La maggior parte dei consigli sulla sicurezza dei social sta in un paragrafo: attiva l'autenticazione a due fattori, non riutilizzare le password, fine. È un buon consiglio, ma incompleto — perché non considera cosa succede quando fai tutto correttamente e perdi comunque l'account. Le piattaforme commettono errori, gli operatori rilasciano SIM ai truffatori e i sistemi anti-abuso a volte bloccano per errore l'account sbagliato. Questa guida spiega come gli account si perdono davvero, come rafforzare ogni grande piattaforma, cosa fare nella prima ora dopo una compromissione — e perché l'unica cosa che sopravvive a tutto questo è un backup indipendente dei tuoi contenuti.
Come gli account si perdono davvero
« Mi hanno hackerato » di solito significa una di diverse situazioni specifiche — e la distinzione conta, perché difendersi da un vettore spesso non protegge da un altro.
Phishing: pagine di login false e messaggi
La via più comune verso la perdita di un account non inizia con la tecnologia — inizia con un messaggio che sembra provenire dalla piattaforma stessa. « Il tuo account verrà disattivato, verifica qui » in DM, email o SMS porta a una pagina identica alla schermata di login di Instagram o Facebook, ma su un dominio altrui. Quello che digiti va direttamente all'attaccante. Le piattaforme avvertono ripetutamente di non chiedere mai credenziali tramite link esterni — Google è esplicito nel dire che non ti chiamerà mai per verificare un codice al telefono.
Dirottamento della sessione: accesso senza password
Un attaccante non ha bisogno della tua password se può rubare un token di accesso attivo — tramite malware del browser, un'estensione compromessa o Wi-Fi pubblico non protetto. Quel token funge da sostituto del login finché la piattaforma lo rileva o termini manualmente la sessione. Ecco perché controllare regolarmente sessioni attive e dispositivi connessi — non solo cambiare la password — è parte essenziale della difesa dell'account.
SIM swapping: perché un codice SMS non è un fallback sicuro
Il SIM swapping è un attacco in cui qualcuno si spaccia per te presso l'operatore mobile e trasferisce il tuo numero su una SIM che controlla. Una volta ottenuto il numero, riceve ogni codice SMS destinato a proteggere i tuoi account — inclusi quelli dei social. Google lo dice chiaramente: toccare un prompt Google su un dispositivo fidato « può anche aiutare a proteggere da SIM swap e altri attacchi basati sul numero di telefono », perché a differenza di un SMS, un prompt non può essere reindirizzato trasferendo il numero.
Un codice SMS è meglio di nessuna 2FA, ma è l'opzione più debole offerta dalle piattaforme. Ovunque una piattaforma offra app di autenticazione, passkey o chiave di sicurezza hardware, usane una al posto degli SMS — il SIM swapping aggira completamente la verifica SMS, senza alcun errore da parte tua.
Password riutilizzate e credential stuffing
Quando credenziali trapelano da un servizio — negozio online, forum, app piccola — gli attaccanti le provano automaticamente sulle grandi piattaforme scommettendo che hai riutilizzato la stessa password. Si chiama credential stuffing, ed è pura statistica: funziona perché abbastanza persone riutilizzano le password. L'unica difesa affidabile è una password unica per servizio, idealmente generata e conservata in un password manager.
App di terze parti con accesso all'account
Ogni app a cui hai mai concesso l'accesso — pianificatore di post, dashboard analitica, app « chi mi ha smesso di seguire » — detiene un token di accesso valido finché non lo revochi manualmente. Cambiare la password non invalida quel token da solo. Se quell'app chiude, perde il database o viene acquisita da qualcuno inaffidabile, chi ottiene il token accede anche al tuo account — senza ulteriori azioni da parte tua.
Ogni pochi mesi, rivedi l'elenco di app e siti con accesso al tuo account (in Impostazioni → App e siti web su Instagram e Facebook, similmente altrove) e rimuovi ciò che non usi più o non riconosci. Non è un passaggio una tantum — è manutenzione continua.
Ban per falsi positivi della piattaforma
Non ogni perdita di account è un attacco. I sistemi automatizzati anti-abuso a volte segnalano come sospetto il comportamento normale di una persona reale — login da un altro paese in viaggio, picco di attività al ritorno dalle vacanze, o semplice corrispondenza con schemi di account fraudolenti precedenti. Il risultato sembra un hack: l'account diventa inaccessibile, tranne che l'« attaccante » è un falso positivo. I ricorsi sulle grandi piattaforme passano per un modulo in-app o centro assistenza e possono richiedere giorni o settimane — e senza un backup dei contenuti fatto prima, non hai nulla su cui fare affidamento in quel periodo, anche se l'account torna.
