«Non ho niente da nascondere»: perché in azienda è la frase più rischiosa

La frase «non ho niente da nascondere» è rischiosa perché confonde la riservatezza con la sicurezza. Chi usa un account aziendale non custodisce solo i propri dati, ma quelli di clienti, colleghi e fornitori, e soprattutto la loro fiducia: chi entra in quella casella non cerca segreti, cerca una voce credibile con cui chiedere pagamenti, documenti e accessi. In azienda, quindi, la domanda giusta non è «che cosa ho da nascondere?» ma «quante persone si fidano di questo account?». E se vengono violati dati personali, gli obblighi di sicurezza e di notifica ricadono sull’azienda: in Italia per il GDPR, a San Marino per la Legge n. 171/2018.

Il dilemma del barista

Al bar sotto l’ufficio, un mattino qualunque, il responsabile commerciale di un’azienda chiude la questione davanti a un caffè: «Tanto io non ho niente da nascondere. Se vogliono leggermi la posta, facciano pure».

Il barista asciuga una tazzina e risponde senza alzare gli occhi: «Leggerla, forse no. Ma se da quella casella qualcuno scrive ai suoi clienti di pagare su un altro conto, chi ci rimette?».

Chi sta dietro un bancone conosce bene il valore della fiducia: sa a chi può segnare un caffè sul conto e a chi no. Il responsabile commerciale, senza accorgersene, ha appena trattato quella fiducia come se non valesse nulla. Non è una colpa: è il modo in cui quasi tutti pensano alla sicurezza finché non tocca a loro.

Privacy o sicurezza: qual è la differenza?

La privacy riguarda il diritto di una persona a non esporre ciò che la riguarda. La sicurezza delle informazioni protegge tre proprietà diverse:

• riservatezza: le informazioni le vede solo chi deve;
• integrità: nessuno le altera senza che si sappia;
• disponibilità: ci sono quando servono.

«Non ho niente da nascondere» parla, al massimo, della riservatezza dei propri dati. Tace sulle altre due proprietà, e soprattutto sui dati degli altri.

Un commercialista può non avere nulla da nascondere sui propri redditi. Ma custodisce quelli di duecento clienti che si sono affidati a lui. Lo stesso vale per un ufficio acquisti, un reparto risorse umane, una rete di agenti commerciali: ogni casella contiene la fiducia di qualcun altro.

Che cosa trova un attaccante in una casella «senza segreti»?

Tutto il necessario per una frode credibile:

• rubrica e conversazioni con clienti e fornitori, con il tono giusto per imitarle;
• fatture, ordini, coordinate bancarie e scadenze;
• firme, loghi e modelli di documento;
• collegamenti a cartelle condivise e ad applicazioni in cloud;
• i messaggi per reimpostare le password di altri servizi, come nel racconto dell’imbianchino digitale;
• l’agenda: chi è in viaggio, chi è in riunione, quando nessuno risponderà al telefono.

Nessuno di questi elementi è un segreto. Messi insieme, permettono a un estraneo di parlare con la voce dell’azienda.

Come si usa una casella violata per ingannare clienti e fornitori?

Con pazienza. Lo schema si chiama business email compromise, compromissione della posta aziendale, e segue di solito quattro passi.

1. L’attaccante entra con una password rubata e per settimane legge, senza toccare nulla.
2. Crea una regola che sposta o nasconde le risposte di certi contatti, per non essere scoperto.
3. Aspetta una fattura importante in scadenza.
4. Scrive, dalla casella vera, che le coordinate bancarie sono cambiate.

Il messaggio supera ogni controllo tecnico, perché arriva dall’indirizzo giusto: i record descritti in Quando il fax era più sicuro proteggono dai mittenti falsi, non dalle caselle vere cadute in mano altrui.

La dimensione del fenomeno si vede nei dati dell’FBI: nel rapporto annuale 2025 dell’Internet Crime Complaint Center, le segnalazioni di compromissione della posta aziendale sono state 24.768, con perdite dichiarate per oltre 3 miliardi di dollari. L’FBI precisa che lo schema usa ormai anche numeri di telefono e piattaforme per videochiamate, non solo la posta.

Di chi è la responsabilità quando vengono violati dati di clienti?

