Se il tuo account Google o Microsoft è stato violato, la prima cosa da fare dipende da una domanda sola: riesci ancora a entrare? Se sì, cambi la password, controlli gli eventi di sicurezza e scolleghi i dispositivi che non riconosci. Se no, perché l’intruso ha cambiato password o numero di recupero, passi dalla procedura ufficiale: la pagina di recupero di Google o il modulo di recupero di Microsoft. In entrambi i casi la nuova password non basta: inoltri automatici, filtri, app collegate e metodi di recupero aggiunti dall’intruso restano attivi finché non li togli tu.
Ultimo aggiornamento: ottobre 2026. Fonti: assistenza Google (account violati, recupero, attività Gmail), assistenza Microsoft (account violati, modulo di recupero, attività recenti, SMS), Polizia Postale.
• Entri ancora? Cambia la password, poi controlla “Eventi di sicurezza” (Google) o “Attività recenti” (Microsoft) e rispondi “No, non ero io” / “Non sono stato io” sulle voci sospette.
• Microsoft chiede un’analisi antivirus completa del PC prima di cambiare la password: se un programma registra ciò che scrivi, la password nuova torna all’intruso.
• Non entri più? Google: pagina di recupero, dal dispositivo e dal luogo abituali. Microsoft: modulo con risposta entro 24 ore a un altro indirizzo email, ripetibile due volte al giorno.
• Bonifica: inoltro automatico, filtri, deleghe, risposte automatiche, IMAP/POP, app con accesso, dispositivi, carte salvate.
• Cambia la password ovunque usavi la stessa e avvisa la banca se nell’account c’erano carte.
• La segnalazione online su commissariatodips.it non sostituisce la denuncia.
Indice
- I primi minuti: in quale situazione sei
- Google: se riesci ancora ad accedere
- Google: se hanno cambiato password o numero
- Microsoft, Outlook e Hotmail: se riesci ancora ad accedere
- Microsoft: il modulo di recupero
- La bonifica: cosa resta attivo dopo il cambio password
- Tre casi concreti, con i tempi
- Banca, pagamenti e altri account
- Quando e come denunciare
- Domande frequenti
I primi minuti: in quale situazione sei
Gli indizi di solito arrivano da fuori: un amico riceve da te un link strano, arriva un avviso di accesso da una città sconosciuta, la posta smette di arrivare, in “Inviati” compaiono messaggi che non hai scritto. Sono i segnali che elenca anche Google.
Se entri ancora, hai il tempo di chiudere le porte prima che l’intruso cambi i dati di recupero. Se sei già fuori, devi dimostrare di essere il proprietario.
Un’avvertenza vale per tutti e due i casi. Se l’attacco è partito da un programma installato sul computer, cambiare password da quel computer serve a poco: Microsoft mette come primo passaggio l’analisi completa del PC con l’antivirus. Se il dubbio riguarda il telefono, la guida su come capire se il telefono è sotto controllo aiuta a escluderlo.
Google: se riesci ancora ad accedere
Cambia la password dell’Account Google da myaccount.google.com con una mai usata altrove. Poi apri Sicurezza e accesso e, nel riquadro “Eventi di sicurezza recenti”, Controlla gli eventi di sicurezza. Per ogni attività che non hai fatto tu, Google indica di scegliere No, non ero io e di seguire i passaggi sullo schermo.
Secondo controllo: I tuoi dispositivi → Gestisci dispositivi (myaccount.google.com/device-activity). Se trovi un telefono o un computer che non riconosci, il pulsante Non riconosci un dispositivo? avvia la procedura di protezione.
Terzo controllo, spesso saltato: i dati di recupero. Google chiede di correggere subito modifiche che non hai fatto a numero di telefono ed email di recupero, indirizzi alternativi, nome, metodi della verifica in due passaggi e condivisione della posizione. Un intruso furbo aggiunge il proprio numero come metodo di recupero proprio per rientrare dopo il tuo cambio password. Quando Google rileva un metodo di accesso sospetto lo disabilita e manda una notifica; da quel momento ci sono 30 giorni per confermare di averlo aggiunto tu, altrimenti viene eliminato.
