, non solo tecnico

Qui la mia esperienza si allontana dai consigli standard che trovi ovunque. Una email compromessa non ha lo stesso peso per tutti. Se la casella violata è quella personale con cui prenoti la pizza, il danno è tuo e finisce lì. Se invece è un indirizzo aziendale o professionale, attraverso cui passano dati di clienti, fornitori o dipendenti, la compromissione non è più solo un fastidio tecnico: diventa quasi certamente un data breach ai sensi del GDPR, con obblighi precisi e tempi stretti. È un aspetto che, nella mia attività di consulente e come membro di FederPrivacy, vedo sottovalutato in modo sistematico: si corre a rimettere in sesto la posta e ci si dimentica che una email compromessa in azienda fa scattare responsabilità che il codice civile e il Regolamento europeo non perdonano.

Il Regolamento europeo, all’articolo 33, impone al titolare del trattamento di notificare la violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza. Il Garante per la protezione dei dati personali lo spiega in modo chiaro nella sua pagina istituzionale sul data breach: la notifica va inviata quando la violazione può comportare un rischio per i diritti e le libertà delle persone, e se il rischio è elevato bisogna informare anche gli interessati. Le 72 ore non decorrono da quando “sistemi tutto”, ma da quando ti accorgi del problema. Questo cambia radicalmente le priorità: mentre stai ancora cambiando le password, il cronometro normativo è già partito. Ho raccolto il quadro completo degli adempimenti nel mio articolo sul Data Breach e il GDPR.

Il fenomeno non è un’ipotesi da manuale. Secondo i dati Eurostat pubblicati nel 2025, nel 2023 il 21,5% delle imprese europee ha subìto incidenti di sicurezza informatica con conseguenze concrete, dalla indisponibilità dei servizi alla divulgazione di dati riservati. Una casella di posta aziendale compromessa è una delle porte d’ingresso più comuni verso quei numeri.

Nella nostra pratica capita spesso un copione ricorrente, che riassumo in forma anonima. Un ufficio amministrativo riceve una email apparentemente dal fornitore abituale, con nuove coordinate bancarie per il pagamento di una fattura. È una frode nota come Business Email Compromise: l’aggressore era entrato settimane prima nella casella di uno dei due interlocutori, aveva studiato in silenzio lo scambio di email grazie a una regola di inoltro, e ha colpito nel momento giusto inserendosi nella conversazione. Il bonifico parte, il denaro sparisce, e solo allora ci si accorge che la casella era compromessa da tempo. In casi come questi la ricostruzione tecnica dei log, che nella mia attività di consulente tecnico d’ufficio del Tribunale mi capita di analizzare, diventa la differenza tra dimostrare cosa è successo e subire il danno senza spiegazioni.

Sul piano degli adempimenti, vale la pena chiarire un punto che confonde molti titolari. Non tutte le violazioni vanno notificate al Garante, ma tutte vanno documentate: il GDPR impone di tenere un registro interno delle violazioni, anche di quelle che si è deciso di non notificare, con la motivazione della scelta. È un obbligo che in caso di controllo fa la differenza tra un’azienda che ha gestito l’incidente con metodo e una che appare in balìa degli eventi. Inoltre la notifica all’autorità e la comunicazione agli interessati sono due cose diverse: la prima scatta quando esiste un rischio per i diritti delle persone, la seconda solo quando quel rischio è elevato. Confonderle porta o a tacere quando si dovrebbe parlare, o ad allarmare centinaia di clienti quando non sarebbe necessario. La valutazione va fatta caso per caso, ed è esattamente il tipo di decisione in cui un occhio esperto evita sia l’omissione sanzionabile sia l’eccesso controproducente. Al contrario di quanto si pensa, la parte tecnica del recupero è spesso la più semplice: è la gestione corretta degli obblighi a richiedere lucidità nelle ore in cui si è più agitati.

L’email “da te stesso” che ti ricatta: spoofing, non compromissione

Torniamo al terzo scenario, quello che genera più ansia e più errori. Ricevi un messaggio che risulta spedito dal tuo stesso indirizzo: l’autore sostiene di aver preso il controllo del tuo account, di averti filmato, e chiede un pagamento per non diffondere il materiale. Il fatto che il mittente coincida con la tua email sembra la prova provata che sei stato bucato. Non lo è.

