Apri Gmail. Ti chiede la password. Insiste — quella che usi sempre non funziona. Provi due-tre volte, niente. Apri la mail di recupero su un altro account e trovi una notifica che ti gela: "Nuovo accesso da Manila, Filippine, alle 03:14". Manila non l'hai mai vista, le 3 di notte stavi dormendo. Qualcuno è dentro il tuo account.

Da questo momento il tempo è la cosa più importante che hai. Ogni minuto che passa è un minuto in più in cui l'hacker può fare danni: leggere mail, scaricare contatti, mandare messaggi a tuo nome chiedendo soldi, accedere a servizi collegati, cambiare le tue password di backup. Dopo 24 ore il danno è quasi sempre fatto.

Ti spiego nell'ordine giusto cosa fare. Stampa o salva questa pagina: nel momento di panico, ti serve una checklist, non un articolo da leggere.

Riconoscere se l'account è davvero compromesso

Prima di muoverti, verifica che non sia un falso allarme. I segnali concreti sono:

  • Mail ufficiale del servizio ("Nuovo accesso da [città/dispositivo]") che non riconosci.
  • Non riesci più a fare login con la password corretta.
  • Amici o contatti ti dicono di aver ricevuto messaggi strani da te (richieste di soldi, link sospetti).
  • Vedi attività che non hai fatto: post sui social, mail inviate, ordini su Amazon.
  • La password è cambiata all'improvviso.
  • Numero di telefono o email di recupero modificati senza che tu li abbia toccati.

Se anche solo uno di questi è vero, considera l'account compromesso fino a prova contraria.

Passo 1 — Riprendi il controllo (entro 30 minuti)

Da un dispositivo diverso da quello di solito (un altro telefono, un computer di un familiare), vai direttamente sul sito ufficiale del servizio. Mai dai link delle mail "ti aiutiamo a recuperare" — possono essere phishing che peggiora il problema.

Ogni grande servizio ha una procedura specifica:

  • Gmail / Google: vai su g.co/recover. Inserisci email, segui i passaggi. Google ti chiederà di confermare via numero di telefono di recupero, email secondaria, o ultima password che ricordi.
  • Apple ID: vai su iforgot.apple.com. Per Apple il recupero è particolarmente robusto: se l'hacker ha cambiato anche il numero di recupero, dovrai passare per la "Recupero account", che richiede tempo (giorni) e verifica con documenti.
  • Facebook: vai su facebook.com/hacked. Procedura guidata. Per casi gravi è prevista verifica via foto del volto + documento d'identità.
  • Instagram: app → "Hai problemi ad accedere?" → richiedi codice via email/SMS. Se hanno cambiato anche quelli, segnala via help.instagram.com.
  • Microsoft: account.live.com/acsr — modulo di ripristino con richiesta di informazioni di verifica.
  • WhatsApp: il caso più semplice. Disinstalla, reinstalla, ricevi il codice di verifica via SMS sul tuo numero. Quando ti loggi tu, l'hacker viene automaticamente scollegato.

In tutti i casi: compila i moduli con quante più informazioni possibili. Account creato anno X, ultimi dispositivi usati, persone con cui hai messaggiato di recente, password vecchie ricordate. Più dettagli dai, più velocemente verifichi di essere il vero proprietario.

Passo 2 — Cambia la password e disconnetti tutti i dispositivi (entro 1 ora)

Una volta rientrato, la prima cosa è cambiare la password. Regole:

  • Lunga (almeno 12-16 caratteri).
  • Mai riciclata da un altro account. Se la rubata era una password che usi anche altrove, l'attacco si propagherà.
  • Se hai un password manager, generala random.

Subito dopo, disconnetti l'hacker dai dispositivi attivi:

  • Google: Account Google → Sicurezza → I tuoi dispositivi → Esci da tutti i dispositivi.
  • Facebook: Impostazioni → Sicurezza e accesso → Dove hai effettuato l'accesso → Esci da tutto.
  • Instagram: Impostazioni → Sicurezza → Attività di accesso → Esci da dispositivi sconosciuti.
  • Apple: Impostazioni → [Tuo nome] → Visualizza i dispositivi → rimuovi quelli che non riconosci.
  • Microsoft: account.microsoft.com → Sicurezza → Esci ovunque.

Passo 3 — Attiva o ripristina la verifica in due passaggi (entro 1 ora)

Se non era attiva, è il momento di farlo. Se era attiva, controlla che l'hacker non l'abbia modificata sostituendo il tuo numero di telefono con il suo.

Per la massima sicurezza, scegli un'app autenticatore (Google Authenticator, Microsoft Authenticator, Authy) invece dell'SMS. Le app sono molto più sicure perché non sono soggette al "SIM swap" (la tecnica con cui i criminali si fanno duplicare la SIM dall'operatore).

Salva i codici di backup generati dal servizio (di solito 8-10 codici monouso) in un posto offline: stampati, su un foglio, dentro un cassetto. Saranno la tua salvezza se mai perdessi il telefono.

