Password di un dipendente nei data breach: cosa fare

Un controllo rivela che l'indirizzo email di un dipendente (o il tuo) compare in un elenco di violazioni di dati, magari con una password. Cosa fare? Non c'è motivo di panico, ma neppure di rimandare. Questa guida spiega, in un'ottica da piccola impresa, cosa fare quando la password di un dipendente compare in un data breach: come verificare se il rischio è aperto, quali passi eseguire nelle prime ore, come parlarne con la persona senza colpevolizzarla e quali regole introdurre per ridurre il problema.

Informazioni generali sulla sicurezza informatica, non costituiscono parere legale o tecnico. Se la violazione riguarda dati personali di clienti o dipendenti, parlane con il tuo professionista di fiducia.

Password di un dipendente in un data breach: perché succede

Le email aziendali vengono usate per registrarsi a servizi esterni: newsletter, piattaforme di fornitori, software online, social professionali, siti di formazione. Quando uno di questi servizi subisce una violazione, l'indirizzo finisce nel database trapelato, spesso con la password. Non significa che la tua azienda sia stata attaccata: significa che un servizio terzo ha perso dati. È un evento comune: Have I Been Pwned, il servizio gratuito di riferimento per le violazioni note, indicava il 20 ottobre 2026 oltre 17,8 miliardi di indirizzi coinvolti in 1.047 siti violati, e spiega che essere in una violazione non significa che l'account sia stato compromesso. Puoi consultare la home page di Have I Been Pwned e il suo servizio di avviso per i nuovi casi. Il rischio nasce se quella password è la stessa usata per accedere ai sistemi aziendali (posta, gestionale, cloud, banca).

Per questo la prima domanda non è "quanto è grave?", ma "quella password apre qualcosa di nostro?".

Passo 1: capisci cosa è stato esposto e quando

Per ogni violazione guarda due elementi:

• Cosa è stato esposto: solo l'indirizzo, oppure anche la password?
• Quando è avvenuta, rispetto all'ultima volta in cui la persona ha cambiato la password.

Se la violazione contiene la password e la persona non l'ha cambiata da allora, o l'ha riusata altrove, il rischio è aperto. Se l'ha cambiata dopo e la nuova è unica, la vecchia password esposta non apre più nulla. È la logica spiegata in email in un data breach: sei ancora a rischio?. Se è nata da un'infezione di un computer, la situazione è diversa: leggi infostealer in azienda.

Passo 2: azioni immediate (prime ore)

1. Cambia subito la password dell'account aziendale interessato, da un dispositivo pulito, scegliendone una nuova, lunga e unica (come crearla).
2. Cambia la stessa password ovunque sia stata usata: chiedi alla persona dove l'ha riusata e sostituiscila su ognuno di quei servizi.
3. Attiva l'autenticazione a due fattori sulla casella e sugli strumenti più delicati: ecco come attivarla.
4. Esci da tutte le sessioni attive dal pannello di sicurezza.
5. Controlla la posta: regole di inoltro, filtri, messaggi inviati, accessi insoliti.
6. Controlla i pagamenti: se la persona gestisce bonifici o accessi alla banca, verifica movimenti recenti e avvisa la banca in caso di dubbi.
7. Avverti il team: nelle prossime settimane i truffatori possono usare quei dati per inviare messaggi di phishing mirati.

Passo 3: se la password è stata riusata sui sistemi aziendali

Se emerge che la stessa password apriva posta, gestionale o banca, tratta il caso come un possibile accesso non autorizzato:

• controlla i log di accesso dei servizi disponibili;
• verifica modifiche recenti (nuovi utenti, impostazioni, IBAN);
• avvisa banca e fornitori critici se ci sono segnali concreti;
• se sono coinvolti dati personali di clienti o dipendenti, il GDPR prevede che il titolare valuti la notifica al Garante entro 72 ore quando possibile (art. 33): parlane subito con il tuo professionista di fiducia;
• in presenza di frodi sui pagamenti, segnala alla Polizia Postale.

Come parlarne con la persona

Colpevolizzare produce nascondere i problemi. Meglio un approccio concreto:

• presenta il fatto come evento comune e ricorrente, non come errore personale;
• chiedi dove ha usato la stessa password, senza giudicare;
• offri uno strumento (un gestore di password) invece di una predica;
• spiega perché le regole cambiano (vedi sotto).

Regole semplici per ridurre il problema

1. Mai usare l'email aziendale per servizi personali o non necessari. Meno registrazioni, meno esposizione.
2. Password uniche per ogni servizio, con un gestore. Per verificare se una password è già nota agli archivi di violazioni c'è il controllo password: non la invia, ne trasmette solo i primi cinque caratteri dell'impronta calcolata sul tuo dispositivo.
3. 2FA obbligatoria su posta, gestionale, cloud, banca e account amministrativi.
4. Account distinti per ruolo: niente utenti condivisi, e privilegi di amministratore solo a chi serve.
5. Procedura di uscita: quando qualcuno lascia l'azienda, disattiva subito accessi e rimuovi dispositivi.
6. Una persona responsabile del controllo periodico degli account.

Un controllo ricorrente invece di uno una tantum

Le violazioni non finiscono: una persona che non compare oggi può comparire il mese prossimo. Per questo ha senso un controllo ricorrente degli indirizzi aziendali. Se vuoi sapere subito in quali violazioni compare un indirizzo, la scansione gratuita ti dice se e quanti problemi risultano; per la posta del dominio c'è anche lo strumento gratuito di controllo del dominio, e la panoramica per le piccole imprese mette in fila le altre priorità.

Il piano mensile di VINDICIS per le attività (14,99 € al mese) ricontrolla ogni mese fino a 10 indirizzi email verificati rispetto a data breach noti e registri degli infostealer. Segni come risolto ciò che hai sistemato (per esempio quando dichiari di aver cambiato le password a una certa data, le violazioni precedenti con password si chiudono) e il punteggio riflette solo il rischio ancora aperto. Se compare qualcosa di grave e nuovo, ricevi un avviso immediato, senza aspettare il report mensile.

Ogni indirizzo va verificato dal proprietario con un codice, quindi il controllo vale solo per le caselle che possiedi o sei autorizzato a controllare. Maggiori dettagli nella pagina per PMI e partite IVA.

Domande frequenti

Se il dipendente ha usato la mail aziendale per un servizio personale, è colpa sua?

Non è utile ragionare in termini di colpa. È però opportuno stabilire una regola chiara: l'email aziendale serve per scopi di lavoro, e le password devono essere uniche.

Devo avvisare i clienti?

Dipende da cosa è stato esposto e da cosa è accaduto davvero. Se non ci sono prove di accesso ai sistemi aziendali o a dati di clienti, di solito la questione è interna. Se invece sono stati coinvolti dati personali, parlane con il tuo professionista per valutare gli obblighi GDPR.

La violazione è di anni fa: serve fare qualcosa?

Se la password è stata cambiata dopo e non è stata riusata, il rischio per la password è chiuso. Resta l'esposizione dell'indirizzo (spam e phishing mirato). Vale la pena verificare comunque con la persona.

Posso controllare tutti gli indirizzi dei dipendenti?

Solo quelli che possiedi o che sei autorizzato a controllare, con la verifica di un codice inviato a ciascuna casella. Il piano mensile attuale copre fino a 10 indirizzi verificati.

Basta cambiare la password se il dispositivo è infetto?

No. Se il dispositivo è compromesso, le nuove password possono essere rubate. Prima si pulisce il dispositivo, poi si cambiano le password da un dispositivo pulito.