Sicurezza degli account social: prevenire e sopravvivere a un attacco

La sicurezza degli account social di un'azienda è un problema di controllo degli accessi, non di robustezza delle password. Gli account aziendali non si perdono quasi mai perché qualcuno ha forzato una password — si perdono per un login condiviso in una chat, per un messaggio di phishing travestito da provvedimento della piattaforma, o per un collaboratore esterno che se n'è andato a marzo e a novembre ha ancora accesso.

I consigli pensati per i privati ("usa un password manager, attiva la 2FA") presuppongono un account e una persona sola, e crollano nel momento esatto in cui una seconda persona deve pubblicare. Ecco la versione per i team: come strutturare gli accessi, come funziona l'autenticazione a due fattori quando devono entrare in più persone e cosa fare nella prima ora se resti chiuso fuori.

L'anti-pattern della password condivisa

La configurazione più diffusa nei piccoli team e nelle agenzie: un solo login per ogni account del brand, custodito in un documento condiviso, in un messaggio Slack fissato in alto o nella testa del founder. Fallisce in modi prevedibili.

• Nessuna tracciabilità. Quando va online qualcosa che non doveva, la domanda "chi ha pubblicato questo?" non ha risposta. Nessuno sta mentendo — è proprio l'account che non può dirtelo.
• L'offboarding diventa una maratona di rotazioni. Una persona se ne va e tu resetti ogni password che ha mai visto, più ogni strumento in cui quelle credenziali sono state digitate.
• La verifica in due passaggi viene sabotata. I codici arrivano a un solo telefono, quella persona è in aereo, e la soluzione di ripiego è disattivare la 2FA o dirottarla su una casella che leggono tutti. Ogni ripiego è peggiore del precedente.
• Le piattaforme lo considerano sospetto. Accessi da cinque città in una settimana somigliano esattamente a una compromissione, così finisci per ricevere richieste di verifica o essere bloccato dalle tue stesse difese.

La soluzione non è una password condivisa migliore — è smettere di condividerne una. Su ogni piattaforma che supporta ruoli per singola persona, la password è una credenziale di ultima istanza in mano a una o due persone; tutti gli altri lavorano dal proprio account.

Chi può davvero lavorare senza la password

L'accesso multiutente nativo varia parecchio da piattaforma a piattaforma. Questo è il quadro a novembre 2025 — verifica dentro l'account prima di costruirci sopra un workflow.

Dove i ruoli esistono, condividere una password è una scelta e non una necessità — sistema quegli account questa settimana, assegnando il ruolo più ristretto che basti al lavoro, e mappalo insieme alla tua struttura e ai ruoli del team social così da fare il lavoro una volta sola. Ovunque altro ti ritrovi con un unico login reale, e la domanda diventa come proteggere quello.

La verifica in due passaggi quando serve a cinque persone

Attivala ovunque. Poi affronta la parte che nessuno ti spiega.

Preferisci un'app di autenticazione all'SMS. I codici via SMS sono intercettabili con attacchi di SIM swap, e il numero appartiene a una persona che potrebbe andarsene. Dove l'SMS è l'unica opzione, usa un numero controllato dall'azienda.

Per gli account che hanno davvero un solo login, conserva il seed TOTP nel password manager del team, non su un singolo telefono. Ogni password manager serio genera codici a tempo da un elemento della cassaforte condivisa, ed è questo il cambiamento che impedisce ai team di disattivare la 2FA per esasperazione: chiunque sia autorizzato può produrre un codice, il segreto non passa mai da una chat e revocare l'accesso significa rimuovere quella persona dalla cassaforte. Tieni lì anche i codici di backup, come voce separata da usare solo in emergenza.

Chiavi hardware per gli account di livello proprietario. Il profilo Facebook personale con i diritti di admin sulle tue Pagine e l'account Google proprietario del canale YouTube sono i gioielli della corona.

L'email di recupero è la vera chiave maestra. Chi la controlla controlla ogni account che può resettare. Fai in modo che sia un indirizzo di proprietà dell'azienda con la sua 2FA — non la Gmail personale del freelance che ha impostato tutto anni fa, e non la casella di team che leggono in sei. Lo stesso vale per il numero di telefono di recupero.