Come rafforzare ogni piattaforma
I testi del menu cambiano nel tempo, ma il principio resta: preferire app di autenticazione o passkey agli SMS, conservare i codici di backup altrove rispetto all'account che proteggono e rivedere periodicamente chi ha accesso.
| Piattaforma | Opzione 2FA più forte | Supporta anche | Se resti bloccato |
|---|---|---|---|
| App di autenticazione (opzione consigliata) | SMS, WhatsApp | Flusso in-app « Serve aiuto per accedere » | |
| App di autenticazione o chiave di sicurezza | SMS, WhatsApp, codici di backup stampati | facebook.com/hacked e flusso di recupero | |
| TikTok | Verifica in due passaggi / accesso con passkey | Dipende dalle impostazioni account | Articolo di aiuto in-app « Il mio account è stato hackerato » |
| YouTube / Account Google | Passkey o chiave di sicurezza hardware | Prompt Google, app di autenticazione, codice SMS/voce, codici di backup | Modulo di recupero (g.co/recover) |
| X (Twitter) | App di autenticazione o chiave di sicurezza | SMS (solo abbonati a pagamento) | Modulo di aiuto account compromesso |
| App di autenticazione | SMS | Centro assistenza LinkedIn — accesso e sicurezza |
Instagram offre tre metodi 2FA: app di autenticazione (esplicitamente indicata come opzione consigliata nelle impostazioni), SMS e WhatsApp. La configurazione via app richiede l'app mobile Instagram — non si completa solo dal web. Oltre alla 2FA, controlla periodicamente App e siti web nelle impostazioni account e rimuovi accessi non più necessari. Cosa fare se perdi comunque l'account: consulta la nostra guida al backup Instagram.
Facebook permette di scegliere tra app di autenticazione (opzione consigliata), chiave di sicurezza fisica e codici SMS o WhatsApp come metodo principale. Attivando la 2FA, scarica anche i codici di backup stampati — l'unico metodo che funziona senza segnale e senza app. Per segnalare un account compromesso: facebook.com/hacked. Dettagli sul backup dei contenuti nella guida al backup Facebook.
TikTok
Le impostazioni account TikTok includono la verifica in due passaggi, e la piattaforma supporta anche l'accesso con passkey come alternativa alla password. L'insieme esatto dei metodi può variare per versione e regione — il controllo più affidabile è Impostazioni → Sicurezza account nell'app. TikTok ha un flusso dedicato per segnalare account hackerati dall'aiuto in-app. Più sul backup nella guida al backup TikTok.
YouTube e il tuo Account Google
Poiché YouTube gira su un Account Google, la sicurezza YouTube è la verifica in due passaggi completa di Google: passkey e chiavi hardware come difesa più forte contro il phishing, prompt Google (notifica push su dispositivo fidato) come seconda scelta, app di autenticazione per codici offline, e SMS/codice vocale come opzione più debole — ma comunque meglio di niente. Google consiglia anche di conservare codici di backup scaricati. Segni di un canale YouTube compromesso: video, commenti o modifiche al canale che non hai fatto tu. La nostra guida al backup YouTube copre il backup di video e metadati.
X (Twitter)
X supporta app di autenticazione e chiave di sicurezza hardware; gli SMS come metodo di verifica sono attualmente riservati agli abbonati a pagamento — gli account senza abbonamento dovrebbero usare app di autenticazione o chiave di sicurezza. Un account compromesso si segnala tramite il modulo di aiuto sicurezza account. Più dettagli nella guida al backup X / Twitter.
LinkedIn offre verifica in due passaggi via SMS o app di autenticazione in Accesso e sicurezza. Poiché un account LinkedIn è spesso legato all'identità professionale, conviene rivedere anche le app che usano « Accedi con LinkedIn » altrove. Dettagli sul backup nella guida al backup LinkedIn.
Le stesse regole — app di autenticazione invece di SMS, revisione regolare delle app connesse, codici di backup conservati altrove — valgono anche per Twitch e Pinterest, anche se non trattiamo qui le loro impostazioni di sicurezza nel dettaglio.
