Vai al tuo caso:

Venerdì mattina apri la posta e trovi «Cedolino ottobre»: è la busta paga di un collega, con lo stipendio, l’IBAN e il numero AVS (il numero di assicurazione sociale svizzero; in Italia l’equivalente è il codice fiscale). Oppure tocca a te: il programma completa l’indirizzo con il nome sbagliato e l’elenco dei clienti parte. Capita a tutti. Conta cosa fai nei minuti dopo.

Ho ricevuto per sbaglio un documento non mio: cosa faccio?

Prima di tutto: è davvero un errore?

«Ti ho mandato una cosa per sbaglio» è anche un trucco dei criminali, perché la curiosità fa aprire allegati che non si aprirebbero mai. L’Ufficio federale della cibersicurezza (UFCS) l’ha descritto più volte, per esempio a marzo 2026: e-mail con una finta fattura in un archivio ZIP che sembrano inviate per sbaglio ma caricano codice dannoso.

«A prima vista, non c’è nulla di sospetto […] quindi è facile supporre che si tratti semplicemente di un’e-mail incorretta o inviata per sbaglio.»

↳ Fonte: UFCS, Settimana 11: quando i truffatori cercano di ingannare le aziende e addirittura l'UFCS[bacs.admin.ch]

Per decidere mi affido al Metodo 3V che uso e insegno, spiegato nella guida al social engineering: Verifica chi ti sta parlando. Valida se la richiesta ha davvero senso. Agisci a Velocità Controllata. In parole semplici:

  • Chi sei? Chi me lo manda è qualcuno che di solito mi scrive, o un nome mai visto?
  • Ha senso qui e ora? È normale che proprio quel documento arrivi proprio a me?
  • La fretta è reale o indotta? Un titolo come «Stipendi 2026», che mi fa venire voglia di aprirlo subito, è una leva, non un’urgenza.

Se una risposta non torna, il file resta chiuso. Se l’hai aperto e ti ha chiesto una password, segui la guida Phishing: cosa fare se hai cliccato; se l’hai eseguito, stacca il computer dalla rete, come raccomanda anche l’UFCS.

Se è un errore vero: le regole

Tratta il documento come una lettera aperta per sbaglio: non è tuo, non te ne tieni copia. Lo indicano anche le linee guida europee sugli invii sbagliati.

  1. Non usarlo, non inoltrarlo, non salvarlo: niente download, schermate o stampa.
  2. Avvisa chi l’ha mandato. Se dubiti che il messaggio sia autentico, non rispondere a quello: scrivi all’indirizzo o al numero che conosci, o telefona.
  3. Cancellalo: nella posta anche dal cestino e dai download.
  4. Conferma per iscritto se te lo chiedono.

In chat, in un gruppo o sui social

Stesse regole, ma in chat il file non resta solo nella conversazione: cancellalo anche dalla galleria e dai documenti scaricati, perché molte app li salvano da sole. Avvisa in privato chi l’ha mandato e, per l’elenco di una classe o di una squadra, anche la maestra o la società. «Elimina per tutti» lo usa chi ha mandato il messaggio, di solito entro un tempo limitato, e le copie già salvate restano: suggeriscilo, ma non contare che basti.

Un link da un contatto che di solito non te ne manda può venire da un profilo rubato: non aprirlo e chiediglielo per un’altra strada. Se hai già inserito la password, vai alla guida Phishing: cosa fare se hai cliccato.

Dati delicati e liste di bambini

Stesse regole, ma più in fretta. Per l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT, l’autorità svizzera) con i dati sanitari in molti casi si presume un rischio elevato, documenti d’identità e carte di credito possono comportarlo, e con i minori le conseguenze possono essere gravi.

L’elenco della classe o della società sportiva, con nomi, date di nascita, indirizzi e numeri dei genitori: il mio consiglio è netto, quei dati non si usano in nessun caso, nemmeno per un invito alla festa. Se ti serve un indirizzo, lo chiedi ai genitori.

Se c’è un pericolo per un minore, per esempio un’immagine intima, non salvarla, non fare schermate e non inoltrarla, nemmeno a un genitore: Prevenzione Svizzera della Criminalità avverte che è punibile. Avvisa la polizia (cantonale in Svizzera, Polizia Postale in Italia). Ne parlo in Nudi falsi dei compagni di scuola.

Prevenzione Svizzera della Criminalità, ho trovato pedopornografia in internet: cosa faccio? (in tedesco)

Ho mandato una mail alla persona sbagliata: cosa faccio subito?

