Account compromesso: i primi passi e a chi chiedere aiuto

Risorsa aggiuntiva per la lezione “Riconoscere un account compromesso e chiedere aiuto” — corso Sicurezza Online

Un account può essere preso da qualcun altro senza che tu abbia sbagliato niente. Questa risorsa spiega quali segnali vale la pena prendere sul serio, perché una password nuova da sola spesso non basta, in che ordine si riprende un account e dove si trova aiuto vero in Italia. Quasi tutto si prepara meglio in un giorno tranquillo.

A. Perché conta

Le password trapelano dai servizi violati, i dispositivi si infettano, e i messaggi costruiti bene convincono anche chi è attento. Quando un account viene preso, la reazione naturale è cambiare subito la password. È un passo che conta, ma raramente è tutto il lavoro.

Chi prende un account di solito cambia due cose. La password, così tu non entri più. E la via di rientro: l’email e il numero di telefono di recupero che servono a reimpostare la password, e a volte una regola di inoltro che manda di nascosto una copia delle tue email da un’altra parte. La prima ti chiude fuori. La seconda lascia a chi l’ha preso la porta aperta anche dopo che hai cambiato la password.

Riprendersi un account vuol dire riprendersi tutte e due, da un dispositivo di cui ti fidi, per una strada che scegli tu.

In Italia, a chi ci si rivolge dipende da cosa è successo

Per l’account in sé, il primo aiuto è la procedura di recupero del servizio. La Polizia Postale indica lo stesso percorso: prima la reimpostazione della password; se non funziona perché l’email e il numero associati sono già stati cambiati, il recupero dell’account rubato attraverso il centro assistenza della piattaforma. Infine, la denuncia presso un qualunque ufficio di polizia.

Se ci sono di mezzo dei soldi, la prima telefonata è alla banca. La Banca d’Italia indica quest’ordine: avvisare subito la banca o l’emittente della carta, segnalare il fatto alla Polizia Postale, poi presentare un reclamo scritto alla banca. Se la risposta non soddisfa, si può fare un esposto alla Banca d’Italia o un ricorso all’Arbitro Bancario Finanziario (ABF), che risolve le controversie con banche e intermediari senza passare dal giudice.

Per la denuncia, la strada più sicura resta l’ufficio di polizia. La Polizia di Stato sta sperimentando anche una pre-denuncia online, con accesso tramite SPID o CIE, per reati come la frode informatica, la truffa, l’accesso abusivo a un sistema informatico e l’uso indebito di carte di pagamento. La pre-denuncia va poi confermata di persona entro 48 ore. A ottobre 2026 il servizio è attivo solo in alcuni uffici del Lazio: controlla sulla pagina della Polizia Postale se è disponibile anche dove abiti.

Il modulo «Segnala online» della Polizia Postale, invece, serve a segnalare siti e contenuti sospetti: non sostituisce la denuncia né il numero di emergenza 112.

B. Concetti chiave

Sette idee per riconoscere un account preso e rimettere le cose a posto.

I segnali

Le guide delle piattaforme e dei centri nazionali per la sicurezza informatica elencano gli stessi segnali: non riesci più a entrare; ai tuoi contatti arrivano messaggi che non hai scritto; ricevi avvisi di accesso o di modifiche alle impostazioni di sicurezza che non hai fatto; arriva una reimpostazione della password o un codice di verifica che non hai chiesto.

Perché ti riguarda: un segnale debole da solo non è una prova: un’email di reimpostazione può voler dire soltanto che qualcuno ha digitato il tuo indirizzo. Un segnale forte, come non riuscire più a entrare, o due segnali insieme meritano un intervento.

La via di rientro

L’email e il numero di telefono di recupero che un account usa per farti reimpostare la password, più le eventuali regole di inoltro su un account di posta.

Perché ti riguarda: se adesso appartengono a qualcun altro, quella persona può reimpostare anche la tua password nuova. Controllarli fa parte del recupero dell’account, e la Polizia Postale consiglia di tenerli sempre aggiornati proprio per questo.

La tua strada

Aprire l’app del servizio, o digitare tu il suo indirizzo, e usare la sua pagina ufficiale di recupero dell’account.

