Capire se sei stato hackerato non significa cercare un singolo sintomo “magico”. Un rallentamento del PC, un popup o una batteria che dura meno non dimostrano da soli una compromissione. I segnali più affidabili sono quelli che mostrano attività eseguite da qualcuno che non sei tu: accessi da dispositivi sconosciuti, modifiche alle credenziali, nuove regole di inoltro email, messaggi inviati senza autorizzazione, nuovi account amministrativi, sessioni aperte da località anomale o impostazioni di sicurezza cambiate.

La prima distinzione da fare è tra account compromesso, dispositivo compromesso e data breach. Un account può essere violato senza che sul PC sia presente malware; allo stesso modo un malware può essere presente senza che l’attaccante abbia ancora rubato un account. Un data breach, invece, riguarda la perdita di riservatezza, integrità o disponibilità di dati.

Cosa significa realmente “hackerato”

Nel linguaggio comune “hackerato” significa che una persona non autorizzata ha ottenuto accesso a un account, a un dispositivo, a un’applicazione o a dati che non dovrebbe poter vedere o modificare. Tecnicamente è più utile parlare di compromissione.

La compromissione può avvenire in molti modi: phishing, password riutilizzate, furto di sessione, malware, applicazioni OAuth malevole, vulnerabilità software, credenziali rubate da infostealer, accesso remoto abusivo o compromissione di un fornitore. Per questo il metodo di verifica deve partire dagli indicatori osservabili, non dall’ipotesi sull’attaccante.

15 segnali che possono indicare una compromissione

1. Ricevi notifiche di accesso da dispositivi o località che non riconosci

È uno degli indicatori più forti. Controlla la cronologia degli accessi dell’account e verifica dispositivo, posizione, indirizzo IP, ora e applicazione. Una geolocalizzazione IP può essere imprecisa, quindi non basta il nome della città: cerca combinazioni realmente incompatibili con la tua attività.

2. Ricevi codici MFA o richieste di approvazione che non hai avviato

Un codice OTP o una push MFA non richiesta indica almeno che qualcuno sta tentando di autenticarsi. Non approvare la richiesta. Se gli eventi si ripetono, cambia le credenziali da un dispositivo affidabile e controlla le sessioni attive.

3. Password, email di recupero o numero di telefono sono stati modificati

Se un’informazione di recovery cambia senza il tuo intervento, considera l’account ad alto rischio. Gli attaccanti modificano spesso i metodi di recupero per mantenere persistenza dopo il furto della password.

4. Vedi dispositivi, sessioni o applicazioni collegate che non riconosci

Controlla i dispositivi registrati e le sessioni. Per gli account cloud verifica anche applicazioni autorizzate e consensi OAuth: un’app malevola può mantenere accesso ai dati anche dopo il cambio password, a seconda dei permessi e dei token.

5. Nella posta inviata compaiono messaggi che non hai spedito

È un segnale classico di mailbox compromise. L’attaccante può usare il tuo account per phishing interno, frodi BEC o spam. Controlla anche Posta eliminata, Archivio, RSS e cartelle meno visibili.

6. Compaiono regole email o inoltri che non hai creato

Microsoft indica regole sospette, inoltro automatico verso indirizzi sconosciuti e spostamento di messaggi in cartelle anomale come sintomi comuni di compromissione Microsoft 365. Le regole possono essere usate per nascondere risposte, OTP, fatture o messaggi di allerta.

7. I tuoi contatti ricevono messaggi strani dal tuo account

Se colleghi o clienti ricevono richieste di pagamento, link o allegati che non hai inviato, il problema non è solo reputazionale: l’attaccante può stare sfruttando la fiducia associata alla tua identità.

8. Non riesci più ad accedere con una password che sai essere corretta

Può essere un semplice lockout, ma se coincide con modifiche di recovery, notifiche di accesso o attività anomala va trattato come compromissione possibile.

9. Vedi acquisti, bonifici, ordini o abbonamenti non riconosciuti

Le transazioni non autorizzate richiedono contatto immediato con banca o provider di pagamento. In parallelo va protetto l’account email: spesso la casella di posta è la chiave per reimpostare altri servizi.

10. Antivirus, EDR, firewall o strumenti di amministrazione vengono disabilitati senza motivo

È un indicatore più serio se la modifica non è spiegata da policy IT, aggiornamenti o software autorizzato. In azienda non tentare semplicemente di riattivare tutto: coinvolgi il team IT/security e preserva i log.

11. Compaiono nuovi utenti amministrativi o software di accesso remoto non autorizzato

Nuovi account locali/amministrativi, servizi remoti, RMM sconosciuti o configurazioni che permettono accesso persistente richiedono investigazione. Verifica però prima che non siano strumenti installati dal reparto IT.

12. File vengono cifrati, rinominati o compare una ransom note

È un indicatore ad alta confidenza di incidente ransomware. Isola il sistema dalla rete e non improvvisare operazioni di recovery. Per l’approfondimento specifico usa la guida ransomware Nexsys.

