Il 19 gennaio 2026 il canale YouTube di Andrea Galeazzi, uno dei più importanti creator italiani nel settore delle recensioni tech (1,4 milioni di iscritti, fonte Computermania), è stato rubato con un attacco di phishing mirato. La mail, firmata da un brand reale con cui aveva già collaborato, proponeva l'invio di prodotti da recensire e chiedeva di "verificare il canale YouTube" cliccando un link. In meno di 15 secondi gli attaccanti avevano cambiato password, numero di recupero e impostazioni di sicurezza. Il canale è stato rinominato, riempito di video crypto-truffa e messo in loop come una finta live su Bitcoin. Galeazzi ha denunciato il caso pubblicamente (video "SONO VITTIMA di DEEPFAKE!" sul suo canale, 4 agosto 2026), Google ha poi oscurato il canale, ma il danno reputazionale resta, e mostra una realtà che tocca migliaia di creator italiani: il furto di account è oggi la prima causa di perdita di controllo su un canale, e la velocità con cui si agisce fa la differenza tra rientrare nel proprio profilo o perderlo per sempre.
Questa guida raccoglie le procedure ufficiali aggiornate al 2026 di Meta (Facebook, Instagram, WhatsApp, Threads), Google (YouTube), TikTok, X e Telegram, con le differenze che contano per un creator, e una sezione specifica su come proteggere un account business quando il canale è anche fonte di reddito. Non sostituisce un tecnico di sicurezza informatica, ma è una mappa operativa per non perdere le prime ore, quelle decisive.
I 5 campanelli d'allarme specifici per chi crea contenuti
Un creator non è un utente qualsiasi: l'account è un asset lavorativo. I segnali di compromissione che per un profilo personale possono sembrare un disagio, per un creator sono un'emergenza professionale. Ecco i 5 da riconoscere subito.
- Email di sicurezza che non hai richiesto tu: ricevi un'email "abbiamo rilevato un accesso sospetto" o "il tuo indirizzo email è stato cambiato" senza aver fatto nulla. Non cliccare i link dentro l'email: apri l'app o il sito digitando l'indirizzo a mano. Le piattaforme mandano anche un'email automatica intitolata "emails from Instagram" o "importanti avvisi di sicurezza" che è quella autentica.
- Dispositivo sconosciuto in "sessioni attive" o "dove sei connesso": anche se riesci ancora a loggarti, vai in Impostazioni → Sicurezza → Sessioni attive (o "Where you're logged in" su Facebook, "Active Sessions" su Telegram, "Devices" su WhatsApp web) e guarda se c'è un dispositivo, una localizzazione o un'app che non riconosci.
- Post, reel, commenti o DM che non hai pubblicato tu: il caso classico sono DM crypto scam inviati ai tuoi follower che promettono raddoppi di BTC, link a "airdrop" inesistenti o richieste di "aiutami con questo bonifico urgente". Se i tuoi follower iniziano a scriverti in privato chiedendoti se sei davvero tu, il 90% delle volte sei già stato compromesso.
- Cambio di email, password o numero di telefono che non hai fatto tu: questo è il campanello più grave. Se l'attaccante ha cambiato la mail di recupero, hai pochi minuti prima che il tuo account sia bloccato anche per te. Meta, Google e TikTok mandano una mail automatica all'indirizzo precedente con un link "revert this change" o "secure your account" che è attivo solo per un tempo limitato (da pochi minuti a 24 ore).
- Impossibilità di ricevere il codice 2FA: hai la password giusta ma il codice via SMS non arriva, oppure l'app authenticator dice "account non trovato". Questo succede quando l'attaccante ha disattivato o spostato il tuo 2FA sul proprio dispositivo.
Per un profilo personale il danno è il furto di foto e conversazioni private. Per un creator significa: perdita del canale (anche con centinaia di migliaia di follower), DMs crypto scam ai follower che distruggono la fiducia, deepfake del tuo volto usato per promuovere truffe, account sospeso dalle piattaforme dopo lo spam e quindi impossibilità di monetizzare. Il tempo conta in minuti, non in giorni.
Le 7 azioni da fare entro 24 ore
L'ordine è importante. Saltare un passaggio o eseguirli fuori sequenza può peggiorare le cose.