Infine attiva la verifica in due passaggi, se non c’era. Se la trovi spenta o legata a un telefono che non è il tuo, l’intruso è passato anche da lì. Per il futuro la protezione più solida sono le passkey: ne parliamo nella guida su come attivare le passkey su Google, Apple e Microsoft.
Google: se hanno cambiato password o numero
Quando la password non funziona più si passa dalla pagina di recupero (anche dall’indirizzo breve g.co/recover). Google la indica se qualcuno ha cambiato password o numero di recupero, se ha eliminato l’account o se non riesci ad accedere per altri motivi.
Le indicazioni ufficiali per completarla sono poche e precise. Non saltare le domande: se hai un dubbio scrivi la risposta più probabile, perché le supposizioni sbagliate non ti escludono dalla procedura. Usa un dispositivo da cui accedi spesso, con il solito browser, da casa o dall’ufficio. Come ultima password scrivi la più recente che ricordi, attento a maiuscole e minuscole. Se il primo tentativo fallisce, puoi riprovare.
Attenzione alla seconda trappola: Google scrive che non chiede mai password o codici via email, telefonate o messaggi, e che vanno inseriti solo su accounts.google.com. Chi si presenta come “assistenza Google” offrendosi di sbloccarti l’account è con ogni probabilità un truffatore: vedi la nostra guida su come riconoscere il phishing. Se dopo più tentativi l’account non torna, Google suggerisce di crearne uno sostitutivo.
Microsoft, Outlook e Hotmail: se riesci ancora ad accedere
Per gli account Microsoft (Outlook.com, Hotmail, Xbox, Skype) la pagina ufficiale sugli account violati fissa tre passaggi in ordine. Primo, analisi completa del PC con l’antivirus aggiornato (su Windows: Sicurezza di Windows, Protezione da virus e minacce, Opzioni di analisi). Secondo, cambiare la password da account.live.com/password/Change, o reimpostarla se non entri. Terzo, controllare account connessi, inoltro e risposte automatiche, perché dopo un accesso altrui alcune impostazioni potrebbero essere state cambiate.
Apri poi la pagina Attività recenti (account.live.com/Activity): mostra quando e dove è stato usato l’account negli ultimi 30 giorni, con indirizzo IP, dispositivo e browser o app. Nella sezione “Attività insolite” espandi ogni voce e scegli Non sono stato io per quelle che non riconosci o di cui non sei certo. Le voci da guardare con più attenzione sono “Password dell’app creata”, “È stata concessa un’autorizzazione a un’applicazione”, “Indirizzo di posta elettronica alternativo aggiunto” e “Verifica in due passaggi disattivata”.
Su account.microsoft.com/security, alla voce Gestisci la modalità di accesso, controlla email, app di autenticazione e passkey. Microsoft ammette fino a 10 metodi, quindi uno aggiunto dall’intruso può confondersi tra gli altri.
Microsoft: il modulo di recupero
Se l’intruso ha cambiato password e dati di sicurezza, Microsoft propone prima uno strumento guidato di assistenza all’accesso, poi il modulo di recupero. Serve un indirizzo email funzionante diverso da quello violato: va bene quello di un familiare o un Outlook.com creato al momento. È lì che arriva l’esito.
Il modulo chiede cose che solo il proprietario dovrebbe sapere: per Outlook e Hotmail indirizzi dei contatti e oggetti esatti di email recenti (Microsoft suggerisce di farseli dire da amici e familiari), vecchie password (controlla quelle salvate nel browser), per Xbox l’ID hardware della console usata più spesso. Va compilato da un dispositivo già usato con l’account e da un luogo abituale.
Microsoft risponde entro 24 ore. Se la verifica non riesce si può riprovare quante volte si vuole, ma fino a due volte al giorno. E precisa che i suoi operatori non possono inviare link di reimpostazione né modificare i dati dell’account: chi te lo promette al telefono non lavora per Microsoft.
Nella pagina sul modulo di recupero c’è una frase da leggere prima di un attacco, non dopo: se hai attivato la verifica in due passaggi e non riesci ad accedere a nessuno dei metodi alternativi, Microsoft scrive testualmente “non possiamo aiutarti”. La protezione che tiene fuori l’intruso tiene fuori anche te, se perdi il telefono o l’unico indirizzo di recupero. In più Microsoft sta eliminando gradualmente gli SMS come metodo di accesso e recupero per gli account personali, a favore di passkey ed email verificata. Chi ha come unico metodo di riserva un numero di cellulare farebbe bene ad aggiungere ora un’email di recupero e una passkey, finché l’account è ancora suo.