Falsificare il campo “From” di una email è tecnicamente semplice, perché il protocollo originario della posta non è nato per garantire l’identità del mittente. Chiunque può scrivere nel campo mittente l’indirizzo che vuole, compreso il tuo, senza aver mai messo piede nella tua casella. È come ricevere una lettera cartacea con il tuo nome scritto sul mittente: non significa che l’abbia spedita tu. La conferma la trovi negli header tecnici del messaggio e nei controlli di autenticazione SPF, DKIM e DMARC: se falliscono, il messaggio è quasi certamente spoofing. In questi casi non c’è nulla da “recuperare”, perché non c’è stata alcuna intrusione. La regola pratica è semplice e la dico da sempre senza giri di parole: non si paga mai, e non si risponde. Detto questo, un controllo sui data breach vale comunque la pena, perché spesso questi ricatti sbandierano una vecchia password reale, pescata proprio da una fuga di dati, per rendersi credibili. Se quella password è ancora in uso da qualche parte, cambiarla resta la mossa giusta, indipendentemente dal ricatto.

Vale la pena sapere come funziona questo tipo di truffa, perché capirlo toglie potere al ricatto. Questi messaggi vengono spediti a tappeto, a milioni di indirizzi contemporaneamente, con un testo identico per tutti e nessuna informazione reale su di te oltre, a volte, a una vecchia password pescata da un data breach. Il criminale non ti ha filmato, non è entrato da nessuna parte e non sa nulla di te: gioca sulla probabilità che, tra milioni di destinatari, qualche centinaio pagherà per paura. Riconoscere lo schema è già metà della difesa. Se un messaggio del genere ti crea comunque inquietudine per una casella importante, esegui i controlli descritti sopra e poi archivialo: la reazione peggiore è dargli l’attenzione, e i soldi, che cerca.

Dopo la compromissione: recuperare la reputazione e uscire dalle blacklist

C’è un capitolo che quasi nessuna guida affronta, e che invece per chi lavora con la posta è spesso il più doloroso: le conseguenze sulla capacità di inviare email. Quando un aggressore prende il controllo di una casella o di un intero server di posta, il primo uso che ne fa è spedire ondate di spam o phishing. Il risultato è che il tuo dominio o il tuo indirizzo IP finiscono nelle blacklist internazionali, gli elenchi che i provider consultano per decidere se accettare o cestinare la posta in arrivo.

A quel punto puoi anche aver ripulito tutto, ma le tue email legittime iniziano a rimbalzare o a finire dritte nello spam dei destinatari. È un danno che si trascina per settimane e che colpisce direttamente il lavoro, perché un preventivo che non arriva è un preventivo perso. Uscire da una blacklist richiede un metodo, non improvvisazione: bisogna capire in quali elenchi si è finiti, rimuovere la causa e poi presentare le richieste di delisting. Ho descritto la procedura completa nella guida su come verificare e rimuovere il tuo IP dalle blacklist. Per la verifica vera e propria questi sono gli strumenti che tengo sempre a portata di mano:

• MXToolbox e la relativa sezione dedicata alle blacklist: controllano in un colpo solo la presenza del tuo dominio o IP nei principali elenchi.
• MultiRBL: verifica incrociata su decine di blacklist contemporaneamente, utile per non lasciarsi sfuggire nulla.
• Blacklist Alert: un controllo rapido e immediato dello stato del tuo IP.
• Sender Score: assegna al tuo IP di invio un punteggio di reputazione, prezioso per capire quanto i provider si fidano della tua posta.

Considerare questo passaggio parte integrante della gestione di una email compromessa, e non un problema separato, è ciò che distingue un recupero completo da uno lasciato a metà.

