Un cliente ti telefona per chiedere che cos'è la fattura con il nuovo IBAN che gli hai mandato. Oppure i colleghi ricevono da te un'email con un link a un documento che non hai mai condiviso. Oppure, semplicemente, la password della posta non funziona più. Sono i segnali tipici di una casella violata. La reazione istintiva è cambiare la password e considerare chiusa la faccenda, ma chi entra in una casella aziendale di solito lascia dietro di sé regole e collegamenti che gli permettono di continuare a leggere tutto. In questa guida trovi l'ordine giusto delle cose da fare, i controlli che quasi tutti dimenticano, cosa cambia fra i vari tipi di posta, chi avvisare e come evitare che succeda di nuovo.
I segnali che la casella è stata violata
- clienti, fornitori o colleghi ricevono da te messaggi che non hai scritto;
- nella posta inviata compaiono email sconosciute, oppure mancano messaggi che sei sicuro di aver spedito;
- arrivano risposte a conversazioni che non hai mai iniziato, o rifiuti di consegna per email mai inviate;
- ricevi avvisi di accesso da un paese, una città o un dispositivo che non riconosci;
- il servizio blocca l'invio perché dalla tua casella è partito troppo spam;
- alcune email, magari proprio quelle con fatture e pagamenti, non arrivano più nella posta in arrivo;
- un cliente dice di aver pagato, ma il bonifico non è mai arrivato sul tuo conto.
L'ultimo segnale, in particolare, è da trattare come un'emergenza.
La prima ora: sei mosse, in quest'ordine
- Lavora da un dispositivo pulito. Se la password è stata rubata da un programma nascosto sul tuo PC, cambiarla da quel PC la consegna di nuovo. Usa il telefono o un altro computer sicuro.
- Cambia la password con una nuova, lunga e mai usata altrove. Se non riesci più a entrare, usa la procedura di recupero del servizio oppure chiedi all'amministratore della posta aziendale di reimpostarla.
- Chiudi tutte le sessioni aperte. Cambiare la password non sempre scollega chi è già dentro, per esempio da un'app sul telefono. I servizi per aziende hanno un comando per disconnettere l'utente da tutti i dispositivi: va usato subito dopo il cambio.
- Attiva il doppio controllo all'accesso e verifica che il truffatore non abbia già registrato un suo numero di telefono o una sua app di autenticazione: se c'è un metodo che non riconosci, va tolto.
- Cerca regole, inoltri e deleghe come spiegato nella sezione successiva. È il passaggio che fa la differenza.
- Avvisa il tuo tecnico e i colleghi, per telefono o di persona: per qualche ora non fidatevi delle email che sembrano arrivare dalla casella colpita.
I controlli che chi attacca spera tu dimentichi
Chi entra in una casella per preparare una truffa ha bisogno di tempo e di non essere visto. Per questo modifica impostazioni che restano attive anche dopo il cambio di password. Ecco dove guardare, nelle impostazioni della posta via web:
| Dove guardare | Che cosa può aver fatto |
|---|---|
| Regole della posta in arrivo | Spostare in una cartella poco usata, o cancellare, i messaggi che contengono parole come "bonifico", "IBAN", "pagamento" o il nome di un cliente, così non vedi le risposte |
| Inoltro automatico | Mandare una copia di tutta la posta a un indirizzo esterno |
| Deleghe e caselle condivise | Dare accesso alla tua casella a un altro account |
| App collegate all'account | Autorizzare un'applicazione a leggere la posta per conto suo, senza bisogno della password |
| Password per le app | Creare una password speciale per programmi di posta, che funziona anche senza doppio controllo |
| Recapiti di recupero | Cambiare l'email o il telefono di recupero per riprendersi l'account in futuro |
| Firma e risposta automatica | Inserire un IBAN diverso o un link malevolo in ogni messaggio che invii |
Fotografa o annota quello che trovi prima di cancellarlo: serve per capire cosa è successo, per l'eventuale denuncia e per la valutazione privacy.