Dell’azienda, in quanto titolare del trattamento. L’attaccante commette un reato, ma questo non cancella gli obblighi di chi custodiva i dati. Il GDPR chiede al titolare:

• misure tecniche e organizzative adeguate al rischio (articoli 24 e 32);
• istruzioni chiare a chiunque tratti dati sotto la sua autorità (articolo 29);
• la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta, salvo che sia improbabile un rischio per le persone (articolo 33);
• la documentazione di ogni violazione, anche quando non va notificata (articolo 33, paragrafo 5);
• la comunicazione alle persone coinvolte quando il rischio per loro è elevato (articolo 34).

A San Marino la Legge 21 dicembre 2018 n. 171 segue la stessa struttura: sicurezza del trattamento all’articolo 33, notifica all’Autorità Garante entro settantadue ore, ove possibile, all’articolo 34, comunicazione agli interessati all’articolo 35.

Poi c’è il danno che nessuna norma misura. Il cliente che ha pagato sul conto sbagliato ricorderà da quale indirizzo è arrivata la richiesta.

Come si cambia la domanda, in pratica?

Si parte dagli account di cui gli altri si fidano di più, e per ciascuno si stabiliscono misure proporzionate.

Lo stesso ragionamento vale per gli strumenti di intelligenza artificiale. Chi incolla in un servizio pubblico il contratto di un cliente «tanto non c’è niente di segreto» sta decidendo per conto di qualcun altro. Regole d’uso e strumenti approvati sono il tema della nostra pagina su sicurezza e governance dell’AI.

In sintesi

• «Non ho niente da nascondere» riguarda i propri dati; in azienda si custodiscono soprattutto quelli degli altri.
• La sicurezza protegge riservatezza, integrità e disponibilità, non solo i segreti.
• Una casella violata serve a parlare a nome dell’azienda: fatture, coordinate bancarie, richieste urgenti.
• Il titolare del trattamento ha obblighi di sicurezza, documentazione e notifica, in Italia e a San Marino.
• La domanda utile è «chi si fida di questo account?»: da lì si decidono le misure, account per account.

Domande frequenti

Se l’attaccante usa la casella di un dipendente, ne risponde il dipendente?

Verso le persone i cui dati sono stati esposti e verso l’autorità di controllo risponde in genere l’azienda, come titolare del trattamento. I rapporti interni, comprese eventuali violazioni delle regole aziendali, sono un tema diverso, da valutare con le risorse umane e con un legale.

Una casella violata va sempre notificata al Garante?

Non sempre. La notifica serve quando la violazione riguarda dati personali e presenta un rischio per le persone, e la valutazione va fatta subito, perché il termine è di 72 ore dalla scoperta, ove possibile. La violazione va comunque documentata, anche quando non si notifica.

Come ci si accorge che una casella è stata violata?

I segnali più comuni sono regole di inoltro o di filtro che nessuno ricorda di aver creato, accessi da luoghi insoliti, messaggi inviati che la persona non riconosce, richieste di secondo fattore mai avviate e clienti che rispondono a email mai scritte.

Le imprese di San Marino seguono le stesse regole?

La Legge n. 171/2018 riprende la struttura del GDPR su sicurezza, notifica e comunicazione agli interessati. Chi offre beni o servizi a persone che si trovano nell’Unione europea può essere soggetto anche al GDPR, come prevede il suo articolo 3: conviene verificarlo con un legale.

Mettere in ordine gli account più esposti, le regole sulla protezione dei dati e le procedure in caso di violazione è parte del lavoro della divisione Cybersecurity, insieme al legale e al responsabile della protezione dei dati. Le simulazioni per personale e vertici servono a cambiare la domanda prima che la faccia un cliente.

Fonti

Consultate il 16 settembre 2026.

• Regolamento (UE) 2016/679 (GDPR), articoli 3, 24, 29, 32, 33 e 34, EUR-Lex
• Consiglio Grande e Generale, Legge 21 dicembre 2018 n. 171, articoli 33, 34 e 35
• Garante per la protezione dei dati personali, Violazioni di dati personali (data breach)
• FBI, Internet Crime Complaint Center, 2025 IC3 Annual Report