App collegate: l'accesso che hai concesso e dimenticato

Ogni strumento che hai mai provato mantiene un'autorizzazione attiva finché non la revochi. Passa in rassegna la lista degli accessi di terze parti ogni trimestre e revoca tutto ciò che non sai nominare.

Mentre sei lì, distingui due cose molto diverse. Le connessioni OAuth ufficiali — passi dalla schermata di consenso della piattaforma stessa, lo strumento riceve un token con permessi delimitati — sono il pattern sicuro, revocabile con un clic dal lato della piattaforma. Gli strumenti che ti chiedono di digitare nome utente e password dentro la loro interfaccia sono il pattern pericoloso, soprattutto nella categoria dei bot per l'engagement di cui parla cosa può e cosa non può fare in sicurezza l'automazione su Instagram: consegnano il tuo account a un servizio che non puoi verificare, e le sanzioni ricadono su di te.

È qui che uno scheduler si ripaga per motivi di sicurezza e non di comodità. Quando colleghi ogni account tramite il flusso OAuth ufficiale, i tuoi colleghi pubblicano su tutte e undici le piattaforme senza detenere una password di piattaforma — detengono invece un posto nello scheduler, e i piani Team ed Enterprise di SocialKit aggiungono workflow di approvazione, così un junior prepara la bozza e un senior la manda online senza che nessuno dei due tocchi una credenziale. Rimuovere una persona è una modifica nel workspace; le password non si sono mai spostate, quindi non c'è nulla da ruotare su undici account.

Un limite onesto: uno scheduler non è un perimetro per tutto. SocialKit pubblica e produce report — niente inbox unificata, niente coda di moderazione dei commenti, niente social listening — quindi i DM, i thread di commenti e gli account che si fingono te restano lavoro da fare nativamente. Quello che toglie dal tavolo è la password di pubblicazione.

Il phishing è il modo in cui gli account vengono davvero rubati

La minaccia realistica è un messaggio convincente, e i team social sono esposti più di altri perché ricevere proposte non richieste tutto il giorno è esattamente il loro lavoro. I formati ricorrenti: un avviso di "violazione del copyright, fai ricorso entro 24 ore" da un dominio che imita quello vero; un DM di partnership con un brand che contiene il link a un contratto o un file da scaricare; una chat di "Meta Business Support" che apre una pagina di login. Urgenza più una pagina di login: è sempre quello il segnale.

1. Non autenticarti mai partendo da un link. Vai tu stesso sulla piattaforma e controlla l'area di supporto o lo stato dell'account dentro l'app. Le notifiche di provvedimenti reali compaiono lì.
2. Non aprire mai un file arrivato da una proposta non verificata su un dispositivo che ha accesso agli account.
3. Fai in modo che segnalare un errore non abbia conseguenze. Il danno si fa nelle ore tra il clic e la confessione. Dillo ad alta voce: segnalare subito è la mossa giusta e nessuno viene incolpato.

Queste regole vanno messe per iscritto accanto alle tue regole di accesso — la guida alla policy social per le aziende spiega dove collocarle, e la tua SOP per i social media è il posto in cui si pianifica "chi controlla la lista delle app collegate, e quando".

La prima ora se resti chiuso fuori

Stampalo. Segui l'ordine.

1. Controlla prima l'account email. Chi attacca di solito prende la casella di posta prima dell'account social, perché resetta tutto il resto. Cambia quella password, revoca le sessioni e ispeziona le regole di inoltro e gli indirizzi di recupero alternativi — un inoltro silenzioso è la mossa successiva standard.
2. Usa un altro admin. Un secondo admin di Pagina o di canale non compromesso spesso riesce a togliere il ruolo all'intruso più in fretta di qualsiasi coda dell'assistenza. L'accesso basato sui ruoli è una strategia di recupero, non solo igiene.
3. Recupera da un dispositivo che era già connesso — i dispositivi usati in precedenza se la cavano molto meglio nei flussi di recupero delle piattaforme rispetto a un browser nuovo. Poi chiudi tutte le altre sessioni, cambia la password e rigenera la 2FA.
4. Metti in pausa la coda. Promozioni programmate che si pubblicano dentro un account dirottato sono una brutta figura di cui non hai bisogno, e un unico calendario visibile rende questa operazione un lavoro da due minuti.
5. Avvisa le persone da un canale che controlli ancora. Un breve "abbiamo perso l'accesso a questo account, non cliccate sui link che arrivano da lì" su un'altra piattaforma e sulla tua lista email impedisce che il tuo pubblico venga truffato a tuo nome. Gestiscilo come un incidente in corso, con un responsabile designato e un registro, come in gestione delle crisi sui social media.
6. Annota orari ed evidenze — i moduli dell'assistenza li chiedono, e le risposte vaghe ti rallentano.
7. Se ci sono account pubblicitari o metodi di pagamento collegati, rimuovi il metodo di pagamento e avvisa l'emittente della carta. Gli account aziendali dirottati vengono monetizzati come spesa pubblicitaria molto in fretta.