Perché ti riguarda: un messaggio che ti avvisa, o che si offre di aiutarti a recuperare l’account, può far parte dello stesso attacco. Il recupero vero parte da una strada che scegli tu.

Un dispositivo pulito

Un dispositivo di cui hai buoni motivi per fidarti: non quello che potrebbe essere infetto.

Perché ti riguarda: se sul dispositivo che usi di solito sta girando un programma malevolo, può copiare la password nuova mentre la digiti. Per questo la guida di Microsoft al recupero di un account mette la scansione completa del computer prima del cambio password.

Disconnettersi da tutti i dispositivi

Quasi tutti i servizi principali permettono di chiudere in un colpo solo le sessioni aperte su ogni dispositivo, di solito nelle impostazioni di sicurezza.

Perché ti riguarda: toglie l’accesso a chi è già dentro, cosa che una password nuova non sempre fa.

Il rimborso delle operazioni non autorizzate

Se dal tuo conto o dalla tua carta è uscito un pagamento che non hai autorizzato, la legge italiana sui servizi di pagamento (decreto legislativo 11/2010) ti tutela. Secondo la Banca d’Italia, la banca deve rimborsarti subito, al più tardi entro la fine della giornata operativa successiva. Di norma può rifiutare solo se dimostra che hai agito con dolo o colpa grave, e il solo fatto che il pagamento sia passato con l’autenticazione forte non basta a dimostrarlo. Hai tempo fino a 13 mesi per contestare, ma la banca va avvisata appena te ne accorgi.

Perché ti riguarda: avvisare la banca subito non è solo il modo per fermare altri addebiti. È anche ciò che tiene aperta la strada del rimborso.

L’aiuto vero

Le pagine di assistenza del servizio, la tua banca, la Polizia Postale e gli uffici di polizia.

Perché ti riguarda: l’aiuto vero non ti contatta per primo offrendosi di recuperare il tuo account, e non ti chiede mai la password né un codice. Come ricorda la Banca d’Italia, la banca non ti chiederà mai i dati che usi per i pagamenti online o per l’home banking.

C. Un esempio pratico: i messaggi che Marco non ha mandato

Domenica mattina due amici chiedono a Marco del link che ha mandato loro durante la notte. Lui non ha mandato niente. Quando prova ad aprire la posta sul portatile, la password non funziona più.

Poco dopo arriva un messaggio che si offre di «ripristinare il suo account» attraverso un link. Marco sta per usarlo.

Niente di quello che ha fatto è irragionevole. Ma è stata l’offerta a cercare lui, non il contrario.

Cosa ha cambiato il risultato

• Marco ha lasciato stare quel messaggio e ha usato il telefono, di cui si fidava, invece del portatile.
• Dal telefono ha aperto lui la pagina ufficiale di recupero del suo servizio di posta e ha dimostrato che l’account era suo.
• Ha impostato una password nuova e, subito dopo, ha controllato le impostazioni di sicurezza: c’erano un numero di recupero che non era il suo e una regola di inoltro che mandava la sua posta a un indirizzo sconosciuto. Li ha tolti tutti e due.
• Solo a quel punto si è disconnesso da tutti i dispositivi, così chi era entrato non poteva più reimpostare la password né restare collegato.
• Ha controllato il portatile prima di rientrare da lì, ha avvisato i contatti di ignorare il link e ha attivato un secondo fattore.

La differenza l’ha fatta l’ordine: prima la password e la via di rientro, poi la disconnessione da tutti i dispositivi.

D. Provaci tu: prepara la via di rientro (20 minuti)

Quattro passaggi, in un giorno tranquillo. Nessuno dà per scontato che qualcosa non vada.

Passaggio 1 — Controlla la via di rientro della tua email

• Nelle impostazioni di sicurezza del tuo account di posta principale, trova l’email di recupero e il numero di telefono di recupero. Sono ancora tuoi, e ancora attivi?
• Nelle impostazioni della posta, cerca le regole di inoltro e i filtri. Li hai impostati tutti tu?