La bonifica: cosa resta attivo dopo il cambio password
La nuova password chiude la porta principale, non le finestre: un inoltro continua a mandare all’intruso copia di ogni email, codici della banca compresi; un filtro può cestinare gli avvisi di sicurezza; un’app autorizzata può continuare a leggere la posta. Per Gmail, Google elenca le impostazioni da controllare una per una: delega, inoltro automatico, email pianificate, nome, risposta automatica, indirizzo di posta in uscita, indirizzi bloccati, IMAP o POP, filtri ed etichette. Per Outlook.com Microsoft indica account connessi, inoltro e risposte automatiche.
La tabella mette insieme segnali e punti di controllo, con i percorsi indicati dalle pagine ufficiali al 30 ottobre (i nomi dei menu possono cambiare un po’ con gli aggiornamenti).
| Cosa può aver lasciato l’intruso | Dove controllare su Google | Dove controllare su Microsoft |
|---|---|---|
| Accessi che non hai fatto | Sicurezza e accesso → Controlla gli eventi di sicurezza; in Gmail da computer, “Dettagli” in basso a destra | account.live.com/Activity (ultimi 30 giorni) |
| Dispositivi collegati | I tuoi dispositivi → Gestisci dispositivi | Impostazioni di sicurezza: rimozione dei dispositivi attendibili |
| Telefono o email di recupero cambiati | Sicurezza e accesso → telefono ed email di recupero | account.microsoft.com/security → Gestisci la modalità di accesso |
| Copia della posta inviata altrove | Gmail → Impostazioni → Inoltro e POP/IMAP | Outlook.com → Impostazioni → Posta → Inoltro |
| Email nascoste o cancellate in automatico | Gmail → Impostazioni → Filtri e indirizzi bloccati | Outlook.com → Impostazioni → Posta → Regole (consiglio nostro: non è nell’elenco della pagina Microsoft) |
| Qualcun altro legge la casella | Gmail → Account e importazione → Concedi l’accesso al tuo account (delega) | Outlook.com → Impostazioni → Posta → Account connessi |
| Risposte automatiche ai contatti | Gmail → Impostazioni → Risponditore automatico | Outlook.com → Impostazioni → Posta → Risposte automatiche |
| App di terze parti con accesso | myaccount.google.com/permissions (“Rivedi le app con accesso”) | Attività recenti: voci “Password dell’app creata” e autorizzazioni concesse ad applicazioni |
| Carte e acquisti | Google Pay, Google Play, dati di pagamento in Chrome | Account Microsoft → sezione pagamenti e abbonamenti |
Su Google guarda anche estensioni di Chrome sconosciute, attività dei file in Drive, album di Foto condivisi a tua insaputa e condivisione della posizione. Se mancano file, la guida sullo spazio Google pieno aiuta a capire cosa è sparito.
Tre casi concreti, con i tempi
Gmail, entri ancora ma la posta sparisce. Marta riceve alle 21 un avviso di accesso da un dispositivo nuovo, cambia password alle 21:10 e va a dormire. Il giorno dopo le email della banca non arrivano: l’intruso aveva creato un filtro che cestina i messaggi con la parola “codice” e un inoltro verso un indirizzo sconosciuto. L’accesso era chiuso dalle 21:10, la posta ha continuato a uscire tutta la notte. Sequenza giusta: password, “No, non ero io”, rimozione del dispositivo, poi filtri, inoltro e IMAP/POP nello stesso quarto d’ora.
Outlook.com, password cambiata dall’intruso. Paolo non entra più e il numero di recupero è stato modificato. Compila il modulo lunedì mattina indicando l’email della moglie; entro 24 ore arriva un esito negativo. Martedì riprova dopo essersi fatto dire dai figli gli oggetti esatti di tre email recenti. Con il limite di due tentativi al giorno, in tre giorni può farne fino a sei: conviene che ognuno sia più completo del precedente, non una copia.