Aspettati che il recupero richieda giorni, non ore. Il fattore che più di ogni altro determina la velocità è la tua capacità di dimostrare la proprietà: un admin che ha ancora accesso, un dispositivo ancora connesso, un'email che controlli — tutte cose che devono esistere prima dell'incidente.

Le agenzie hanno un livello in più: non tenere mai le credenziali dei clienti come login condivisi. Chiedi accessi basati sui ruoli durante l'onboarding del cliente e tieni aggiornato il registro degli accessi di cui parla come gestire più clienti social, così se un cliente viene compromesso puoi dire con esattezza cosa avevi in mano.

Parti da qui: una base in una settimana

Non ti serve un programma di sicurezza. Ti serve fare queste cose una volta, e poi rivederle ogni trimestre.

• Giorno 1 — Inventario. Ogni account del brand, chi ha accesso e in che modo, inclusi i profili personali che detengono i diritti di admin, l'email di recupero e il numero di telefono di recupero.
• Giorno 1 — Sposta l'email di recupero su un indirizzo controllato dall'azienda, con la sua 2FA e una lista di accesso ristretta.
• Giorno 2 — Converti ai ruoli ogni piattaforma che lo consente: Meta Business Suite, admin delle Pagine LinkedIn, permessi YouTube, manager del Google Business Profile. Il ruolo più ristretto che funziona.
• Giorno 2 — 2FA ovunque, app di autenticazione al posto degli SMS, chiavi hardware sugli account di livello proprietario.
• Giorno 3 — Costruisci la cassaforte condivisa per gli account che hanno davvero un solo login: password, seed TOTP, codici di backup, una voce per account.
• Giorno 4 — Fai l'audit delle app collegate e revoca tutto ciò che non sai nominare. Sostituisci qualsiasi strumento che ti abbia chiesto una password in chiaro.
• Giorno 5 — Scrivi due pagine: le regole di accesso (chi detiene cosa, cosa succede all'offboarding) e la procedura di emergenza qui sopra.

Poi fissa la revisione trimestrale: rileggi la lista degli accessi, revoca ciò che è diventato obsoleto, rigenera i codici di backup, verifica che l'email di recupero appartenga ancora a qualcuno che lavora qui.

FAQ

Qual è il modo più sicuro per dare accesso a un freelance?

I ruoli della piattaforma dove esistono, limitati alla pubblicazione, più un posto nel tuo scheduler invece delle credenziali grezze. Non detiene mai una credenziale, la sua attività è attribuibile e rimuoverlo alla fine della collaborazione è una singola azione invece di un ciclo di reset delle password.

Un creator che lavora da solo dovrebbe preoccuparsene?

Sì, con una lista più corta: 2FA tramite app di autenticazione, un'email di recupero controllata dall'azienda che hai testato, codici di backup conservati offline, una pulizia trimestrale delle app collegate. Chi lavora da solo è più esposto, non meno, perché non c'è un secondo admin che possa recuperare l'account al posto suo — una differenza tra setup individuali e di team che si manifesta nel modo più netto proprio nel giorno peggiore.

Un workflow di approvazione migliora la sicurezza?

In modo indiretto, ma significativo. Un secondo paio di occhi prima della pubblicazione significa che un singolo account compromesso o distratto non può mandare online un contenuto da solo, e resta traccia di chi ha approvato cosa. Integralo nel tuo workflow di approvazione dei contenuti invece di aggiungere un controllo separato.