Come proteggere gli account più importanti, senza restare chiusi fuori

Abbiamo decine, a volte centinaia di account online. Proteggerli tutti allo stesso modo è difficile, e forse nemmeno necessario: l’account di un negozio online usato una volta non ha lo stesso peso dell’email con cui si recuperano tutti gli altri. La sicurezza efficace parte da una domanda semplice: quali sono i miei account davvero importanti?

Questa guida aiuta a individuarli, a proteggerli con le misure giuste e, aspetto spesso trascurato, a fare in modo di non restare chiusi fuori: né tu, se perdi il telefono, né le persone di fiducia, se un giorno dovessero aiutarti.

Quali sono gli account più importanti

Conviene fare un elenco personale: per molte persone sono cinque o sei. Su questi va concentrata l’attenzione.

L’email principale: la chiave maestra

Quasi ogni servizio online permette di reimpostare la password tramite un messaggio all’indirizzo email registrato. Questo significa che chi controlla la tua email principale può, in teoria, prendere il controllo di quasi tutti i tuoi account. Per questo l’email principale merita la protezione più alta:

• una password unica, lunga e mai usata altrove;
• la verifica in due passaggi attiva, preferibilmente con app di autenticazione o chiave di sicurezza;
• metodi di recupero aggiornati: numero di telefono e indirizzo alternativo;
• codici di backup generati e conservati in un luogo sicuro;
• controllo periodico delle sessioni attive e dei dispositivi collegati.

Le misure di protezione

Password uniche e robuste

Ogni account importante deve avere una password diversa da tutte le altre. Il riutilizzo è il rischio principale: quando un sito subisce una violazione, le password rubate vengono provate su altri servizi. Una password robusta è lunga: una frase di più parole è spesso più sicura e più facile da ricordare di una sequenza breve di simboli. Un password manager rende tutto questo semplice. Vedi la guida su dove conservare le password.

Verifica in due passaggi

Con la verifica in due passaggi, oltre alla password serve un secondo elemento: un codice da un’app, una notifica sul telefono, una chiave di sicurezza fisica, un SMS. Anche se qualcuno scopre la password, non riesce a entrare. È la singola misura più efficace per proteggere un account. Ma va configurata con attenzione, per non restare chiusi fuori: vedi la guida sulla verifica in due passaggi in emergenza.

Avvisi di accesso

Molti servizi inviano un avviso quando qualcuno accede da un nuovo dispositivo o da una posizione insolita. Attivali e leggili: sono spesso il primo segnale di un problema.

Metodi di recupero aggiornati

Numero di telefono, email alternativa, domande di sicurezza, contatti di recupero: sono la tua via d’uscita se perdi l’accesso. Se sono vecchi, possono diventare una trappola: un numero di telefono non più tuo, riassegnato a un’altra persona, può essere usato per recuperare il tuo account.

Dispositivi protetti

Telefono e computer devono avere un codice di blocco robusto, essere aggiornati e, idealmente, avere la memoria cifrata. Un dispositivo sbloccato e rubato apre la porta a molti account.

Protezione e recuperabilità

Più un account è protetto, più è importante prevedere un modo sicuro per recuperarlo. Il rischio opposto alla violazione è il blocco: perdi il telefono con l’app di autenticazione, cambi numero, dimentichi la password principale, e non riesci più a entrare. Per evitarlo:

• genera e conserva i codici di backup di ogni account importante;
• prevedi più metodi di verifica, non solo il telefono;
• configura i contatti di recupero dove i servizi lo prevedono;
• annota quali metodi di recupero hai impostato per ciascun account;
• conserva queste informazioni separate dai dispositivi, in un luogo sicuro.

Queste stesse informazioni sono quelle di cui avrebbero bisogno le persone di fiducia in un’emergenza. Organizzarle bene serve due volte. Vedi anche la guida sull’accesso di emergenza alle password.

Riconoscere il phishing

La maggior parte delle violazioni di account non avviene grazie a tecniche sofisticate, ma perché la vittima consegna le proprie credenziali a un sito falso. I messaggi di phishing imitano banche, corrieri, enti pubblici, servizi di streaming, e hanno alcuni tratti ricorrenti:

• urgenza: “il tuo conto sarà bloccato entro 24 ore”, “il tuo SPID sta per scadere”;
• link a siti simili ma diversi da quelli ufficiali;
• richiesta di credenziali, codici o dati delle carte, che i servizi legittimi non chiedono mai via messaggio;
• errori di lingua o di impaginazione, anche se sempre più spesso i messaggi sono curati.

La regola più semplice è non cliccare mai sui link ricevuti per accedere ai propri account importanti: si apre l’app ufficiale o si digita l’indirizzo del sito. E se una telefonata o un messaggio mette fretta, è un motivo in più per fermarsi.

