PEC dell’Amministratore hackerata: cosa fare nei primi 30 minuti

di Manuel De Stefano

Ci sono strumenti informatici che utilizziamo talmente spesso da considerarli quasi parte dell’arredamento dello Studio, come il computer, il gestionale, la posta elettronica e naturalmente la PEC, che per un Amministratore di Condominio non è esattamente un accessorio in quanto contiene comunicazioni, documenti, rapporti con fornitori, condòmini, professionisti e una quantità di informazioni che sarebbe decisamente meglio non mettere a libera disposizione di uno sconosciuto.

Poi arriva quella fatidica mattina che spero che per te non arriverà mai.

Provi ad accedere alla PEC e la password non funziona.

Oppure funziona, ma trovi messaggi che non ricordi di aver letto, comunicazioni strane, impostazioni modificate o qualche condòmino che telefona dicendo:

“Mi hai mandato tu questa PEC?”

E tu sai perfettamente che non l’hai mandata.

È il momento nel quale parte quel piccolo brivido lungo la schiena che chi usa strumenti tutti i giorni conosce molto bene.

La prima tentazione è spesso quella di iniziare a cliccare dappertutto, telefonare a chiunque e contemporaneamente cercare su Google “PEC hackerata cosa fare AIUTO”.

Io ti consiglio di fare esattamente il contrario.

Perché davanti a un possibile account compromesso la velocità è importante, ma l’agitazione non è una procedura risolutiva.

Prima domanda: la PEC è davvero compromessa?

Prima di parlare dei famosi trenta minuti dobbiamo capire una cosa: non riuscire ad accedere alla PEC non significa automaticamente che qualcuno l’abbia violata. Potremmo aver dimenticato la password, il servizio potrebbe avere un problema temporaneo, un collaboratore potrebbe aver cambiato la password senza avvisarci oppure potremmo essere noi ad avere qualche difficoltà con il dispositivo che stiamo utilizzando.

I segnali iniziano a diventare più interessanti quando, ad esempio, troviamo messaggi inviati che non riconosciamo, email già lette senza averle aperte, regole o impostazioni modificate, notifiche relative ad accessi sconosciuti oppure richieste di reimpostazione della password che non abbiamo effettuato.

Potrebbe anche succedere che qualcuno ci segnali di aver ricevuto comunicazioni provenienti realmente dal nostro account PEC che noi non abbiamo mai inviato.

A quel punto la questione cambia; non dobbiamo ancora immaginare un hacker seduto in una cantina buia dall’altra parte del mondo, anche perché nella realtà probabilmente ha una scrivania più ordinata della tua, ma dobbiamo trattare la situazione come un possibile incidente di sicurezza e cominciare a raccogliere informazioni.

Minuti 0-5: niente panico e, soprattutto, niente cancellazioni

La prima cosa che ti consiglio di fare è documentare ciò che stai osservando.

Screenshot delle anomalie, orari, messaggi sospetti, eventuali notifiche ricevute, accessi che non riconosci e qualsiasi altra informazione possa essere utile successivamente per ricostruire cosa sia accaduto.

Non iniziare a cancellare freneticamente email, svuotare cartelle o “fare pulizia”.

Quando qualcosa va storto, le informazioni che sembrano inutili nei primi cinque minuti possono diventare essenziali nei successivi cinquanta.

Se sospettiamo inoltre che il computer dal quale stiamo lavorando possa essere compromesso, evita di utilizzarlo per cambiare immediatamente tutte le credenziali. Usare un dispositivo diverso e considerato affidabile è una scelta decisamente più sensata.

Sarebbe curioso cambiare la password da un computer che magari sta proprio comunicando le nostre password a qualcun altro.

Minuti 5-10: riprendere il controllo dell’account

Da un dispositivo affidabile accedi direttamente al portale ufficiale del nostro gestore PEC, senza utilizzare link ricevuti tramite email o messaggi, e modifica immediatamente la password.

Se non riesci più ad accedere perché la password è stata modificata, utilizziamo la procedura ufficiale di recupero dell’account o contattiamo l’assistenza del provider. I principali gestori prevedono procedure specifiche per il recupero o la reimpostazione delle credenziali.

Naturalmente la nuova password deve essere nuova per davvero non: `PasswordStudio2025!` che diventa: `PasswordStudio2026!`

Quello è un aggiornamento anagrafico, non un cambio password.

Se la stessa password è stata utilizzata anche su altri servizi, dobbiamo considerare compromessi anche quelli e cambiarla, iniziando dagli account più importanti.