1. Proteggi prima l'email collegata
Il 90% dei recuperi account parte dall'email. Se l'attaccante ha ancora accesso alla tua casella, può resettare la password di qualsiasi altro servizio. Cambia la password dell'email da un dispositivo pulito, attiva 2FA, controlla le regole di inoltro automatico e i filtri che archiviano posta. Solo dopo passa al social.
2. Vai alla pagina ufficiale di recupero, MAI da link in DM o email
Digita a mano l'indirizzo della pagina di recupero (vedi tabella sotto). Non cliccare mai link ricevuti via DM, SMS, email, anche se sembrano autentici. Le piattaforme non chiedono mai la password via messaggio.
3. Se puoi ancora loggarti: chiudi TUTTE le sessioni e cambia password
Vai in Impostazioni → Sicurezza → Sessioni attive e clicca "Termina tutte le altre sessioni" o "Esci da tutti i dispositivi". Poi cambia la password con una lunga, unica, mai usata altrove. Salva la nuova password in un password manager, non in un file di testo o post-it.
4. Se non riesci più a loggarti: usa il flusso di recupero ufficiale
Ogni piattaforma ha un flusso diverso (tabella sotto). In generale: usa il link o il codice che la piattaforma ha inviato al vecchio indirizzo email o numero di telefono, oppure avvia la procedura di identity verification (video selfie, documento d'identità, email di conferma da un contatto fidato). Per YouTube, se l'hijack è avvenuto meno di 9 mesi fa, puoi accedere al form speciale bianchistato dal forum Google.
5. Attiva o riattiva 2FA con metodo forte
La scelta migliore oggi, open source e gratuita su tutti i dispositivi, è Proton Authenticator: l'app di autenticazione sviluppata da Proton (la stessa di Proton Mail, Proton VPN e Proton Pass), disponibile per Android, iOS, Windows, macOS e Linux. Genera i codici TOTP offline, supporta la sincronizzazione cifrata end-to-end con un account Proton (opzionale) e permette di esportare il vault locale come file cifrato — funzionalità che la rende la scelta più solida per chi cerca un'alternativa open source equivalente a un password manager. Alternative open source di pari livello: Ente Auth (anch'esso con backup E2EE) e l'authenticator integrato in Bitwarden. Mai solo SMS: il SIM swap è la tecnica numero uno per bypassare il 2FA italiano. Se proprio devi usare SMS, aggiungi un metodo alternativo. Salva i codici di backup offline, in un posto sicuro e non sul cloud dello stesso provider.
6. Controlla email di recupero, numero di telefono e app di terze parti collegate
Anche se rientri, l'attaccante potrebbe aver lasciato un accesso secondario: una mail di recupero sua, un'app di terze parti autorizzata, un numero di telefono secondario. Rimuovi tutto quello che non riconosci.
7. Avvisa i follower e fai una segnalazione formale
Scrivi da un altro canale (un altro social, newsletter, sito, Stories di amici) che il tuo account è stato compromesso. Denuncia alla Polizia Postale tramite il portale commissariatodips.it: serve per la tua tutela legale e per costruire un fascicolo. Se ci sono stati danni economici a follower, la denuncia è obbligatoria per avviare la pratica con banche e assicurazioni.
(1) pagare un "servizio di recupero" che ti contatta via DM offrendoti di riavere l'account in 24 ore a pagamento. È la seconda truffa che segue la prima. (2) mandare il codice 2FA a qualcuno, anche se dice di essere il supporto Meta o Google. (3) aprire link "secure your account" ricevuti via email, anche se il mittente sembra legittimo. (4) usare un "agente di recupero" terzo che ti chiede accesso remoto al computer. (5) disattivare temporaneamente l'account per "fermare l'attaccante" prima di aver cambiato tutto: rischi di non poter più rientrare.
Backup periodico di app 2FA e codici: la procedura che il 70% dei creator trascura
La causa più comune di "account perso per sempre" non è un attacco informatico: è la perdita del telefono o del computer su cui era installata l'app di autenticazione. Un'analisi del 2025 su oltre 200 attacchi documentati a creator YouTube (fonte Medium 2023-2025) mostra che circa il 70% degli attacchi documentati sono phishing che imitano domini reali di brand con cui il creator aveva già collaborato — la stessa dinamica usata nel caso Andrea Galeazzi del 19 gennaio 2026. Una parte significativa di quei creator ha perso il canale non per la compromissione in sé, ma per l'impossibilità di dimostrare l'identità senza il secondo fattore. Un 2FA senza backup non è una protezione, è una bomba a orologeria.