Proteggere gli account dei familiari

La sicurezza è anche una questione di famiglia. Genitori anziani, figli adolescenti, partner meno pratici di tecnologia sono spesso i bersagli più facili, e un loro account violato può coinvolgere anche te. Dedica un pomeriggio ad aiutarli: attivare la verifica in due passaggi sull’email e sul telefono, impostare metodi di recupero aggiornati, spiegare come riconoscere i messaggi truffa. Ne parliamo nella guida su genitori anziani, SPID e password.

Quando cambi telefono o numero

Il cambio di telefono o di numero è un momento delicato per la sicurezza degli account. Prima di cedere o dismettere il vecchio dispositivo, trasferisci le app di autenticazione, verifica di poter accedere agli account importanti dal nuovo, aggiorna il numero di telefono nei metodi di recupero e genera nuovi codici di backup se necessario. Solo dopo, ripristina il vecchio telefono alle impostazioni di fabbrica.

Le chiavi di sicurezza fisiche e le passkey

Per gli account più importanti, molti servizi supportano oggi metodi di accesso ancora più robusti: le chiavi di sicurezza fisiche, piccoli dispositivi da collegare al computer o avvicinare al telefono, e le passkey, credenziali legate al dispositivo che sostituiscono la password. Sono molto resistenti al phishing, perché funzionano solo sul sito autentico. Se decidi di usarle, configura sempre più di una chiave o più di un dispositivo, e mantieni metodi di recupero alternativi: perdere l’unica chiave significherebbe restare chiusi fuori.

Identità digitale: un caso particolare

SPID e CIE sono strumenti personali e particolarmente delicati, perché permettono di agire presso la pubblica amministrazione a tuo nome. Proteggili con la stessa cura dell’home banking: credenziali uniche, app sul tuo telefono protetta da codice, attenzione ai messaggi che chiedono di “verificare” o “riattivare” lo SPID. E ricorda che non vanno mai condivisi: per far agire altri per tuo conto esistono le deleghe.

Se un account viene violato

1. Cambia subito la password dell’account e di tutti quelli in cui la usavi.
2. Esci da tutte le sessioni attive e rimuovi i dispositivi sconosciuti.
3. Verifica i metodi di recupero: chi ha violato l’account potrebbe averli cambiati.
4. Attiva la verifica in due passaggi, se non c’era.
5. Controlla le regole di inoltro dell’email: a volte vengono aggiunte per spiare la posta.
6. Avvisa i tuoi contatti, se sono stati inviati messaggi a tuo nome.
7. Contatta la banca se sono coinvolti dati finanziari, e valuta una segnalazione alle autorità.

Checklist

1. Elenca i tuoi account più importanti.
2. Password unica e robusta per ciascuno.
3. Verifica in due passaggi attiva, con più di un metodo.
4. Codici di backup generati e conservati in modo sicuro.
5. Metodi di recupero aggiornati.
6. Avvisi di accesso attivi.
7. Dispositivi protetti e aggiornati.
8. Revisione due volte l’anno.

Gli errori più comuni

• Usare la stessa password per email e altri servizi.
• Non attivare la verifica in due passaggi sull’email principale.
• Numeri di recupero vecchi.
• Codici di backup salvati nel telefono stesso.
• Cadere nel phishing per fretta o per paura.

Come aiuta La Cassaforte Digitale

La Cassaforte Digitale ti aiuta a conservare in modo sicuro la parte più delicata della protezione degli account: l’elenco degli account importanti, i metodi di recupero impostati, i codici di backup e le istruzioni, in un archivio cifrato separato dai tuoi dispositivi.

• Accesso a tre fattori: password, codice OTP e Chiave Privata (PIN Master).
• I livelli Verde, Giallo e Rosso permettono di riservare i codici di backup al livello più protetto.
• Il Controllo Vitale avvia il rilascio graduale alle persone di fiducia solo se non rispondi, dopo solleciti e periodo di grazia.
• Ogni delegato riceve una propria Chiave di Accesso Delegato e non usa mai il tuo SPID né le tue credenziali personali.

Domande frequenti

Staff La Cassaforte Digitale: la redazione di AVANET SRL (Cuneo), che sviluppa e gestisce La Cassaforte Digitale. Le informazioni su norme e procedure sono verificate sulle fonti ufficiali indicate in fondo alla pagina, alla data di aggiornamento. Questo articolo ha scopo informativo e non sostituisce il parere di un avvocato, di un notaio o del tuo istituto bancario. Chi siamo

Fonti

1. ACN — Agenzia per la Cybersicurezza Nazionale — buone pratiche per la protezione degli account
2. Polizia di Stato — Commissariato di PS online — phishing e segnalazioni
3. Google — Accedere con i codici di backup — codici di riserva
4. Garante per la protezione dei dati personali — consigli sulla sicurezza dei dati

Verificate il 10 novembre 2026.

Approfondimenti