1. Ritirare il messaggio: non contarci

Il richiamo, dove esiste, di solito funziona solo fra colleghi della stessa organizzazione e solo se il messaggio non è stato aperto. Provalo pure, ma intanto passa al punto 2.

2. Scrivi al destinatario sbagliato

Breve e preciso: è stato un errore, cancellalo senza usarlo né inoltrarlo, e confermamelo. Se conosci la persona, telefonale, poi chiedi comunque la conferma scritta. Con più destinatari, un solo messaggio in Ccn (copia conoscenza nascosta), per non svelare gli indirizzi una seconda volta.

3. Annota tutto, subito

Nei primi minuti, quando ricordi ancora i dettagli: un promemoria per l’incidente e una checklist per ogni destinatario. Con tanti destinatari, per esempio tutti i genitori di una squadra, una tabella con una riga per ciascuno: nome, contattato, confermato.

4. Hai un’attività o un’associazione? Potrebbe essere da notificare

Dati di clienti, soci o iscritti finiti alla persona sbagliata sono una violazione della sicurezza dei dati, anche se è un errore umano. Deve muoversi il titolare del trattamento, cioè chi decide perché e come si trattano quei dati: la ditta, lo studio, l’associazione (il Garante cita espressamente associazioni e professionisti; la legge svizzera vale per i privati, quindi in genere anche per un’associazione di volontari). Se l’errore lo fa un fornitore o un consulente che lavora per conto di qualcuno, deve avvisare subito il titolare: la notifica spetta a lui.

In Svizzera la legge sulla protezione dei dati chiede di notificare all’IFPDT quanto prima ogni violazione che comporta verosimilmente un rischio elevato; nei casi dubbi si notifica subito e si completa dopo. Le persone vanno informate se serve a proteggerle o se lo chiede l’IFPDT. E per l’IFPDT sperare che chi ha ricevuto i dati sia onesto, senza niente di concreto in mano, non basta a dire che il rischio è basso. L’ordinanza sulla protezione dei dati chiede inoltre di documentare le violazioni (fatti, conseguenze, provvedimenti) e di conservare la documentazione almeno due anni dalla notifica. Il mio consiglio: documentale tutte, anche quelle che non notifichi. (Una scuola pubblica svizzera segue la legge del suo Cantone.)

IFPDT, guida sulla notifica delle violazioni della sicurezza dei dati e sull'informazione delle persone interessate (versione 1.2 del 23.04.2025)

In Italia vale il GDPR, il regolamento europeo sulla protezione dei dati, e i tempi li fissa il Garante con la frase qui sotto. Se notifichi dopo le 72 ore devi spiegare il ritardo; tutte le violazioni vanno documentate; se il rischio è elevato vanno avvisate anche le persone.

«Il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc.) senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante»

↳ Fonte: Garante per la protezione dei dati personali, Data breach: violazioni di dati personali[garanteprivacy.it]

Attenzione: con sede in Svizzera ma clienti o persone coinvolte in Italia o nell’UE, potresti dover seguire anche il GDPR; nel dubbio chiedi al consulente. Se sei tenuto al segreto professionale (avvocati, medici, fiduciari), un invio sbagliato può toccare anche quello, e il Garante lo cita fra i danni: parlane subito con il tuo ordine o il tuo consulente.

Come si decide? Nelle linee guida europee un elenco di quindici persone mandato ad altre quindici, con cancellazione chiesta subito, va solo documentato; i dati di 60’000 persone in una mail di massa vanno notificati. Il mio consiglio: con dati finanziari, di salute o di minori parti dall’idea che vada notificato e chiedi subito al tuo consulente per la protezione dei dati, o al responsabile della protezione dei dati (DPO) se ce l’hai: la valutazione è giuridica. All’informatico la parte tecnica, come chiudere un link.

Se i dati escono per un attacco, gli obblighi sono gli stessi: vedi la guida Dati rubati.

Hai mandato tu una lista di minori?

Gli stessi passi, più in fretta, e ti consiglio di avvisare tu le famiglie, prima che lo scoprano da altri. Se c’è un bambino il cui indirizzo deve restare riservato, per esempio per una separazione difficile, telefona subito a quella famiglia; se c’è un pericolo, chiama la polizia: 117 in Svizzera, 112 in Italia.

Sono un privato: ho mandato la foto della mia carta d’identità alla persona sbagliata

Chiedi di cancellarla e di confermartelo. Se è finita a dei truffatori, ti consiglio di segnalarlo all’ufficio del Comune che rilascia i documenti, come chiede anche l’UFCS. Rifare il documento (fedpol, Ministero dell’Interno) è previsto se è perso o rubato, non per una foto; se qualcuno lo usa a tuo nome, vai alla polizia.