Passo 4 — Controlla cosa l'hacker ha fatto (entro 2 ore)

Ora che sei rientrato, devi capire i danni. Non saltare questo passaggio: spesso l'hacker lascia tracce per rientrare anche dopo che hai cambiato la password.

Cose da controllare in ogni servizio compromesso:

  1. Posta inviata: cerca mail mandate da te negli ultimi giorni che non hai scritto. Spesso l'hacker manda phishing ai tuoi contatti dal tuo account.
  2. Filtri e regole automatiche (su Gmail e Outlook): l'hacker spesso aggiunge filtri che inoltrano automaticamente le tue mail al suo indirizzo, così continua a leggerle anche dopo il recupero. Vai a Gmail → Impostazioni → Filtri e indirizzi bloccati e cancella tutto quello che non riconosci.
  3. Inoltro mail attivo: Gmail → Impostazioni → Inoltro e POP/IMAP. Disattiva qualsiasi inoltro che non hai impostato tu.
  4. App e servizi connessi: l'hacker può aver autorizzato app esterne con accesso al tuo account. Vai a Account Google → Sicurezza → App di terze parti con accesso all'account e revoca tutto quello che non riconosci.
  5. Numero di telefono e email di recupero: verifica che siano i tuoi. Se sono cambiati, ripristinali.
  6. Pagamenti collegati (su Amazon, PayPal, App Store): controlla acquisti recenti. Se ce ne sono di sconosciuti, contesta subito.
  7. Numero di backup codici già usati: se vedi che alcuni codici sono stati usati senza che tu te ne ricordi, l'hacker li aveva.

Passo 5 — Avvisa la rete (entro 6 ore)

L'hacker quasi certamente ha già scritto ai tuoi contatti chiedendo soldi, link da cliccare, "ho perso il telefono, mi presti X?". Manda un messaggio breve ai contatti più importanti:

"Mi hanno rubato l'account [Gmail/Facebook/Instagram]. Se in queste ore avete ricevuto messaggi strani da me, non considerateli e non cliccate niente. Sto sistemando."

Pubblicalo anche come post sui social per chi non hai in rubrica. Le persone preferiscono saperlo da te che da un truffatore.

Se l'account era collegato alla banca o a servizi di pagamento, avvisa la banca e monitora i movimenti per qualche giorno.

Passo 6 — Cambia la password su altri servizi che usano la stessa (entro 24 ore)

Domanda dolorosa: "La password rubata, la usavo anche altrove?". Se sì, l'hacker la sta provando in tempo reale su 50 servizi diversi (è la tecnica del credential stuffing).

Cambia la password ovunque l'avessi riutilizzata. Lo stesso vale se non sei sicuro: meglio cambiarla in più posti che lasciarla.

Vai su haveibeenpwned.com: inserisci la tua email, ti dice se compare in qualche data breach noto. Se sì, sai quali servizi sono stati colpiti e dove cambiare prima.

Considera di passare a un password manager (Bitwarden, 1Password) che genera password uniche per ogni servizio. È l'unico modo serio per non riciclare mai più una password.

Quando coinvolgere le autorità

In Italia, per attacchi che hanno causato danno economico o furto d'identità, denuncia alla Polizia Postale:

  • Online: commissariatodips.it → modulo di denuncia online.
  • Di persona: ufficio della Polizia Postale del tuo capoluogo di provincia.
  • Telefono: 113 per emergenze (per es. truffa in corso).

Cose da raccogliere prima della denuncia: screenshot di mail di accesso non autorizzato, numero di transazioni sospette, eventuali conversazioni con l'hacker, IP visualizzati nei log dell'account.

Se l'attacco riguarda un account di lavoro (mail aziendale, gestionale), avvisa l'IT della tua azienda — le procedure aziendali sono diverse e di solito più rapide.

Come prevenire (perché succede di nuovo)

Per evitare che si ripeta:

  1. Password manager. Bitwarden gratis, 1Password ~3 €/mese. Una password unica per ogni account, ricordi solo la master.
  2. Verifica in due passaggi ovunque. Prefer app autenticatore o passkey, mai SMS quando possibile.
  3. Codici di backup salvati offline (stampati o in una cassaforte digitale).
  4. Email di recupero attiva e protetta con la sua propria 2FA.
  5. Niente click su link sospetti. Mail della "tua banca" che chiedono di confermare credenziali → vai sul sito direttamente, non dal link.
  6. Aggiorna sistema operativo e browser. Molti attacchi sfruttano vulnerabilità note che gli aggiornamenti correggono.

La morale

Un account rubato è un'esperienza orribile, ma nelle prime ore puoi limitare quasi tutti i danni se sai cosa fare. La differenza tra "salvi tutto" e "perdi anni di mail, contatti e accessi" sta in 30-60 minuti di azione metodica nei minuti subito dopo la scoperta.

Tieni questa pagina salvata. Sperando che non ti serva mai. E nel frattempo, attiva la 2FA ovunque puoi: previene il 99% di questi attacchi prima che inizino.