Per mettere al sicuro un account email servono tre mosse che contano più di qualsiasi software: una password lunga e diversa da tutte le altre, custodita in un password manager; la verifica in due passaggi attiva, preferibilmente con passkey o chiave di sicurezza invece dell’SMS; un controllo periodico di sessioni, inoltri e app collegate. Valgono per Gmail, Outlook, Libero o qualsiasi altro provider, a una condizione: trattare la casella come l’account più prezioso che hai. I dettagli cambiano il risultato. Non tutti i metodi di 2FA resistono al phishing, una regola di inoltro nascosta può copiare la tua posta per mesi e, dopo una violazione, l’ordine in cui agisci decide se recuperi tutto o solo una parte.
In breve
- Una password per ogni servizio: se la riusi, basta la violazione di un sito qualsiasi per esporre anche la posta.
- L’ordine di robustezza della 2FA è SMS, poi app di autenticazione, poi passkey o chiave FIDO2.
- Una volta al mese controlla sessioni attive, regole di inoltro e app di terze parti.
- Cambia la password quando hai un motivo concreto, non a calendario.
- Account violato: prima riprendi il controllo, poi chiudi le porte lasciate aperte, infine avvisa i contatti.
Dans le même guide : Email e webmail: guida pratica alla gestione della posta elettronica · Usare la webmail ogni giorno
Sommario
Perché la casella email è la chiave di tutta la tua vita digitale
Quasi tutti i servizi online usano la tua email come canale di recupero. Banca, social, Amazon, PayPal: quando qualcuno clicca su “password dimenticata”, il link di reset arriva lì. Chi controlla la tua casella di posta elettronica può quindi reimpostare le password degli altri account, uno dopo l’altro, senza conoscerne nessuna.
La posta contiene anche molto altro: copie di documenti d’identità, conferme di ordini, estratti conto, contratti. È materiale sufficiente per un furto di identità, per esempio per sottoscrivere contratti a tuo nome. Un account violato colpisce poi anche i tuoi contatti, perché i messaggi truffa partono da un indirizzo di cui si fidano.
Se vuoi riordinare le basi della gestione quotidiana, trovi un quadro completo nella guida pratica alla posta elettronica e alla webmail.
Da fare subito: cerca nella posta i documenti d’identità allegati, salvali in un archivio protetto e cancella i messaggi.
Le minacce che colpiscono davvero un account di posta
Per un utente privato i rischi concreti sono tre: il furto delle credenziali tramite phishing, il riuso di password già finite in una violazione dei dati e gli allegati infetti. Quest’ultimo rischio è vecchio quanto la posta: il worm ILOVEYOU, nascosto in un finto messaggio d’amore, colpì oltre 10 milioni di computer.
Le violazioni sono il pericolo più sottovalutato. Quando un sito viene bucato, email e password dei suoi utenti finiscono in elenchi venduti sul dark web, e i criminali le provano in automatico su Gmail, Outlook e gli altri provider. Nemmeno i provider italiani ne sono immuni: i dati di oltre 600.000 utenti di email.it sono finiti online.
Per sapere se il tuo indirizzo compare in uno di questi elenchi, inseriscilo su Have I Been Pwned o nel servizio di monitoraggio di Mozilla, che si appoggia allo stesso database. Ti viene chiesto solo l’indirizzo, mai la password. Il risultato indica in quale violazione compari e quali dati sono stati esposti. Puoi anche iscriverti per ricevere un avviso alle violazioni future. Alcuni password manager eseguono lo stesso controllo in automatico.
Da fare subito: verifica i tuoi indirizzi. Per ogni violazione trovata, cambia la password di quel servizio e di qualsiasi altro account in cui l’avevi riutilizzata.
Blindare l’accesso all’account
Password univoche e password manager
La regola che conta è una sola: una password robusta e univoca per ogni account, a partire dalla posta. Meglio una frase lunga e casuale (quattro o cinque parole slegate tra loro) che una parola corta piena di simboli. Evita nomi, date di nascita e qualsiasi elemento ricavabile dai tuoi social.