13. Browser reindirizza ricerche, compaiono estensioni sconosciute o notifiche invasive

Può trattarsi di adware, browser hijacking, estensioni malevole o semplici notifiche Web autorizzate per errore. È un segnale da investigare, non la prova che l’intero computer sia sotto controllo.

14. Il sistema mostra processi, connessioni o traffico anomalo

CPU alta e traffico insolito possono avere cause legittime. Diventano più significativi se coincidono con processi sconosciuti, persistence, connessioni verso destinazioni malevole o alert EDR.

15. Un servizio ti comunica che il tuo indirizzo o una password sono comparsi in un breach

È un segnale di esposizione delle credenziali, non la prova che l’account sia attualmente controllato da un attaccante. Se la password esposta è ancora in uso o è stata riutilizzata altrove, cambiala immediatamente e attiva MFA.

Se hai file cifrati o una ransom note, consulta anche la guida completa al ransomware.

Segnali forti e segnali deboli: come interpretarli

Come capire se la tua email è stata hackerata

L’email è spesso il primo account da controllare perché permette di recuperare password e ricevere codici di sicurezza per molti altri servizi. In Microsoft 365, Microsoft indica tra i sintomi di compromissione messaggi mancanti o cancellati, regole Inbox sospette, inoltro esterno, messaggi strani in Posta inviata/eliminata, blocchi inspiegabili e modifiche ai dati utente.

• Controlla la cronologia degli accessi e i device usati.
• Verifica Posta inviata, Posta eliminata, Archivio, RSS e cartelle non abituali.
• Controlla regole Inbox e inoltro automatico.
• Verifica app e servizi collegati all’account.
• Controlla modifiche a password, MFA, telefono ed email di recupero.
• Se l’account è aziendale, verifica con IT/SOC anche audit log e alert correlati.

Per un tenant Microsoft 365 compromesso o un account cloud con segnali di takeover, Nexsys mantiene separata la guida su phishing e cloud account takeover Microsoft 365.

Come capire se il PC o il Mac è stato compromesso

Sul dispositivo è più difficile ottenere certezza da un singolo sintomo. Un endpoint compromesso può essere quasi invisibile; al contrario un computer lento può essere perfettamente sano. Cerca una combinazione di eventi tecnici e di identità.

• Alert antivirus/EDR confermati e non semplicemente notifiche del browser.
• Nuovi software o servizi non autorizzati.
• Account amministrativi locali nuovi.
• Remote Desktop, RMM o strumenti di accesso remoto non approvati.
• Persistence: attività pianificate, servizi o estensioni che ricompaiono dopo la rimozione.
• Disabilitazione delle protezioni di sicurezza.
• Connessioni di rete anomale correlate a processi sconosciuti.
• Accessi cloud anomali iniziati dallo stesso dispositivo.

Se il sospetto è specificamente un’infezione software, l’approfondimento corretto è Malware: cosa sono, come funzionano e come difendersi.

Come capire se il telefono è stato hackerato

Anche su smartphone i segnali più affidabili sono legati all’account: dispositivi aggiunti, codici MFA non richiesti, modifiche ai dati di sicurezza, acquisti o messaggi non autorizzati. Consumo batteria, surriscaldamento o traffico dati possono dipendere da app legittime e non dimostrano una compromissione.

Apple, ad esempio, indica come segnali di un Apple Account compromesso accessi da dispositivi non riconosciuti, password modificate senza autorizzazione, codici 2FA non richiesti, messaggi o acquisti sconosciuti e dispositivi registrati non riconosciuti.

Cosa fare subito se pensi di essere stato hackerato

Se c’è attività malware/ransomware in corso, isola il dispositivo

Disconnetti rete cablata/Wi-Fi o usa le funzioni di isolamento EDR. Evita di spegnere/reinstallare indiscriminatamente un sistema aziendale prima delle indicazioni del team security.

Usa un dispositivo affidabile per proteggere l’identità principale

Se sospetti che il PC sia compromesso, cambia password e recovery da un altro dispositivo pulito. Parti dall’email principale e dall’Identity Provider aziendale.

Revoca sessioni e dispositivi non riconosciuti

Il cambio password da solo può non chiudere tutte le sessioni o rimuovere applicazioni autorizzate. Revoca le sessioni dove disponibile e rimuovi device/app sconosciuti.

Cambia le password riutilizzate

Se la stessa password era usata su più servizi, considera tutti quegli account esposti. Usa password uniche e un password manager.

Attiva MFA o passkey

L’MFA riduce il rischio di riutilizzo della sola password. Se ricevi push non richieste, non approvarle.

Controlla regole email e forwarding

Rimuovi regole o inoltri non autorizzati solo dopo averli documentati se l’account è aziendale.

Controlla recovery, app e consensi

Verifica telefono, email secondarie, trusted devices, app OAuth e API token.

Contatta banca/provider per transazioni sospette

Blocca o contesta immediatamente movimenti non autorizzati secondo le procedure del provider.

Avvisa i contatti se il tuo account ha inviato phishing

Riduci il rischio che altri seguano link o istruzioni provenienti dal tuo account compromesso.