C’è anche un lavoro di fondo che riduce a monte questo rischio. Configurare correttamente i tre protocolli di autenticazione del dominio, cioè SPF, DKIM e DMARC, rende molto più difficile per un aggressore spedire posta a nome tuo e usare la tua identità per lo spam. Un DMARC impostato in modo rigoroso dice ai provider di destinazione di rifiutare i messaggi che non superano i controlli, proteggendo sia la tua reputazione sia i tuoi interlocutori. Questi stessi protocolli, non a caso, sono anche lo strumento con cui smascheri lo spoofing di cui parlavo poco fa: la stessa configurazione che difende chi riceve le tue email ti aiuta a capire quando qualcuno finge di essere te. Monitorare periodicamente la reputazione del dominio, infine, permette di accorgersi di un abuso nelle prime ore invece che dopo settimane di posta persa.

Prevenzione: rendere la prossima compromissione molto più difficile

Nessuna misura azzera il rischio, e chi promette sicurezza garantita mente. Si può però alzare l’asticella al punto da rendere la tua casella un bersaglio poco conveniente. La singola abitudine che cambia più di tutte è smettere di riutilizzare le password: un gestore di password genera e ricorda credenziali diverse per ogni servizio, così una fuga di dati su un sito non contagia tutti gli altri. Dove è disponibile, l’adozione delle passkey elimina del tutto la password come punto debole. L’autenticazione a più fattori va attivata ovunque, a partire proprio dall’email, perché è la chiave che apre tutto il resto. Per gli usi meno importanti, infine, un alias o un indirizzo secondario tiene la tua casella principale fuori dai database che verranno violati in futuro. È interessante notare come queste poche mosse, applicate con costanza, valgano più di qualsiasi strumento comprato dopo il disastro.

Su questo punto tocca dire una cosa scomoda: la tecnologia da sola non basta, perché l’anello debole resta quasi sempre la persona. La maggior parte delle compromissioni comincia con un clic su un link di phishing fatto in un momento di distrazione, non con un attacco sofisticato ai server. In un contesto aziendale, allora, la misura di prevenzione con il miglior rapporto tra costo e risultato è formare le persone a riconoscere una email malevola, con esercitazioni periodiche invece di una circolare letta e dimenticata. A questo si aggiungono due accortezze spesso trascurate. La prima è un backup regolare e testato dei messaggi importanti, perché un aggressore che perde l’accesso a volte cancella per ripicca, e un archivio recuperabile trasforma un disastro in un fastidio. La seconda è un servizio di monitoraggio che ti avvisa se le tue credenziali compaiono in una nuova fuga di dati, così scopri il problema prima che lo scoprano gli altri. Vale la pena ricordare che le email sono spesso il veicolo dello spam più che il bersaglio: capire il fenomeno aiuta a difendersi, e ne ho scritto in modo esteso in questa guida al significato dello spam.

Riepilogo dei punti chiave

Un’email compromessa nasconde tre situazioni diverse: la comparsa dell’indirizzo in un data breach di terzi, l’accesso abusivo alla casella (account takeover) e lo spoofing, cioè un ricatto che sembra arrivare dal tuo indirizzo ma non implica alcuna intrusione. Per verificare cosa è successo si controllano nell’ordine i data breach noti, lo storico degli accessi del provider, le regole di inoltro e i filtri nascosti, e infine il dispositivo alla ricerca di malware. In caso di accesso confermato l’ordine giusto è: cambiare la password da un dispositivo pulito, revocare tutte le sessioni attive, attivare l’autenticazione a due fattori, verificare i dati di recupero e avvisare i contatti. Se la casella è aziendale e contiene dati personali, la compromissione è quasi sempre un data breach ai sensi del GDPR, con obbligo di notifica al Garante entro 72 ore. Un capitolo spesso ignorato riguarda il recupero della reputazione di invio e l’uscita dalle blacklist. La prevenzione più efficace resta smettere di riutilizzare le password e attivare ovunque l’autenticazione a più fattori.

Domande frequenti su email compromessa

Come capire se la mia mail è compromessa?

Controlla nell’ordine quattro cose: se il tuo indirizzo compare in un archivio pubblico di violazioni di dati, lo storico degli accessi recenti del tuo provider alla ricerca di dispositivi o Paesi che non riconosci, le regole di inoltro e i filtri della casella per individuare movimenti nascosti, e infine il tuo dispositivo con una scansione antimalware. La presenza di accessi anomali o di regole di inoltro che non hai creato è la conferma più solida di un accesso abusivo.