Se il servizio mette a disposizione sistemi di autenticazione a più fattori e non li abbiamo ancora attivati, questo è un ottimo momento per riconsiderare alcune delle tue scelte di vita (in questo caso il “te l’avevo detto di attivare l’autenticazione a due fattori” è d’obbligo)

Minuti 10-15: controllare cosa è stato modificato

Recuperare l’accesso non significa necessariamente aver risolto il problema, dobbiamo verificare cosa possa essere successo mentre qualcun altro aveva accesso alla casella.

Controllerei almeno i messaggi inviati, quelli eliminati, eventuali regole automatiche, inoltri, filtri, indirizzi o recapiti di recupero e tutte le impostazioni di sicurezza disponibili.

Una regola di inoltro malevola, per esempio, può permettere a un attaccante di continuare a ricevere determinate comunicazioni anche dopo il cambio della password, a seconda delle caratteristiche del servizio utilizzato.

Dovresti inoltre di capire da quando possano essere iniziate le anomalie.

Perché c’è una bella differenza tra scoprire un accesso sospetto avvenuto cinque minuti fa e rendersi conto che qualcuno potrebbe aver letto la nostra corrispondenza nelle ultime tre settimane.

È qui che iniziamo a passare dalla semplice messa in sicurezza dell’account alla valutazione dell’incidente di una portata più grande.

Minuti 15-20: quali informazioni poteva vedere?

Una PEC dello Studio di Amministrazione Condominiale può contenere parecchio materiale interessante.

Nominativi, indirizzi, recapiti, documenti, fatture, coordinate bancarie, comunicazioni con professionisti e fornitori, informazioni relative ai condomìni amministrati e allegati di varia natura.

Quindi la domanda non deve essere soltanto: “Sono riuscito a cambiare la password?” ma la domanda deve diventare:

“A cosa potrebbe aver avuto accesso chi è entrato?”

Un accesso non autorizzato a dati personali può costituire una violazione dei dati personali; il Garante include espressamente tra gli esempi di data breach l’accesso o l’acquisizione di dati da parte di soggetti non autorizzati e la divulgazione non autorizzata.

Questo non significa che ogni sospetto sulla PEC comporti automaticamente una notifica al Garante.

Significa che dobbiamo valutare seriamente l’incidente.

Ed è una distinzione importante, perché in cybersecurity il passaggio da “è successo qualcosa” a “mandiamo comunicazioni a mezzo mondo” dovrebbe prevedere, nel mezzo, una fase chiamata analisi.

Minuti 20-25: avvisare chi deve saperlo

Se lo Studio dispone di un referente cybersecurity, un tecnico IT competente, di un DPO o di altri professionisti previsti dalla propria organizzazione, questo è il momento di attivare la procedura interna.

Se sospettiamo che dalla PEC siano partite comunicazioni fraudolente, dobbiamo inoltre valutare rapidamente quali destinatari possano essere stati coinvolti.

Pensiamo a un attaccante che, dopo aver ottenuto accesso alla casella, utilizzi la credibilità della PEC dell’Amministratore per inviare una comunicazione a un fornitore o a un condòmino.

Il problema non è più soltanto qualcuno che legge la nostra posta, adesso qualcuno potrebbe parlare con la nostra voce digitale e con la nostra identità.

Ed è una situazione particolarmente delicata perché il destinatario vede arrivare una comunicazione da un indirizzo che conosce e del quale tende a fidarsi.

Proprio questa fiducia rende gli account compromessi strumenti estremamente efficaci per successive attività di phishing e frode. Peraltro CERT-AgID ha evidenziato nel suo report sulle campagne malevole del 2025 un aumento della PEC come vettore di attacco, utilizzata anche per malware e furto di credenziali.

Minuti 25-30: documentare e valutare il possibile Data Breach

A questo punto dobbiamo mettere in ordine ciò che sappiamo.

Quando abbiamo scoperto l’incidente?
Quali anomalie abbiamo rilevato?
Da quando potrebbero essere presenti?
Quali dati erano contenuti nella casella?
Quali soggetti potrebbero essere coinvolti?
Sono state inviate comunicazioni?
Sono state modificate impostazioni?
Quali azioni abbiamo già effettuato per contenere il problema?

Queste informazioni saranno fondamentali per valutare l’eventuale violazione dei dati personali e le azioni successive.

Il GDPR prevede che, quando una violazione di dati personali può comportare un rischio per i diritti e le libertà delle persone fisiche, il titolare debba notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne viene a conoscenza.