Nessuno ricorda decine di password diverse, ed è qui che serve un password manager: genera le credenziali, le salva cifrate e le compila al posto tuo. Devi ricordare solo la password principale, che deve essere la più solida di tutte. Il password manager ha anche un vantaggio contro il phishing: non compila i campi su un sito falso, perché l’indirizzo non corrisponde.
Non serve cambiare password ogni mese senza motivo, perché si finisce per scegliere varianti prevedibili. Cambiala quando il tuo indirizzo compare in una violazione, dopo un accesso sospetto o se l’hai digitata su un computer non tuo.
Verifica in due passaggi: dagli SMS alle passkey
L’autenticazione a due fattori chiede, oltre alla password, una seconda prova che tu possieda qualcosa. Così una password rubata da sola non basta più. I metodi però non sono equivalenti.
| Metodo | Protezione | Punto debole |
|---|---|---|
| Codice via SMS | Base | Furto del numero (SIM swap), codice inseribile su un sito falso |
| App di autenticazione | Buona | Il codice si può ancora digitare su una pagina di phishing |
| Notifica sul telefono | Buona | Approvazioni date per sbaglio o per stanchezza |
| Passkey o chiave FIDO2 | Massima | Va gestito un piano di riserva in caso di smarrimento |
Le passkey e le chiavi di sicurezza FIDO2 (chiavette USB, NFC o Bluetooth) funzionano con una coppia di chiavi crittografiche. Quella privata resta sul tuo dispositivo e si sblocca con PIN, impronta o pressione di un tasto; quella pubblica è conservata dal provider. Il punto decisivo è che la chiave risponde solo al dominio autentico: su un sito clone non si attiva, quindi il phishing non ha nulla da rubare. Gmail e Outlook supportano entrambe le soluzioni.
Registra sempre almeno due fattori, per esempio una passkey sul telefono e una chiave fisica conservata altrove, e stampa i codici di backup. Non tenere la chiavetta nella stessa borsa del portatile.
Da fare subito: attiva la verifica in due passaggi, aggiungi una passkey e declassa l’SMS a metodo di riserva.
Riconoscere phishing e spoofing prima di cliccare
Un’email di phishing imita banca, corriere o provider e spinge ad agire subito: “account sospeso”, “pagamento non riuscito”, “conferma entro 24 ore”. L’urgenza è il primo segnale d’allarme. Il secondo è la richiesta di credenziali, codici o dati della carta, che nessun servizio serio ti chiede via email.
Come controllare il mittente reale e il link reale
Il nome visualizzato si scrive liberamente: “Poste Italiane” può nascondere qualsiasi indirizzo. Clicca sul nome per vedere l’indirizzo completo e osserva il dominio, cioè la parte dopo la @. Lo spoofing dell’indirizzo email sfrutta varianti quasi identiche, con una lettera sostituita da un numero o un trattino in più. I provider verificano i mittenti con protocolli come SPF, DKIM e DMARC; in Gmail, alla voce “Mostra originale”, puoi vedere se il messaggio li ha superati.
Per i link, su computer passa il mouse sopra il testo senza cliccare e leggi l’indirizzo che compare in basso. Su smartphone tieni premuto il link. Diffida anche degli allegati inattesi, soprattutto archivi compressi e documenti che chiedono di attivare le macro. Il filtro anti-spam del provider blocca gran parte dei tentativi, ma non tutti.
Da fare subito: davanti ad allegati e link sospetti, non cliccare. Apri il sito digitando tu l’indirizzo e segnala il messaggio come phishing.
Controlli periodici: sessioni attive, inoltri e app collegate
Una volta al mese apri le impostazioni di sicurezza e controlla tre elenchi. Chi entra in una casella spesso non cambia la password, perché sarebbe notato subito: lascia invece un accesso silenzioso.
Il primo elenco sono i dispositivi e le sessioni attive. Gmail, Outlook e Libero mostrano dispositivi, luoghi e orari di accesso. Se trovi un dispositivo che non riconosci, disconnettilo e cambia password.
Il secondo sono le regole di inoltro. È il trucco più insidioso: un filtro che inoltra in copia ogni messaggio a un indirizzo esterno, magari solo quelli che contengono “bonifico” o “fattura”, e poi li archivia. In Outlook si trova tra le regole della posta in arrivo e nelle impostazioni di inoltro; in Gmail nella scheda “Inoltro e POP/IMAP” e nei filtri. Su Libero l’inoltro automatico esiste solo con Mail Plus, sotto “Regole e filtri”. Elimina tutto ciò che non hai creato tu.
