Posta elettronica sicura: come proteggere la tua email

Perché la tua email conta più di ogni altro account

Se un truffatore entra nella tua email, di solito non si ferma lì. Con l'opzione «password dimenticata», presente su quasi ogni sito — social, shopping, abbonamenti — può farsi mandare un codice di reset proprio nella tua casella e prendere il controllo anche degli altri account. Lo dice chiaro l'NCSC (National Cyber Security Centre, l'ente pubblico britannico per la cybersicurezza): chi accede alla tua email potrebbe «reimpostare le password di tutti gli altri tuoi account, e accedere a tutti i tuoi altri account online».

Per questo l'email merita più attenzione di un account qualunque: non è solo una casella di posta, è la chiave che apre quasi tutte le altre porte. La stessa fonte aggiunge che chi entra nella tua email può anche leggere informazioni private (compresi i tuoi dati bancari) e scrivere messaggi fingendosi te, per truffare altre persone che si fidano del tuo indirizzo.

Scopri se è già stata violata: Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) è un sito gratuito che controlla se il tuo indirizzo email compare in una fuga di dati nota — cioè se un sito che usi è stato violato e i dati dei suoi utenti sono finiti online. Lo gestisce dal 2013 Troy Hunt, esperto di sicurezza informatica; il database, aggiornato continuamente, conta oltre 1.000 violazioni e quasi 18 miliardi di account compromessi (dato del 9 ottobre 2026; lo stesso indirizzo può comparire in più violazioni).

Il controllo di un singolo indirizzo è gratuito, e il sito dichiara esplicitamente che «le ricerche non vengono registrate, quindi non c'è alcuna raccolta di indirizzi»: non resta nessun elenco delle email cercate, e la ricerca viaggia su una connessione cifrata.

1. Vai su haveibeenpwned.com e scrivi il tuo indirizzo email nel campo di ricerca.
2. Se compare «Good news — no pwnage found!», il tuo indirizzo non risulta in nessuna fuga di dati nota — non è una garanzia assoluta: il database copre solo le violazioni scoperte e rese pubbliche finora.
3. Se invece compare un elenco di siti, il tuo indirizzo era registrato lì quando sono stati violati. Per ognuno di quei siti: se usavi ancora quella password, o una simile, cambiala subito — anche sull'email, se la riusavi lì.
4. Ripeti il controllo anche per gli indirizzi email secondari e per quelli della famiglia: il database cresce ogni volta che viene scoperta e resa pubblica una nuova violazione.

Aggiorna le impostazioni di recupero

Le impostazioni di recupero — un'altra email, un numero di telefono — sono quello che il servizio usa per confermare che sei davvero tu quando hai perso l'accesso. Se sono vecchie o mancanti, il problema non si risolve nemmeno chiamando l'assistenza: Microsoft dichiara che il suo staff «non è autorizzato a inviare link per reimpostare la password, né ad accedere o modificare i dettagli dell'account» — non è questione di quanto insisti al telefono, è una regola che vale per chiunque.

1. Su Google: vai su myaccount.google.com, apri Sicurezza e accesso, e controlla email e telefono di recupero — devono essere veri, raggiungibili, e diversi dall'account che stai proteggendo.
2. Su Google puoi anche aggiungere fino a 10 contatti di recupero: persone fidate con un Account Google che possono aiutarti a rientrare se resti bloccato fuori. La voce è Contatti di recupero, nella stessa pagina (non c'è sugli account di lavoro o scuola Google Workspace).
3. Su Microsoft: vai su account.microsoft.com/security e controlla che l'elenco di email e numeri di telefono usati per la verifica sia aggiornato. Puoi aggiungere fino a 10 metodi di verifica diversi; Microsoft sta eliminando gli SMS come metodo di recupero, quindi aggiungere un numero di telefono nuovo potrebbe non esserti proposto — in quel caso usa un'email di recupero, l'app Microsoft Authenticator o una passkey.
4. Regola pratica: l'email di recupero non dovrebbe essere quella con cui accedi di solito, e va ricontrollata ogni tanto — un indirizzo che non usi da anni, il giorno che serve davvero, potrebbe non esistere più.

Il Controllo sicurezza di Google in due minuti

Google mette a disposizione uno strumento guidato che controlla lo stato di sicurezza del tuo account in un colpo solo: il Controllo sicurezza, su myaccount.google.com/security-checkup. Google lo descrive come uno strumento che dà «consigli personalizzati e attuabili» per rafforzare la sicurezza dell'account.

Per Microsoft non esiste uno strumento guidato con lo stesso nome: le stesse impostazioni, una per una, si controllano su account.microsoft.com/security.

Le voci che il Controllo sicurezza ti fa ripassare, secondo la guida di Google e più fonti indipendenti concordanti (l'elenco può cambiare da un account all'altro, perché i consigli sono personalizzati):

1. Opzioni di recupero: se email e telefono di recupero ci sono e sono aggiornati.
2. Password salvate: le confronta con le violazioni di dati note, se le hai salvate nel gestore delle password di Google (Chrome o Android).
3. Dispositivi collegati: mostra quali dispositivi hanno avuto accesso all'account e quando.
4. Eventi di sicurezza recenti: accessi da dispositivi nuovi, modifiche a impostazioni sensibili.
5. Verifica in due passaggi: controlla se è attiva (il come si attiva è nella guida dedicata, linkata nella checklist qui sotto).
6. Accesso di app di terze parti: quali app esterne possono leggere i tuoi dati, con la possibilità di toglierle.

La checklist completa, con i link al dettaglio

Se hai tempo per una cosa sola oggi, fai il controllo su Have I Been Pwned: trenta secondi, e sai subito se sei già esposto.

Rimettendo insieme tutto, in ordine di quanto conta:

1. Una password unica e lunga per l'email, diversa da ogni altro sito: usa un gestore di password per generarla e ricordarla — ne parliamo nella guida su quale gestore di password scegliere.
2. La verifica in due passaggi attiva: anche se qualcuno scopre la password, da sola non gli basta più per entrare — i passaggi per Google, Microsoft e Apple ID sono nella guida su come attivare l'autenticazione a due fattori.
3. Le impostazioni di recupero aggiornate: email e telefono veri e raggiungibili (vedi la sezione qui sopra).
4. Un controllo su Have I Been Pwned, per sapere se il tuo indirizzo è già coinvolto in una fuga di dati nota (vedi la sezione qui sopra).
5. Saper riconoscere un tentativo di phishing, perché nessuna delle protezioni precedenti serve se la password la consegni tu stesso a chi te la chiede: i segnali che reggono ancora sono nella guida su riconoscere un'email di phishing.