Se il rischio è elevato, può essere necessaria anche la comunicazione agli interessati. Inoltre, le violazioni devono essere documentate indipendentemente dall’eventuale obbligo di notifica.

Attenzione quindi a un equivoco che ogni tanto incontro: 72 ore non significa “abbiamo tre giorni, ci pensiamo dopodomani”.

Significa che la valutazione deve iniziare subito.

Il Garante stesso ricorda che non sempre tutte le informazioni sono disponibili immediatamente e che gli accertamenti possono proseguire mentre l’incidente viene gestito.

I primi 30 minuti servono soprattutto ad evitare il secondo incidente

Cambiare la password è importante, ma sarebbe un errore considerare conclusa lì la vicenda quindi dopo la prima fase di contenimento bisogna capire come sia avvenuta la compromissione.

Password riutilizzata?
Phishing?
Dispositivo compromesso?
Credenziali salvate in modo non sicuro?
Mancanza dell’autenticazione a più fattori?

Perché se recuperiamo la PEC ma non eliminiamo la causa dell’incidente, abbiamo semplicemente rimesso a posto il vaso senza capire chi continua a prendere a pallonate il salotto.

E soprattutto bisognerà controllare gli altri account dello Studio, verificare i dispositivi utilizzati e monitorare eventuali comportamenti anomali successivi.

La procedura dovrebbe esistere prima dell’incidente

Ed eccoci di nuovo al punto sul quale insisto spesso: le procedure.

Quando scopriamo che la PEC è stata compromessa non dovrebbe iniziare una riunione improvvisata per decidere chi chiamare, dove trovare il numero del tecnico, chi cambia la password, chi controlla i log, chi valuta il Data Breach e chi eventualmente avvisa i destinatari.

Queste cose dovremmo averle stabilite prima.

Una procedura di Incident Response molto semplice potrebbe indicare contatti, responsabilità, sistemi da controllare, modalità di raccolta delle evidenze e persone da coinvolgere.

Non serve preparare il piano di risposta della NATO, serve però evitare che durante un incidente cinque persone facciano cinque cose diverse mentre una sesta domanda nel gruppo WhatsApp dello Studio:

“Ci sono novità?”

Trenta minuti non risolvono tutto, ma possono cambiare parecchio

Una PEC compromessa non è soltanto una password da sostituire ma può diventare un incidente che coinvolge identità digitale, comunicazioni, dati personali, rapporti con fornitori e condòmini e, nei casi peggiori, anche ingenti quantità di soldi.

Nei primi trenta minuti non devi necessariamente aver capito tutto. Devi però aver fatto tre cose fondamentali: 

• contenere il problema
• raccogliere informazioni
• e attivare le persone giuste

Perché nella cybersecurity gli incidenti possono capitare anche a chi lavora bene. La differenza la fa soprattutto quello che scegli di fare prima in modo preventivo. Ad esempio affidandoti a noi di Nerd in Studio per la tua Cybersecurity!

Il momento peggiore per decidere cosa fare quando la PEC viene compromessa è esattamente quello in cui la PEC viene compromessa.
La procedura serve a prendere quella decisione qualche mese prima, possibilmente davanti a un caffè e non davanti a una schermata che non riconosciamo e il panico che cresce.

Se questi argomenti ti interessano, puoi iscriverti alla newsletter di Nerd in Studio per ricevere aggratis nuovi articoli e approfondimenti scritti da chi conosce e lavora nel mondo dell’amministrazione condominiale da oltre 13 anni, ovvero noi Nerd in Studio, gli specialisti di Innovazione dello Studio Condominiale!

Cosa riceverai? Niente strategie astratte per organizzare lo studio in 127 mosse inattaccabili (fuffaaa), ma i miei approfondimenti di innovazione, organizzazione dello Studio e cybersecurity applicati alla vita vera di uno Studio di amministrazione condominiale, insieme agli approfondimenti scritti da Jessica Collu su Marketing, Web e Psicologia.

Puoi seguirmi anche sui social, dove parlo di Cybersecurity, innovazione e organizzazione di studio e di come l’informatica possa essere pratica e a misura del mondo reale.

Il mio Facebook • Il mio Instagram • Il mio LinkedIn

Nerd Power!

Manuel De Stefano

Nerd in Studio - gli Specialisti di innovazione dello Studio Condominiale

Da oltre 10 anni ci occupiamo di Informatica, Cybersecurity, Web Marketing per l'amministratore di condominio