Cosa ti dà un export nativo — e cosa no
Ogni grande piattaforma offre uno strumento per scaricare i tuoi dati (Instagram e Facebook lo chiamano « Scarica le tue informazioni », TikTok « Scarica i tuoi dati », X « Scarica un archivio dei tuoi dati », Google offre Google Takeout, LinkedIn « Ottieni una copia dei tuoi dati »). Capire esattamente cosa risolvono questi strumenti — e cosa no — conta, perché quel divario spiega perché un backup indipendente non è ridondante.
| Cosa dà l'export | Cosa non dà |
|---|---|
| Copia dei tuoi post, foto e video al momento della richiesta | Ritorno di accesso a un account compromesso o bloccato |
| Un file una tantum da richiedere manualmente ogni volta | Protezione continua e automatica per il futuro |
| Dati nel formato della piattaforma (di solito ZIP/JSON), non contenuti pronti da ripubblicare | Un elenco funzionante di follower e connessioni — il tuo pubblico reale |
| Funzione standard privacy su tutte le piattaforme sopra | Nulla, se non lo richiedi prima di avere problemi |
Un export on-demand funziona solo se riesci ancora ad accedere all'account e te ne ricordi in tempo. Il backup continuo risolve esattamente questo problema — gira indipendentemente dal fatto che te ne ricordi o che tu possa ancora accedere.
I primi 60 minuti dopo una compromissione
Se sospetti che un account sia stato compromesso, l'ordine dei passaggi conta — ognuno presuppone che il precedente sia già stato fatto.
- Proteggi prima l'email collegata all'account. La maggior parte dei recuperi password passa per email — se anche quella è compromessa, nulla sotto terrà. Cambia la password email da un altro dispositivo fidato.
- Cambia la password dell'account da un altro dispositivo, non da quello che potrebbe essere stato compromesso (malware, sessione rubata).
- Termina tutte le sessioni attive e disconnetti dispositivi sconosciuti — cambiare solo la password non invalida un token di accesso attivo.
- Rivedi e rimuovi app di terze parti sconosciute con accesso all'account — spesso è così che un attaccante mantiene l'accesso dopo un cambio password.
- Attiva (o verifica di nuovo) l'autenticazione a due fattori, idealmente via app di autenticazione o passkey piuttosto che SMS.
- Controlla cosa è cambiato sull'account — telefono e email di recupero, nome visualizzato, metodi di pagamento collegati. Modifiche sconosciute sono il segnale più chiaro che qualcun altro aveva accesso.
- Segnala l'account compromesso tramite il modulo ufficiale della piattaforma — un « supporto » via DM o email è di per sé un frequente trucco di phishing.
- Verifica che l'ultimo backup dei contenuti sia intatto — a questo punto è l'unica parte della situazione completamente sotto il tuo controllo.
Conserva i codici di backup 2FA altrove rispetto all'account che proteggono — non uno screenshot in una galleria sincronizzata con lo stesso account cloud, non un'email con la stessa password dell'account social. Una copia stampata in luogo sicuro, o una voce in un password manager, regge molto meglio.
Perché un backup è l'unica rete di sicurezza che sopravvive a tutto
Siamo diretti: SocialGuardian non può recuperare un account compromesso per te. Non ha la tua password, non accede al posto tuo e non ha un canale speciale per negoziare con una piattaforma. Qualsiasi strumento che affermi il contrario mente o fa qualcosa che non vorresti — ed è esattamente per questo che SocialGuardian non chiede mai password o login social. Basta un @handle pubblico.
Rafforzare un account — 2FA via app, password uniche, revisione regolare delle app connesse — riduce davvero le probabilità di perderlo. Non le porta a zero. Il SIM swapping non può essere bloccato solo dal tuo lato, perché dipende dai processi dell'operatore. Un ban per falso positivo è puramente decisione della piattaforma. E anche un account perfettamente rafforzato resta un unico sistema che può costarti anni di contenuti in minuti.
Rafforzare riduce le probabilità di perdere un account. Un backup garantisce che, anche se lo perdi, il contenuto non scompaia con esso.
Questa è tutta la distinzione. Un backup non risolve l'accesso all'account — fa sì che l'esistenza dei tuoi contenuti non dipenda dal mantenere quell'account. SocialGuardian estrae continuamente i contenuti pubblicamente disponibili legati al tuo @handle, così l'archivio esiste indipendentemente da cosa succede all'account — senza password, senza login, senza accesso a messaggi privati o dati non pubblici.
Riepilogo
Gli account si perdono per phishing, dirottamento sessione, SIM swapping, password riutilizzate, app di terze parti malevole o errore della piattaforma — e solo i primi quattro sono sotto il tuo controllo. Attiva 2FA più forte, pulisci le app connesse, conserva i codici di backup separatamente e sappi esattamente cosa fare nella prima ora dopo un sospetto di compromissione. E poiché niente di tutto ciò porta il rischio a zero, mantieni un backup indipendente dei contenuti che funzioni qualunque cosa accada all'account.