Passaggio 2 — Salva le pagine di recupero ufficiali

Per la tua email e per i due o tre account che contano di più, salva la pagina ufficiale di recupero in un posto che raggiungi da un altro dispositivo. Per esempio:

• Google: accounts.google.com/signin/recovery
• Microsoft: la guida per recuperare un account violato
• Apple: iforgot.apple.com

Passaggio 3 — Scrivi il tuo ordine

Per il giorno in cui potrebbe servirti, scrivi queste righe in un posto che ritrovi anche senza il dispositivo che usi di solito:

1. Usa un dispositivo pulito e accedi per una strada che scegli tu.
2. Recupera l’account dalla procedura ufficiale del servizio.
3. Imposta una password nuova e sistema subito l’email di recupero, il numero di recupero e le regole di inoltro.
4. Solo dopo, disconnettiti da tutti i dispositivi.
5. Avvisa i tuoi contatti, e attiva un secondo fattore se non c’era.

Passaggio 4 — Segnati chi chiameresti

• Il numero della tua banca o dell’emittente della carta, quello stampato sul retro della carta o scritto nel contratto, per il caso in cui ci siano di mezzo dei soldi.
• L’indirizzo dell’ufficio di polizia più vicino, o della sezione della Polizia Postale della tua zona, per la denuncia.
• La pagina «Denuncia per reati telematici» della Polizia Postale, per sapere se la pre-denuncia online è attiva dove abiti.

Il passaggio 1 richiede cinque minuti, ed è quello che decide come andrà la giornata storta.

E. Video, articoli e altre risorse

Prima i canali italiani, poi le guide delle piattaforme in italiano e due riferimenti internazionali in inglese.

Polizia Postale e Polizia di Stato

Polizia Postale — Come proteggere gli account social e di messaggistica istantanea dai furti
Le precauzioni e i passi per recuperare un account rubato: reimpostazione, recupero tramite la piattaforma, denuncia presso un ufficio di polizia.
https://www.commissariatodips.it/approfondimenti/cyber-hygiene/come-proteggere-gli-account-social-e-di-messaggistica-istantanea-dai-furti/index.html

Polizia Postale — Denuncia per reati telematici
Il servizio di pre-denuncia online con SPID o CIE: per quali reati si usa, come si conferma, in quali uffici è attivo.
https://www.commissariatodips.it/special/denuncia-per-reati-telematici/index.html

Polizia Postale — Segnalazioni
Come segnalare siti e contenuti sospetti, e la differenza fra una segnalazione e una denuncia.
https://www.commissariatodips.it/segnalazioni/index.html

Banca d’Italia e Arbitro Bancario Finanziario

Banca d’Italia — Cosa fare se si è stati vittima di truffe o frodi
L’ordine dei passi: avvisare subito la banca, segnalare alla Polizia Postale, reclamo, esposto o ricorso all’ABF.
https://www.bancaditalia.it/focus/cybersicurezza/truffe-cyber

Banca d’Italia, L’economia per tutti — Operazioni di pagamento non autorizzate?
Il diritto al rimborso, i tempi e il ruolo dell’autenticazione forte, spiegati in modo semplice.
https://economiapertutti.bancaditalia.it/notizie-e-rubriche/notizie/operazioni-di-pagamento-non-autorizzate/

Banca d’Italia, L’economia per tutti — Arbitro Bancario Finanziario
Come funziona l’ABF: prima il reclamo alla banca, poi il ricorso online.
https://economiapertutti.bancaditalia.it/aree-tematiche/diritti-e-tutele/arbitro-bancario-finanziario/index.html

Arbitro Bancario Finanziario
Il sito dell’ABF, con le istruzioni per presentare un ricorso.
https://www.arbitrobancariofinanziario.it/

Identità digitale

AgID — Identità digitale, attenzione alle truffe
Cosa fare se sospetti che qualcuno abbia attivato uno SPID a tuo nome: contattare il gestore dell’identità e rivolgersi alla Polizia Postale.
https://www.agid.gov.it/it/notizie/identita-digitale-attenzione-alle-truffe

Le piattaforme, in italiano

Guida di Account Google — Proteggere un Account Google violato o compromesso
Il recupero, e il controllo del numero e dell’email di recupero, dei dispositivi e dell’inoltro di Gmail.
https://support.google.com/accounts/answer/6294825?hl=it