Come evito che succeda di nuovo?

Il mio principio: quando in un messaggio ci sono dati di altre persone, rallento e rileggo i destinatari uno per uno, anche dopo la chiocciola. Le linee guida europee consigliano un momento di attesa prima dell’invio e i «quattro occhi»: dopo l’errore si può fare poco, prima quasi tutto.

  • L’indirizzo lo scrivo per ultimo, dopo aver aperto l’allegato per controllarlo.
  • Mando solo i dati che servono, e un documento delicato non va in allegato a più persone.
  • Più destinatari esterni? Ccn. Per stipendi, salute e minori, un collega guarda prima.

Ricevuto o mandato per sbaglio: i primi 30 minuti

Ricevuto o mandato per sbaglio: i primi 30 minuti. Stampala e tienila vicino al computer

Se l’hai ricevuto tu. Chi sei? Ha senso qui e ora? La fretta è reale o indotta?

  1. Una risposta non torna? Non aprire allegato o link.
  2. Avvisa chi l’ha mandato con un messaggio nuovo o una telefonata.
  3. Non usarlo, non inoltrarlo, non salvarlo, niente schermate.
  4. Cancellalo: dalla posta anche dal cestino, dal telefono anche dalla galleria e dai download.
  5. Elenco di bambini? Non usare mai quei dati e avvisa la scuola o la società.

Se l’hai mandato tu. (E la prossima volta: con dati di altri, rallenta e rileggi i destinatari.)

  1. Non contare sul richiamo.
  2. Scrivi o telefona: cancellalo, non usarlo, non inoltrarlo, confermamelo. Più destinatari: Ccn.
  3. Compila la checklist per ogni destinatario; se era un link, chiudilo.
  4. Annota cosa è partito, quando, quante persone, che dati, conseguenze possibili.
  5. Dati di clienti, soci, iscritti? Valuta con il consulente o il DPO: IFPDT quanto prima se il rischio è verosimilmente elevato; Garante, se possibile, entro 72 ore. Documenta sempre.
  6. Salute, soldi, documenti, minori: parti dall’idea che il rischio sia alto, e avvisa le persone.
  7. Bambino con indirizzo riservato: chiama la famiglia; se c’è pericolo, 117 o 112.

Versione completa e aggiornata: comedifendersidaglihacker.com/blog/documento-ricevuto-o-mandato-per-sbaglio-persona-sbagliata-cosa-fare/

Domande frequenti

Ho ricevuto per errore la busta paga di un collega: devo dirlo a lui o all'ufficio del personale?

Avvisa chi l'ha mandata, cioè l'amministrazione o l'ufficio del personale: tocca a loro valutare l'errore e, se serve, informare il collega. Non inoltrare il documento, non salvarlo, cancellalo anche dal cestino e conferma per iscritto se te lo chiedono. Il mio consiglio: non parlarne con altri colleghi, nemmeno per scherzo.

Ho mandato una mail all'indirizzo sbagliato: posso ancora annullarla?

Non contarci. Il richiamo, dove esiste, di solito funziona solo fra colleghi della stessa organizzazione e solo se il messaggio non è ancora stato aperto. Verso un cliente o una casella personale il messaggio ormai è arrivato. Il mio consiglio: scrivi o telefona subito al destinatario e chiedigli di cancellarlo senza usarlo né inoltrarlo, e di confermartelo per iscritto.

Ho mandato a un cliente sbagliato una fattura con i dati di un altro cliente: devo notificarlo?

Devi valutarlo. In Svizzera la notifica all'IFPDT è obbligatoria se c'è verosimilmente un rischio elevato; in Italia al Garante va fatta senza ingiustificato ritardo e, se possibile, entro 72 ore, salvo rischio improbabile. In entrambi i paesi la violazione va documentata. Una fattura con nome e importo pesa meno di dati sanitari: annota tutto e chiedi al tuo consulente per la protezione dei dati.

Mi è arrivato per sbaglio l'elenco della classe con gli indirizzi dei bambini: posso tenerlo?

No. Il mio consiglio è netto: quegli indirizzi non si usano in nessun caso, nemmeno se conosci i genitori, nemmeno per portare un invito. Avvisa chi l'ha mandato e anche la maestra o la scuola, cancella l'elenco dalla chat, dalla galleria e dai documenti scaricati e, se te lo chiedono, conferma per iscritto. Se ti serve un indirizzo, chiedilo ai genitori.

Tutte le fonti di questo articolo

La prossima volta che mandi dati di qualcun altro, rileggi i destinatari uno per uno: dieci secondi che ti danno il tempo di accorgerti dell’errore prima che parta.