Cosa cambia fra i diversi tipi di posta
Posta aziendale su servizi cloud per le imprese
Con i servizi di posta e produttività per aziende c'è un pannello di amministrazione da cui il tecnico può reimpostare la password, disconnettere tutte le sessioni, vedere da dove e quando sono avvenuti gli accessi e cercare regole e inoltri su tutte le caselle dell'ufficio. È anche il posto dove controllare se altre caselle sono state toccate: chi entra in una spesso scrive ai colleghi per prendersi anche le loro.
Caselle legate al dominio presso un hosting
Molte piccole aziende hanno la posta compresa nel pacchetto del sito o del dominio, con un pannello semplice. Spesso mancano proprio gli strumenti che servono in questi casi: registro degli accessi consultabile, chiusura delle sessioni, doppio controllo. Cambia la password dal pannello del fornitore, chiedi all'assistenza i registri degli accessi recenti e, superata l'emergenza, valuta se passare a un servizio con protezioni adeguate.
PEC
Una PEC violata è particolarmente pericolosa perché i messaggi che spedisce hanno valore legale e ispirano fiducia: nel 2026 l'Agenzia delle Entrate ha segnalato campagne di false fatture partite proprio da caselle PEC compromesse, come raccontiamo nella guida al phishing in azienda. Cambia subito la password, attiva la verifica in due passaggi se il gestore la offre e contatta l'assistenza del gestore per controllare gli invii recenti.
Avvisare clienti, fornitori e banca
Quando la casella è di nuovo sotto controllo, avvisa chi potrebbe aver ricevuto messaggi falsi a tuo nome, cominciando da chi ti deve dei pagamenti. Per i contatti importanti, meglio una telefonata. Per gli altri basta un messaggio breve, per esempio:
"Gentile cliente, nei giorni scorsi la nostra casella di posta ha subito un accesso non autorizzato. Ignori eventuali email ricevute da noi con richieste di pagamento su coordinate bancarie diverse da quelle abituali o con link a documenti da scaricare. Le nostre coordinate non sono cambiate: per qualsiasi dubbio ci telefoni al numero che conosce."
Se un pagamento è già partito verso un IBAN sbagliato, chiama subito la tua banca e chiedi al cliente di fare lo stesso con la sua: in alcuni casi si può tentare il richiamo del bonifico, ma le possibilità calano di ora in ora.
Privacy e denuncia: cosa non trascurare
Una casella aziendale contiene quasi sempre dati personali: nomi, recapiti, documenti di clienti e dipendenti. Un accesso abusivo è quindi una violazione dei dati personali secondo il GDPR. Va annotata nel registro interno delle violazioni e, se presenta un rischio per le persone, notificata al Garante per la protezione dei dati personali entro 72 ore da quando te ne sei accorto (articolo 33 del Regolamento UE 2016/679). Se il rischio per gli interessati è elevato, per esempio perché la casella conteneva documenti d'identità o dati sanitari, vanno informati anche loro (articolo 34). La valutazione si fa con il tuo consulente privacy, ed è qui che servono gli appunti presi durante i controlli.
L'accesso abusivo a un sistema informatico è anche un reato: puoi presentare denuncia alla Polizia Postale e per la Sicurezza Cibernetica, trovando sul portale commissariatodips.it le indicazioni e il servizio di segnalazione online. Se c'è stato un danno economico, come un bonifico dirottato, la denuncia serve anche per la banca e per l'eventuale assicurazione.
Come sono entrati? Le quattro cause più comuni
Capire la causa non è curiosità: se la porta resta aperta, rientrano.
- Password riusata. La stessa password usata su un sito violato anni fa finisce in elenchi venduti online. Servizi pubblici come Have I Been Pwned permettono di verificare se un indirizzo compare in violazioni note.
