Account Google, Microsoft o social violato: cosa fare subito

I primi 30 minuti, nell’ordine

1. Usa un dispositivo che sei sicuro sia pulito

   Se il computer ha programmi strani, la nuova password può essere rubata di nuovo. Usa il telefono o un altro computer.

2. Rientra o avvia il recupero

   Se la password funziona ancora, cambiala con una nuova, lunga e mai usata altrove. Se non funziona più, apri la procedura ufficiale di recupero, dall’app o scrivendo l’indirizzo a mano.

3. Disconnetti tutte le sessioni e i dispositivi

   Nelle impostazioni di sicurezza rimuovi i dispositivi che non riconosci o esci da tutte le sessioni: chi è entrato viene buttato fuori.

4. Controlla email e telefono di recupero

   Chi ruba un account li cambia per impedirti di rientrare. Rimetti i tuoi e cancella quelli sconosciuti.

5. Attiva la verifica in due passaggi o una passkey

   Preferisci l’app di autenticazione o la passkey agli SMS. Salva i codici di backup in un posto sicuro, fuori dall’account stesso.

6. Controlla posta, app collegate e pagamenti

   Inoltri, filtri, deleghe, app di terze parti, carte: restano attivi anche con la password nuova. Vedi più sotto.

7. Avvisa i contatti e conserva le prove

   Su un altro canale: «il mio account è stato violato, ignorate richieste di soldi o codici». Fai screenshot di avvisi, modifiche e messaggi inviati a tuo nome.

Come capire che l’account è stato violato

Spesso chi entra resta nascosto per settimane, a leggere la posta. I segnali più comuni:

• un’email o una notifica di accesso da un nuovo dispositivo o da un Paese dove non sei stato;
• un avviso di cambio password, di cambio del numero o dell’email di recupero che non hai fatto tu;
• contatti che ricevono messaggi a tuo nome con link, richieste di soldi o di codici;
• nella posta: email inviate che non hai scritto, cartelle nuove, messaggi che spariscono o finiscono subito nel cestino;
• sul social: post o inserzioni che non hai pubblicato, nuovi amministratori sulla pagina;
• su WhatsApp: un SMS con il codice di verifica che non hai chiesto, seguito dalla disconnessione dell’app.

Attenzione al rovescio della medaglia: anche gli avvisi falsi di «accesso sospetto» sono un classico del phishing. Non cliccare il pulsante dentro l’email: apri tu l’app o il sito e controlla dalle impostazioni di sicurezza. Se hai già cliccato un link di questo tipo, leggi ho cliccato su un link di phishing: cosa fare.

Le procedure ufficiali di recupero, servizio per servizio

Google (Gmail, YouTube, Android)

• Se non riesci ad accedere, usa la pagina di recupero dell’account Google, raggiungibile dalla schermata di accesso con «Password dimenticata?». Rispondi da un dispositivo e da un luogo già usati: aiuta Google a riconoscerti.
• Una volta dentro, nella sezione Sicurezza controlla gli eventi di sicurezza recenti: se vedi attività non tue, scegli «No, non sono stato io» e segui le indicazioni.
• In I tuoi dispositivi rimuovi quelli che non riconosci, poi cambia la password e attiva la verifica in due passaggi.
• Controlla email e telefono di recupero, le app con accesso al tuo account e i pagamenti di Google Pay e Google Play.

Microsoft (Outlook.com, Hotmail, Microsoft 365 personale, Xbox)

• Fai prima una scansione antivirus completa, poi cambia o reimposta la password. Microsoft avvisa che, dopo un attacco, alcune impostazioni vanno ricontrollate: inoltro della posta, risposte automatiche, account collegati.
• Se non riesci a reimpostare la password, c’è il modulo di recupero dell’account. Compilalo da un dispositivo già usato, con un’email funzionante e più dettagli possibile. Microsoft risponde di regola entro 24 ore; se l’esito è negativo puoi riprovare fino a due volte al giorno.
• Limite importante: se sull’account era attiva la verifica in due passaggi e non hai più accesso a nessun metodo alternativo, Microsoft dichiara di non poter aiutare. Per questo i metodi di recupero vanno tenuti aggiornati prima.
• Per gli account di lavoro Microsoft 365 il recupero passa dall’amministratore dell’azienda, non da Microsoft.

Facebook e Instagram

• Dall’app usa «Password dimenticata?» o il centro di assistenza dell’account: Meta può chiederti di confermare l’identità anche con un breve video selfie, facoltativo.
• Se così non riesci, c’è la pagina dedicata agli account violati, facebook.com/hacked, che vale anche per le Pagine.
• Una volta dentro: password nuova, disconnessione da tutti i dispositivi, verifica in due passaggi, controllo di email, numero, app collegate e amministratori delle Pagine.

WhatsApp

• Apri WhatsApp sul tuo telefono e verifica il tuo numero con il codice a 6 cifre che ricevi per SMS o chiamata: chi usava l’account viene disconnesso.
• Se chi l’ha preso ha attivato la verifica in due passaggi con un PIN che non conosci, devi attendere 7 giorni prima di poter rientrare senza PIN. Nel frattempo avvisa i contatti da un altro canale.
• Dopo il rientro controlla Dispositivi collegati ed esci da quelli che non sono tuoi: un WhatsApp Web lasciato aperto su un altro computer permette di leggere tutte le chat.