Cosa significa “indirizzo email compromesso”?

Significa che un soggetto non autorizzato ha ottenuto qualcosa che riguarda quell’indirizzo: nella forma più lieve, le credenziali sono trapelate da un servizio terzo violato; nella forma più grave, qualcuno ha effettivamente accesso alla casella e può leggerla e operarci. Sono due situazioni diverse per gravità e per risposta, ed è importante capire quale delle due si sta affrontando prima di agire.

Ricevo email dal mio stesso indirizzo con un ricatto: sono stato hackerato?

Quasi sempre no. Falsificare il mittente di una email è tecnicamente semplice e non richiede alcun accesso alla tua casella: si chiama spoofing. Verifica gli header del messaggio e i controlli SPF, DKIM e DMARC; se falliscono, si tratta di falsificazione. Non pagare e non rispondere. Se il messaggio cita una tua vecchia password reale, cambiala comunque ovunque sia ancora in uso, perché proviene da una precedente fuga di dati.

Cosa devo fare per prima cosa se la mia email è stata violata?

Cambia la password da un dispositivo che sei certo essere pulito, poi revoca immediatamente tutte le sessioni attive dalla sezione sicurezza del provider: è il passaggio che espelle chi è già collegato. Subito dopo attiva l’autenticazione a due fattori, controlla che numero di telefono ed email di recupero non siano stati modificati e verifica le regole di inoltro. Solo allora avvisa i contatti e metti in sicurezza gli altri account con la stessa password.

La mia email aziendale è stata compromessa: devo notificare il data breach?

Se attraverso quella casella passano dati personali di clienti, fornitori o dipendenti, la compromissione è con ogni probabilità un data breach ai sensi del GDPR. L’articolo 33 impone al titolare del trattamento di notificare la violazione al Garante senza ingiustificato ritardo e, dove possibile, entro 72 ore da quando ne viene a conoscenza, quando esiste un rischio per i diritti delle persone. Se il rischio è elevato vanno informati anche gli interessati. Il termine decorre dalla scoperta, non dalla risoluzione.

Il mio indirizzo risulta in un data breach: quanto devo preoccuparmi?

Comparire in una violazione di dati non significa che la tua casella sia sotto controllo altrui: vuol dire che una password associata a quell’indirizzo è potenzialmente nota. Il rischio reale dipende da un fattore: hai riutilizzato quella password altrove? Se sì, cambiala ovunque, dando priorità agli account più sensibili. Se ogni servizio ha una password diversa, il danno resta circoscritto al singolo servizio violato. In entrambi i casi, attivare l’autenticazione a due fattori riduce drasticamente le conseguenze.

Dalla verifica alla difesa concreta

Gestire una email compromessa bene significa fare due cose che sembrano opposte: agire in fretta e non farlo alla cieca. Prima capisci in quale dei tre scenari ti trovi, poi verifichi con metodo, infine reagisci nell’ordine corretto senza dimenticare né gli obblighi normativi né la reputazione di invio. È un percorso che chiunque può seguire con attenzione, ma che su una casella aziendale, dove ogni ora conta e le responsabilità si moltiplicano, ripaga l’aiuto di chi lo affronta ogni giorno da anni e conosce sia il lato tecnico sia quello legale.

Un’ultima cosa che ripeto sempre. Il momento peggiore per imparare a gestire una email compromessa è mentre la stai subendo, con l’orologio delle 72 ore che corre e le decisioni prese nel panico. Il momento migliore è adesso, quando puoi controllare con calma i tuoi accessi, attivare l’autenticazione a due fattori dove manca e sistemare la configurazione del dominio. Mezz’ora spesa oggi vale più di una giornata intera passata a rincorrere i danni domani. Non è un consiglio commerciale, è quello che direi a un amico.

Se la casella coinvolta è quella della tua azienda, o se vuoi mettere in sicurezza la posta prima che il problema si presenti, prenota una consulenza strategica: possiamo valutare insieme lo stato della tua sicurezza e costruire una difesa su misura contro il rischio di una email compromessa. Il primo passo è una conversazione, che puoi fissare direttamente dal mio calendario.