Ecco la procedura minima, valida per qualsiasi app (le opzioni cambiano di poco tra Proton Authenticator, Ente Auth, Bitwarden e Google Authenticator):
- Esporta periodicamente i token (ogni 60-90 giorni o dopo ogni nuovo account aggiunto). Proton Authenticator e Ente Auth offrono backup cifrati end-to-end automatici se associ un account (Proton o Ente); in alternativa, l'esportazione manuale produce un file cifrato che va conservato offline. Non fotografare i QR code e salvarli in galleria: sono leggibili da chiunque ha accesso al telefono o al cloud foto.
- Salva i recovery code di ogni servizio (Instagram, Google, Meta, GitHub, exchange crypto, home banking, SPID, CIE). Sono 8-10 codici monouso che il servizio ti fornisce quando attivi il 2FA. Vanno stampati o scritti a mano su un foglio conservato in un posto fisico sicuro (cassetto chiuso, cassaforte, busta sigillata). Una copia in cloud non basta: se l'attaccante entra nell'email, entra anche nei backup cloud.
- Mantieni almeno due copie indipendenti del backup 2FA: una sul dispositivo principale (telefono) e una su un secondo dispositivo (tablet, laptop, secondo telefono) oppure su un supporto offline cifrato (es. chiavetta USB con VeraCrypt). Se perdi l'unica copia, perdi l'accesso a tutto.
- Testa il backup almeno una volta all'anno: installa l'app su un dispositivo secondario, importa l'export cifrato, verifica che tutti i codici funzionino. Un backup che non hai mai testato non è un backup, è un'ipotesi.
- Annota quale app 2FA è associata a quale servizio: un foglio (digitale o cartaceo) con "Instagram → Proton Authenticator, Google → Ente Auth, exchange crypto → YubiKey" ti salva ore in caso di recupero d'emergenza. Le piattaforme non hanno un registro centralizzato: devi fartelo tu.
Proton Authenticator su telefono principale + su laptop di lavoro + export cifrato mensile su USB + foglio cartaceo con i recovery code in cassaforte. Tempo richiesto per il setup iniziale: 30-45 minuti. Tempo risparmiato se l'account viene compromesso e devi dimostrare l'identità: giorni. Non rimandare.
Tabella 1 — Procedure di recupero per social (aggiornate 2026)
Ogni piattaforma ha un flusso ufficiale diverso. Ecco le pagine da digitare a mano nel browser, con tempi medi di risposta e documenti richiesti. I numeri sono indicativi e possono variare per paese, tipo di account e volumi di richieste.
| Social | Pagina di recupero ufficiale | Cosa serve | Tempo medio | Note 2026 |
|---|---|---|---|---|
| instagram.com/hacked | Username, email, telefono; oppure video selfie per identity check | Minuti se hai ancora email/SMS; ore-giorni se serve video selfie | Accounts Center Meta unifica FB+IG+Threads. Da marzo 2026 Meta AI support assistant attivo in US/CA (in Italia ancora limitato). | |
| facebook.com/hacked | Email, telefono, nome completo; documento d'identità se serve identity check | Minuti (codice) → 24-72 ore (ID) → settimane (casi complessi) | 5 percorsi ufficiali: reset password, Find Your Account, codice da dispositivo loggato, ID, Account Center cross-recovery. | |
| YouTube | support.google.com/youtube/answer/76187 | Channel ID + @handle; recupero Google Account sottostante | Form 48h bianchistato dal forum se hijack <9 mesi; 1-9 giorni lavorativi | TeamYouTube su X è solo per casi rientranti nel form 48h. Non aprire ticket paralleli (rallenta). |
| TikTok | App: login → "Non riesci ad accedere?" → "Hai bisogno di altro aiuto" → "Recupera il tuo account"; webform tiktok.com/legal/report/feedback | Username, email, telefono, data approssimativa creazione account, ricevute acquisti in-app | Minuti (se credenziali ancora valide) → giorni (identity check con selfie/ID) | Senza email/telefono recuperabili, l'unica strada è il webform "account access". Account bannati: finestra ~90 giorni prima della cancellazione permanente. |
| X (ex Twitter) | help.x.com/forms/account-access/regain-access/hacked-or-compromised | Username, email di contatto raggiungibile, ultimo accesso, metodo di verifica (telefono/email/authenticator) | Da 1 giorno a 1 settimana (anche casi risolti in 3 giorni) | Attiva "Password reset protect" in Impostazioni → Sicurezza e accesso → Protezione reset password: chiede verifica email prima di inviare reset. |