- Pagina di accesso falsa. Qualcuno ha inserito la password in una pagina identica a quella della posta, aperta da un'email truffa.
- Programma che ruba password sul PC, spesso arrivato con un allegato, capace di leggere le credenziali salvate nel browser. In questo caso va controllato il computer, non solo la casella.
- Accessi senza secondo controllo: vecchi protocolli di posta, password per le app o caselle su servizi che non lo prevedono permettono di entrare con la sola password.
Dopo l'emergenza: come chiudere la porta
- doppio controllo all'accesso su tutte le caselle dell'ufficio, non solo su quella colpita;
- un gestore di password, per avere password diverse ovunque senza doverle ricordare;
- disattivazione dei protocolli di posta vecchi e delle password per le app non necessarie;
- record SPF, DKIM e DMARC sul dominio, per rendere più difficile falsificare il tuo indirizzo;
- una copia di backup della posta, perché il servizio cloud da solo non la protegge da cancellazioni;
- la regola interna della telefonata di conferma per ogni cambio di coordinate bancarie.
Le altre misure di base sono riassunte nella guida sulla sicurezza informatica per piccole aziende.
Come ti aiutiamo
Se pensi che una casella sia stata violata, chiamaci o scrivici su WhatsApp al 0371 464 186, dal lunedì al venerdì, 9–13 e 15–18:30. Di solito lavorando da remoto, mettiamo in sicurezza l'account, cerchiamo regole, inoltri e app collegate, controlliamo le altre caselle e il PC da cui è partito il problema e ti lasciamo gli appunti per il consulente privacy e per la denuncia. Il lavoro è conteggiato a 43 € + IVA all'ora, sia da remoto sia in sede; per gli interventi da te, entro circa 100 km da Lodi Vecchio, si aggiunge l'uscita calcolata sui chilometri. Per le richieste non urgenti c'è il modulo contatti; tutti i servizi sono nella pagina Informatica e assistenza.
Domande frequenti
Ho cambiato la password ma dalla mia casella partono ancora email: perché?
Probabilmente chi è entrato ha ancora una sessione aperta su un dispositivo, un'app autorizzata a leggere e scrivere la posta o una password per le app che non richiede il secondo controllo. Vanno chiuse tutte le sessioni, revocate le app sconosciute ed eliminate le password per le app. Se il problema continua, controlla anche il PC: potrebbe esserci un programma che ruba le credenziali.
Devo avvisare tutti i contatti della rubrica?
Non sempre. Parti da chi ha ricevuto messaggi falsi, lo vedi dalla posta inviata e dalle risposte, e da chi ha pagamenti in corso con te. Un avviso generale serve quando la casella ha spedito messaggi a molti indirizzi o quando non è possibile capire con certezza a chi ha scritto il truffatore.
Il fornitore ha bloccato la casella per invio di spam: cosa faccio?
È una protezione automatica: il servizio ferma gli invii quando dalla casella partono troppi messaggi. Prima di chiedere lo sblocco metti in sicurezza l'account con i passi di questa guida, altrimenti verrà bloccata di nuovo. In alcuni casi il tuo indirizzo può finire anche in elenchi di mittenti indesiderati e servono alcuni giorni perché la consegna torni normale.
Si possono recuperare le email cancellate da chi è entrato?
Spesso sì, se si interviene presto. Molti servizi per aziende conservano per un certo periodo i messaggi eliminati, anche dopo lo svuotamento del cestino, e l'amministratore può ripristinarli. Se hai un backup della posta, il recupero è più semplice e completo.
Basta una scansione antivirus del PC?
La scansione è utile ma non sufficiente. Se la password è stata presa con una pagina falsa, il PC è pulito e il problema è tutto nell'account; se invece c'è un programma che ruba credenziali, alcuni sfuggono ai controlli rapidi. In caso di dubbio il tecnico verifica a fondo il computer e, se serve, lo reinstalla.