Supporto Apple — Se ritieni che il tuo Apple Account sia stato compromesso
I segnali elencati da Apple, e i passaggi per mettere in sicurezza l’account.
https://support.apple.com/it-it/102560

Supporto Microsoft — Come ripristinare un account Microsoft violato o compromesso
La scansione del computer prima del cambio password, poi i controlli sull’inoltro della posta e sugli account collegati.
https://support.microsoft.com/it-it/accounts-billing/manage/how-to-recover-a-hacked-or-compromised-microsoft-account

Fonti internazionali (in inglese)

NCSC (Regno Unito) — Recovering a hacked account
I segnali, e una guida passo per passo per rientrare in un account.
https://www.ncsc.gov.uk/guidance/recovering-a-hacked-account

FTC (Stati Uniti) — How to recover your hacked email or social media account
Segnali, passaggi di recupero e link alle pagine di recupero di molti servizi.
https://consumer.ftc.gov/articles/how-recover-your-hacked-email-or-social-media-account

Link verificati a ottobre 2026. Se un indirizzo cambia, di solito basta cercare il titolo sul sito dell’ente.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento sicuro

Questa lezione si colloca nel pilastro del Comportamento sicuro, al livello FL2. Chiude il percorso Essenziale del corso e apre la strada a quello Intermedio.

Competenze

• Trovare e controllare i dati di recupero e le regole di inoltro di un account.
• Usare la procedura ufficiale di recupero di un servizio, da un dispositivo pulito.

Consapevolezza

• Riconoscere i segnali di un account preso, sapendo che un segnale solo non è una prova.
• Capire che chi prende un account cambia la via di rientro oltre alla password.
• Sapere che, per un pagamento non autorizzato, avvisare subito la banca protegge anche il diritto al rimborso.

Comportamento sicuro

• Entrare dalla propria strada, mai dal link di un messaggio di avviso.
• Chiedere aiuto al servizio, alla banca e alla polizia, mai a chi ti contatta per primo offrendosi di recuperare l’account.

G. Domande su cui fermarsi

• Se stanotte qualcuno ti prendesse l’account email principale, quale dispositivo useresti per riprendertelo?
• Il numero di recupero che c’è sul tuo account di posta è ancora tuo?
• Chi chiameresti per primo se dal tuo conto fossero usciti dei soldi?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente qui.

1. Accorgersene presto

• R8 — Attiva gli avvisi di accesso agli account, così un accesso che non hai fatto ti arriva in fretta.
• R29 — Quando un contatto ti avvisa di un messaggio partito a tuo nome, prendilo sul serio e segui i passaggi.

Impegno minimo: controlla oggi che l’email e il numero di recupero del tuo account di posta principale siano tuoi.

2. Riprenderselo, e tenerlo

• R4 — Attiva un secondo fattore, a partire dalla tua email principale, una volta che l’account è di nuovo tuo.
• R1 e R2 — Una password diversa per ogni account, archiviata in un gestore di password affidabile, così un account preso non ne apre altri.

Impegno minimo: scrivi le cinque righe del passaggio 3 e tienile lontano dal dispositivo che usi di solito.

In sintesi

• Un segnale debole da solo non è una prova; un segnale forte, o due insieme, meritano un intervento.
• Chi prende un account cambia la password e la via di rientro. Riprenditi tutte e due.
• Prima un dispositivo pulito e la tua strada, poi il recupero, la password insieme ai dati di recupero e all’inoltro, la disconnessione da tutti i dispositivi, i contatti.
• Se ci sono di mezzo soldi, avvisa subito la banca; per la denuncia, la Polizia Postale o un qualunque ufficio di polizia.
• L’aiuto vero non ti contatta per primo offrendosi di recuperare l’account, e non ti chiede mai la password né un codice.

Altre risorse di questo corso

• Infostealer: il malware che ruba gli accessi
• Disconnettersi dagli account: l’ultimo passo che conta
• Proteggere l’home banking: email e numero di telefono
• Autenticazione a più fattori: da quali account cominciare

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.