Nessuna di queste aziende ti contatta per offrirti di recuperare l’account a pagamento.

Dopo il rientro: le porte che restano aperte

Chi entra in un account, soprattutto di posta, lascia quasi sempre qualcosa che funziona anche dopo il cambio della password. Controlla:

Poi cambia la password di tutti gli altri servizi che usavano la stessa, o che si reimpostano tramite quella email. Un gestore di password rende possibile avere una password diversa per ogni sito. Dove il servizio lo permette, una passkey è ancora meglio: non c’è nulla da digitare, quindi nulla da rubare con una pagina falsa.

Se nell’account c’erano carte o dati di pagamento

• Chiama la banca al numero sul retro della carta o nell’app ufficiale e fai bloccare le carte salvate nell’account.
• Controlla i movimenti degli ultimi giorni: acquisti in app, abbonamenti, ricariche, pubblicità sui social.
• Per le operazioni che non hai fatto chiedi il disconoscimento alla banca, per iscritto e senza aspettare. Le regole sul rimborso e i termini sono spiegati in ho cliccato su un link di phishing.
• Per acquisti negli store o inserzioni sui social segnala l’addebito anche al servizio stesso.

Se nella posta c’erano documenti d’identità o buste paga, c’è il rischio di furto d’identità: finanziamenti o SIM a tuo nome. Un motivo in più per fare denuncia.

Denuncia: quando serve e come farla

Entrare nell’account di un altro senza permesso è un reato (accesso abusivo a sistema informatico). La denuncia è sempre consigliata e diventa davvero importante quando:

• hai perso soldi o ci sono addebiti non tuoi: la banca può chiederla per il rimborso;
• l’account è stato usato per truffare i tuoi contatti: la denuncia dimostra che non eri tu;
• ci sono documenti d’identità in giro o temi un furto d’identità;
• ricevi minacce o ricatti: non pagare e non trattare.

Puoi presentarla a qualsiasi ufficio della Polizia di Stato, ai Carabinieri o alla Polizia Postale. Sul sito del Commissariato di PS online puoi inviare una segnalazione, che però non è una denuncia. Da giugno 2026 la Polizia di Stato sta sperimentando in alcuni uffici il portale Denunce Online: compili la denuncia da casa con SPID o CIE, ma devi confermarla di persona entro 48 ore. Verifica se il tuo ufficio aderisce. Per alcuni di questi reati serve la querela, che di regola va presentata entro 3 mesi da quando hai scoperto il fatto: non aspettare.

Porta screenshot di notifiche e modifiche, indirizzi e numeri usati dal pirata, movimenti contestati.

Se è un account di lavoro con dati di clienti

Se è la posta di un’impresa o di uno studio, nella casella ci sono quasi sempre dati personali di clienti, fornitori o dipendenti: un accesso non autorizzato è un data breach.

• Annota giorno e ora in cui te ne sei accorto: da lì partono le 72 ore per notificare la violazione al Garante privacy, se c’è un rischio per le persone coinvolte.
• Se il rischio è elevato (documenti d’identità, dati sanitari, coordinate bancarie, credenziali), vanno avvisate anche le persone interessate.
• Anche se decidi che la notifica non serve, la violazione va annotata nel registro interno, con le ragioni della decisione.
• Avvisa i clienti di non fidarsi di email con IBAN nuovi: la truffa più comune dopo una casella violata è la fattura con le coordinate di pagamento cambiate.

Come si valuta il rischio e come si fa la notifica è spiegato nella guida sulla violazione dei dati. Per evitare che ricapiti: sicurezza informatica per le aziende.

Un esempio concreto

Giulia ha uno studio di grafica. Un cliente riceve dalla sua email una fattura con un IBAN diverso. Giulia accede ancora alla posta, quindi:

• dal telefono cambia la password, esce da tutte le sessioni e attiva l’app di autenticazione;
• nelle impostazioni trova una regola che spostava nel cestino tutte le email con la parola «bonifico» e un inoltro verso un indirizzo sconosciuto: li elimina;
• scrive ai clienti delle ultime settimane che il suo IBAN non è cambiato;
• annota l’incidente nel registro delle violazioni e valuta con un consulente se notificarlo al Garante, dato che nella posta c’erano documenti dei clienti;
• presenta denuncia con le schermate.

Il cliente non aveva ancora pagato: il danno si è fermato lì.

Cosa fa il tecnico su Intervento

Descrivi quale account è stato violato e cosa hai già provato, con gli screenshot delle notifiche. L’orientamento gratuito ti dice da dove partire. Con l’Analisi ottieni una lettura automatica di notifiche e messaggi sospetti. Con l’Esperto un tecnico informatico verificato ti risponde per iscritto con i passi precisi per il tuo caso. Con il livello Soluzione, su preventivo, ti segue da remoto nel recupero e nella messa in sicurezza di account e dispositivi.

Nessuno può scavalcare le procedure di Google, Microsoft o Meta: il tecnico ti aiuta a usarle bene.