| Re-registra il numero sull'app; in caso 2FA bloccante, attendi 7 giorni o usa email di recupero | Numero di telefono (devi riottenere la SIM), PIN 2FA o email di recupero | Re-registrazione: minuti. Reset 2FA: 7 giorni di attesa | Update del 25 agosto 2026: passkey multiple + 2FA con password alfanumerica (non solo PIN 6 cifre). Oltre 1 miliardo di utenti già con passkey. | |
| Telegram | Re-installa app e ri-logga; telegram.org/support per casi bloccanti | Numero di telefono, password 2FA o email di recupero | Minuti (se hai il numero) → 7 giorni (reset 2FA senza email) | Telegram limita a 24h la chiusura delle sessioni vecchie da una nuova. Prima agisci, prima chiudi la sessione all'attaccante. |
Nota: le pagine di recupero cambiano spesso. Verifica sempre l'URL digitandolo a mano, senza passare da motori di ricerca: le ads a pagamento che appaiono su Google per "recuperare account Instagram" sono quasi tutte truffe di phishing.
Tabella 2 — 2FA giusta vs sbagliata per creator
Non tutti i metodi di autenticazione a due fattori sono uguali. Per un creator il cui canale è fonte di reddito, la scelta del 2FA può fare la differenza tra restare protetto o perdere tutto in un SIM swap.
| Metodo | Sicurezza | Pro | Contro | Consigliato per creator? |
|---|---|---|---|---|
| Proton Authenticator (prima scelta 2026) | Alta | Open source, gratuito, multipiattaforma (Android, iOS, Windows, macOS, Linux), codici offline, backup ed export cifrati end-to-end opzionali con account Proton, account non richiesto per uso locale | Se perdi l'unico dispositivo senza backup, perdi l'accesso. Sincronizzazione cifrata richiede account Proton (opzionale) | Sì, è la scelta migliore oggi per la maggior parte dei creator |
| Google Authenticator | Alta ma con caveat | Gratuito, universale, semplice; cloud sync opzionale dal 2023 (codici sincronizzati via Google Account, ma non cifrati end-to-end: Google può tecnicamente accedere); "Transfer accounts" genera QR code di migrazione tra dispositivi | Se non hai attivato il cloud sync o non hai un backup preventivo, perdi i codici col telefono. Il "Transfer accounts" è una migrazione punto-a-punto, non un backup persistente. Sync non E2EE è un punto debole rispetto a Proton/Ente | Sì, ma solo se hai attivato il cloud sync e affianchi export manuale e recovery code offline |
| Authy (Twilio) | Media (proprietario, breach noti) | Multi-device sync, backup cifrati (Twilio) | Chiuso (codice non verificabile indipendentemente). Breach 2022 (93 account Authy compromessi via phishing Twilio). Leak 33 milioni di numeri di telefono utenti nel luglio 2024 via API non autenticata. App desktop dismesse nell'agosto 2024. Nessuna funzione di export | Con riserva, e solo se si è già utenti storici |
| YubiKey / Titan Key / OnlyKey (FIDO2) | Altissima | Impossibile da phishare; serve possesso fisico della chiave | Costo (25-70€); devi averne almeno 2 di backup; non tutti i social la supportano ancora | Sì, ideale per account business e monetizzati. YubiKey 5 è lo standard di fatto |
| Passkey (biometria del dispositivo, sincronizzata via iCloud o Google Password Manager) | Altissima | Niente password da ricordare, niente codice da copiare; resistente al phishing | Richiede dispositivo compatibile (iOS 16+, Android 9+, browser recenti); WhatsApp, X, TikTok stanno introducendola | Sì, sta diventando lo standard 2026 |
| SMS | Bassa | Funziona ovunque; nessuna app da installare | SIM swap (bastano 5 minuti e un po' di social engineering con l'operatore); intercettabile via SS7 | Solo come metodo secondario, mai unico |
| Molto bassa | Sempre disponibile | Se compromettono l'email, compromettono anche il 2FA | No, sconsigliato come 2FA unico |
Account Centre Meta e creator business
Se gestisci un creator business (Meta Business Suite, Instagram Professional, Facebook Page connessa), il furto dell'account personale può estendersi a tutte le pagine e gli account pubblicitari collegati. Meta ha centralizzato la gestione in Account Centre (precedentemente noto come "Impostazioni aziendali"): un unico login che controlla account personali, pagine, business manager, account Instagram e Threads.