Google, numero estraneo tra i metodi di accesso. Luca rientra e trova nella verifica in due passaggi un numero che non conosce. Se Google lo ha già disabilitato come sospetto, senza conferma sparisce 30 giorni dopo la notifica. Luca non aspetta: lo rimuove subito e controlla che lo stesso numero non compaia anche come telefono di recupero.
Banca, pagamenti e altri account
Google chiede di cambiare subito la password anche sui siti dove usi la stessa, su quelli dove accedi con quell’indirizzo email o che ti scrivono lì, e su quelli di cui avevi salvato la password nell’account. Chi controlla la tua posta, del resto, può chiedere il reset della password di ogni servizio collegato. Se usi varianti della stessa parola ovunque, è il momento di un gestore: li abbiamo confrontati nella guida ai migliori password manager gratuiti.
Sul fronte dei soldi, Google raccomanda di verificare con la banca che nessuno abbia dato istruzioni a tuo nome, per esempio per aprire un conto o trasferire denaro, soprattutto se avevi carte salvate in Google Pay o in Chrome o documenti come passaporto e dati fiscali in Foto, Drive o Gmail. Gli addebiti non autorizzati su Google Pay e Google Play si segnalano dalle rispettive pagine di assistenza. Se l’intruso ha usato una tua carta, il rimborso passa dalla banca: lo spieghiamo nella guida sulla carta clonata. Controlla anche WhatsApp e social collegati allo stesso numero o indirizzo: le tecniche per farsi consegnare i codici sono quelle della truffa WhatsApp del voto alla bambina.
Quando e come denunciare
Entrare senza permesso nell’account di un altro è accesso abusivo a sistema informatico, un reato. Se l’intruso ha chiesto soldi ai tuoi contatti, ha fatto acquisti o ha diffuso contenuti a tuo nome, la denuncia serve anche come documento per la banca. Si presenta alla Polizia Postale o in un altro ufficio di polizia o dei carabinieri, portando le schermate delle attività recenti e gli avvisi ricevuti: la Polizia Postale, nella pagina su cosa fornire per un accesso illecito, insiste su date, orari, durata delle connessioni e indirizzi IP.
Il modulo Segnala online del Commissariato di PS non serve per querele o denunce: è una segnalazione di fatti presumibilmente illeciti. Il portale di pre-denuncia online della Polizia di Stato (con SPID o CIE, da formalizzare in ufficio entro 48 ore) comprende l’accesso abusivo e la frode informatica, ma al 30 ottobre la pagina ufficiale lo indica in sperimentazione solo in alcuni uffici del Lazio. Per le urgenze restano il 112 e il 113.
Domande frequenti
Ho cambiato password: perché l’intruso legge ancora la mia posta?
Probabilmente ha lasciato un inoltro automatico, un accesso IMAP/POP da un programma di posta, un’app autorizzata o una password per app. Il cambio password non le spegne tutte: vanno tolte a mano, seguendo la tabella sopra.
Quanto tempo ci vuole per recuperare un account Microsoft?
Microsoft indica una risposta al modulo entro 24 ore, all’email di contatto fornita; se la verifica fallisce si riprova fino a due volte al giorno. Google non dichiara tempi nella pagina di recupero.
L’assistenza può sbloccarmi l’account al telefono?
No. Gli operatori Microsoft non possono inviare link di reimpostazione né modificare i dati dell’account, e Google non chiede mai password o codici via email, telefono o messaggi. Chi ti chiama chiedendo un codice sta tentando una seconda truffa.
Avevo la verifica in due passaggi: come hanno fatto a entrare?
Di solito con un codice consegnato su un sito falso o a un finto operatore, con un malware che ruba la sessione del browser o prendendo il numero di telefono con uno scambio di SIM, rischio che Microsoft cita espressamente per gli SMS. Per questo entrambe le aziende spingono le passkey, che non si possono digitare su un sito contraffatto.
Mi conviene denunciare anche se non ho perso soldi?
Se l’intruso ha scritto ai tuoi contatti, ha chiesto denaro a tuo nome o ha visto documenti personali, sì: la denuncia ti tutela se quei dati vengono usati più avanti.
.){kind=link}