Il terzo sono le app di terze parti con accesso all’account: estensioni, client di posta, servizi a cui hai concesso “Accedi con Google” o con Microsoft. Revoca quelle che non usi più. Per abituarti a queste verifiche anche nell’uso quotidiano, vedi come usare la webmail ogni giorno in modo ordinato.
Da fare subito: fissa un promemoria mensile di dieci minuti per questi tre controlli.
Account violato: la procedura di recupero passo per passo
I segnali tipici di un accesso non autorizzato sono questi: password non più valida, messaggi inviati che non hai scritto, contatti che ricevono spam da te, avvisi di accesso da luoghi sconosciuti. Agisci subito e in quest’ordine.
- Riprendi il controllo da un dispositivo pulito. Se la password funziona ancora, cambiala; se non funziona, avvia il recupero dell’account dalla pagina ufficiale del provider. Con Microsoft il modulo di recupero si può compilare due volte al giorno: inserisci vecchie password, oggetti di email recenti e dati di acquisto, perché più dettagli fornisci, più è probabile che il sistema automatico ti riconosca.
- Chiudi le porte: disconnetti tutte le sessioni, elimina regole di inoltro e filtri sconosciuti, revoca le app collegate, verifica che numero di telefono ed email di recupero siano ancora i tuoi.
- Riattiva la 2FA con metodi nuovi e rigenera i codici di backup.
- Proteggi gli account collegati: cambia le password di banca, social e negozi online, partendo da quelli che usano questa email per il recupero.
- Avvisa contatti e provider: chiedi ai contatti di ignorare i messaggi ricevuti da te nei giorni dell’attacco e segnala l’accaduto al servizio di posta. Se sono stati esposti dati di clienti, come professionista valuta gli obblighi previsti dal GDPR.
Per prevenire, tieni a mente questa checklist:
| Quando | Azione |
|---|---|
| Una volta | Password univoca nel password manager, passkey attiva, codici di backup stampati |
| Ogni mese | Sessioni, inoltri, app collegate |
| Ogni trimestre | Controllo dell’indirizzo su Have I Been Pwned |
| A ogni email sospetta | Verifica di mittente e link prima di cliccare |
FAQ
Qual è un servizio email sicuro?
È sicuro un servizio che offre verifica in due passaggi con passkey o chiavi FIDO2, mostra le sessioni attive, invia avvisi sugli accessi sospetti e ha un filtro antispam efficace. Gmail, Outlook e Libero rispondono ai requisiti di base. Se ti serve riservatezza anche verso il provider, scegli servizi con crittografia end-to-end basata su PGP. In ogni caso, la sicurezza dipende soprattutto da come configuri l’account.
Come mettere in sicurezza un account Google?
Apri il Controllo di sicurezza dalla pagina del tuo account Google, aggiungi una passkey, verifica telefono ed email di recupero e rimuovi i dispositivi e le app che non riconosci. Controlla poi inoltri e filtri di Gmail. Se sei un bersaglio probabile (giornalista, amministratore, figura pubblica), valuta il Programma di protezione avanzata di Google, che richiede passkey o chiavi di sicurezza per ogni accesso.
Le email di Gmail sono private e sicure?
Sono protette, ma non sono end-to-end. Google cifra i messaggi sui propri server e nei trasferimenti tra data center, e usa il protocollo TLS verso gli altri provider quando possibile. Contro spam, phishing e malware il filtro blocca oltre il 99,9% dei messaggi. Google però detiene le chiavi, anche per S/MIME, disponibile solo con Workspace a pagamento: tecnicamente può accedere ai contenuti.
Qual è un buon antivirus per email?
Per un utente privato la prima difesa è già integrata: il filtro del provider analizza allegati e link prima della consegna. A questo basta affiancare l’antivirus incluso nel sistema operativo, tenuto aggiornato insieme a browser e app. Nessun software però ferma un link di phishing su cui decidi di cliccare. Il passo successivo più utile è aprire le impostazioni del tuo account e attivare una passkey.