Tre accorgimenti specifici per chi ha un creator business:
- Separa l'account personale da quello professionale: usa un'email dedicata solo al creator business, diversa da quella personale. Se comprometti l'email personale, non perdi anche il canale.
- Non dare accesso di amministratore a terzi senza 2FA: collaboratori, agenzie, familiari che aiutano a gestire il canale. Ogni admin deve avere 2FA attivo e password unica.
- Backup periodico dei contenuti: usa le funzioni "Scarica le tue informazioni" di Meta e Google Takeout per YouTube. Se perdi il canale e devi ricostruire, almeno hai i contenuti originali.
Segnalazione: Polizia Postale e oltre
In Italia, il reato di accesso abusivo a sistema informatico (art. 615-ter c.p.) e furto d'identità digitale (art. 494 c.p. + art. 640-ter c.p. per truffa aggravata) sono perseguibili a querela di parte. La procedura concreta:
- Raccogli prove prima di qualsiasi altra cosa: screenshot dell'email di sicurezza con timestamp, dei post/DM non tuoi, della pagina "sessioni attive" con dispositivi sconosciuti, della tua pagina social compromessa.
- Pre-denuncia online tramite il portale commissariatodips.it o l'app IO, con SPID o CIE. Serve per preparare la pratica, ma non basta.
- Denuncia formale in un ufficio della Polizia Postale, della Polizia di Stato o dei Carabinieri, con documento d'identità e prove raccolte. È l'atto che fa partire l'indagine.
- Se ci sono danni economici a te o ai tuoi follower: coinvolgi la banca per bloccare eventuali transazioni sospette e conserva gli estratti conto. In caso di pagamenti autorizzati sotto pressione, prova la procedura di revoca SEPA entro pochi giorni.
Per i creator business, valuta anche la notifica al Garante per la Protezione dei Dati Personali entro 72 ore se la compromissione ha esposto dati personali di terzi (follower, clienti, sponsor). L'obbligo scatta sotto GDPR se il furto ha causato "rischio per i diritti e le libertà delle persone".
Cosa fare nei 30 giorni successivi
Rientrare nell'account è solo l'inizio. Le 4 cose da fare nel mese successivo:
- Audit di sicurezza completo: cambia le password di tutti gli account che usano la stessa email o password. Controlla haveibeenpwned.com per verificare se le tue credenziali sono finite in data breach noti. In Italia, nei primi 3 mesi del 2026 sono stati compromessi 497.400 account, con 84,7 milioni di email e 298,1 milioni di password esposte dal 2004 a oggi.
- Verifica AdSense e monetization: se il tuo canale YouTube ha generato introiti, controlla che l'attaccante non abbia modificato i dati di pagamento o l'account AdSense. Google AdSense recovery è un percorso separato.
- Controlla i contenuti archiviati: dopo un furto, alcuni creator trovano post, reel, commenti o DM cancellati o modificati. Facebook e Instagram permettono di scaricare l'archivio completo dell'account.
- Comunica la chiusura della crisi: una storia, un post sul blog, un aggiornamento nella newsletter. Spiega cosa è successo, cosa hai fatto per risolvere, e come follower e sponsor possono verificare che il canale è tornato sotto il tuo controllo. Questo ricostruisce la fiducia.
La differenza tra un creator che rientra nel proprio account in 24 ore e uno che lo perde per sempre non è la sorte, è l'aver letto questa guida prima che succedesse.