In azienda, attiva Incident Response

Se ci sono account privilegiati, dati aziendali, ransomware, esfiltrazione o lateral movement, la gestione va trattata come incidente.

Cosa NON fare

• Non approvare richieste MFA che non hai iniziato.
• Non fidarti di popup che dicono “sei stato hackerato” e chiedono di chiamare un numero o installare software.
• Non pagare o inserire dati di pagamento in falsi antivirus o false pagine di supporto.
• Non riutilizzare la stessa nuova password su più servizi.
• Non cancellare log e tracce prima dell’analisi se l’incidente è aziendale.
• Non assumere che un antivirus senza alert garantisca che non esista una compromissione.
• Non confondere la presenza della tua email in un data breach pubblico con la prova che qualcuno sia loggato in questo momento.

Have I Been Pwned: cosa ti dice davvero

Servizi come Have I Been Pwned sono utili per verificare se un indirizzo email è comparso in data breach noti. Il risultato indica esposizione storica dei dati, non dimostra che il tuo account sia attualmente hackerato. Il dato è però importante per decidere se una password potrebbe essere stata riutilizzata o se l’account richiede un controllo più attento.

Quando il sospetto diventa un incidente aziendale

Per un’azienda, un account compromesso non è un problema personale dell’utente. Può diventare accesso a SharePoint, OneDrive, Teams, ERP, VPN, file server, dati clienti e sistemi amministrativi. Un attaccante può inoltre usare una mailbox compromessa per BEC, frodi sui pagamenti o movimenti laterali.

• Account amministrativo o privilegiato coinvolto.
• Mailbox con regole di forwarding o messaggi fraudolenti.
• Accesso a dati riservati o personali.
• Ransomware o cifratura file.
• EDR disabilitato o persistence sull’endpoint.
• Accessi anomali su più utenti.
• Evidenza di esfiltrazione.
• Compromissione di fornitori o partner collegati.

In questi scenari va attivato un processo strutturato di Incident Response. Se sono coinvolti dati personali, la parte tecnica deve coordinarsi con la procedura di gestione del Data Breach.

Come prevenire che succeda di nuovo

Dopo il contenimento, la priorità è capire la root cause. Cambiare password e reinstallare un PC senza capire come è avvenuto l’accesso può lasciare aperto lo stesso vettore.

• Password uniche gestite con password manager.
• MFA forte o passkey dove disponibili.
• Aggiornamenti regolari di sistema operativo, browser e applicazioni.
• Rimozione di app, estensioni e accessi non necessari.
• Protezione endpoint con EDR e logging adeguato.
• Revisione periodica di accessi, regole email e forwarding.
• Formazione contro phishing e social engineering.
• Backup separati e test di recovery.
• Monitoraggio degli account privilegiati e principio del least privilege.

Per la prevenzione generale del phishing, consulta la guida Nexsys su tecniche di phishing e rilevamento. Per la riduzione preventiva del rischio di violazione dei dati, il contenuto corretto è mitigare i rischi di un data breach.

Checklist rapida: sono stato hackerato?

Quando chiedere aiuto professionale

Se il problema riguarda solo un account personale e riesci a recuperarlo, le procedure del provider possono essere sufficienti. Se invece l’incidente coinvolge un’azienda, un account amministrativo, più utenti, dati sensibili, malware persistente o ransomware, l’analisi professionale serve a contenere l’attacco, capire l’estensione e prevenire la ricomparsa.

FAQ 

Come faccio a capire se sono stato hackerato?

I segnali più affidabili sono accessi da dispositivi sconosciuti, password o recovery modificati, sessioni non riconosciute, regole email anomale, messaggi inviati senza autorizzazione, nuovi account amministrativi o file cifrati.

Un PC lento significa che è stato hackerato?

No. Rallentamenti, ventole o batteria possono avere molte cause legittime. Servono indicatori aggiuntivi prima di parlare di compromissione.

Un codice MFA non richiesto significa che qualcuno è entrato?

Non necessariamente, ma indica almeno un tentativo di autenticazione o un flusso che non hai avviato. Non approvarlo e controlla la cronologia degli accessi.

Come capisco se la mia email è stata hackerata?

Controlla accessi, Posta inviata, regole Inbox, inoltri esterni, dispositivi, app collegate e modifiche ai metodi di recupero. In Microsoft 365 questi sono indicatori tipici di mailbox compromise.

Have I Been Pwned dice se sono hackerato in questo momento?

No. Indica se il tuo indirizzo è apparso in breach conosciuti. È un segnale di esposizione storica, non la prova di una sessione attiva dell’attaccante.

Cosa devo fare per prima cosa se penso di essere stato hackerato?

Se c’è attività malevola in corso isola il dispositivo; da un dispositivo affidabile proteggi l’account principale, revoca sessioni sconosciute, cambia password riutilizzate e attiva MFA. In azienda coinvolgi subito IT/security.

Devo formattare subito il computer?

In un ambiente aziendale no, non prima di aver valutato l’incidente: formattazione e pulizia possono eliminare log e prove utili a capire cosa è successo.