Perché ho ricevuto un codice di verifica che non ho richiesto?

Perché potresti ricevere un codice di verifica che non hai richiesto

Un codice di verifica inaspettato può derivare da un errore di battitura, da un tentativo di accesso o di reimpostazione della password, oppure da un messaggio truffa pensato per farti rispondere. Un codice che non hai richiesto non dimostra di per sé che il tuo account sia stato consultato o che qualcuno conosca la tua password. Non condividere il codice, non approvare una richiesta inaspettata e non usare i link presenti nel messaggio. Apri direttamente il servizio indicato e controlla l'attività del tuo account.

Ciò che il codice protegge dipende dal servizio. Può confermare una nuova iscrizione, un accesso, una reimpostazione della password, un tentativo di recupero, un numero di telefono o un'azione sensibile come un pagamento. Ecco perché la risposta giusta dipende dallo schema, non dal codice stesso.

• Un solo codice, nessun altro avviso: può trattarsi di un errore di battitura, di un'iscrizione, di un tentativo di accesso o di reimpostazione, oppure di un messaggio falso. Non usare il codice; se hai un account con quel nome, controllalo direttamente.
• Codici che continuano ad arrivare: qualcuno potrebbe cercare ripetutamente di accedere o di reimpostare l'accesso. Controlla subito quell'account.
• Un codice più un avviso sull'account: un avviso di accesso da un nuovo dispositivo, di cambio password o di modifica del recupero richiede un intervento oggi stesso.
• Chiunque ti chieda il codice: trattalo come una truffa, chiunque dica di essere.

Qualcuno ha digitato per errore il tuo indirizzo email o numero di telefono

Le persone sbagliano continuamente i propri recapiti, e così un codice arriva a te invece che a loro. La pagina di assistenza di Login.gov "I'm receiving one-time codes that I didn't request" indica questa come causa probabile, insieme a qualcuno che condivide il tuo telefono, come un coniuge, un genitore o un figlio, che accede al proprio account. Un singolo codice senza seguito è il tipico segno di questo tipo di confusione.

Qualcuno ha provato ad accedere o a reimpostare la tua password

Molti servizi inviano un codice quando un accesso arriva da un nuovo dispositivo o da una nuova posizione, o quando qualcuno avvia una reimpostazione della password. Quel qualcuno potresti essere tu su un altro dispositivo, una persona che ha confuso il tuo account con il proprio, oppure un tentativo di accesso automatico con una password trapelata da un altro sito. A seconda del servizio, il codice può essere un secondo passaggio dopo la password o la credenziale principale per un accesso senza password, e dal solo codice non puoi capire quale sia. Non condividerlo né inserirlo, e controlla l'account tramite l'app ufficiale o il sito web.

Qualcuno ha usato i tuoi recapiti per iscriversi

Un codice di iscrizione può arrivare per un servizio che non hai mai usato perché una persona ha inserito il tuo indirizzo email o numero di telefono durante la creazione di un account. La maggior parte dei servizi non completa l'iscrizione finché non viene usato il codice o il link di conferma, quindi di solito basta ignorare il messaggio. Non creare un account solo per indagare.

Il messaggio è phishing, non un codice reale

Un messaggio può imitare un avviso di verifica e includere un link, un numero di telefono o un'istruzione del tipo "rispondi per annullare" anche quando non è avvenuta alcuna vera azione sull'account. L'obiettivo è farti chiamare, cliccare o digitare qualcosa in una pagina falsa. Non provare il link. Apri l'app ufficiale o digita tu stesso l'indirizzo web noto del servizio.

Un problema lato servizio ha scatenato un'ondata di messaggi

A volte la causa è dalla parte dell'azienda. Nel gennaio 2026, Instagram ha attribuito un'ondata di email di reimpostazione della password inaspettate a "un problema che ha permesso a una parte esterna di richiedere email di reimpostazione della password per alcuni utenti di Instagram", secondo il gruppo di consumatori Which?, e Instagram ha negato che i suoi sistemi siano stati violati. Anche in un caso come questo, la risposta sicura è la stessa: ignora i link e controlla l'account nell'app.

Cosa fare adesso

La risposta più sicura a un codice non richiesto richiede pochi minuti e non implica mai il messaggio stesso. Segui questi passaggi in ordine e fermati una volta che l'account risulta a posto.

1. Non condividere, inoltrare o leggere il codice ad alta voce. Non inserirlo da nessuna parte e non approvare una richiesta di accesso che non hai avviato. La pagina di assistenza di Google "When Google might send you a text" dice che puoi ignorare ed eliminare un codice ricevuto via SMS che non hai richiesto e che non dovresti condividere nessun codice ricevuto.
2. Non usare nulla di ciò che è contenuto nel messaggio. Salta i link, i numeri di telefono e qualsiasi istruzione di risposta, anche se il mittente ti sembra familiare.
3. Apri il servizio da solo. Usa l'app ufficiale o digita l'indirizzo che già conosci, poi controlla le attività di accesso recenti, i dispositivi connessi e gli avvisi di sicurezza. La pagina di Microsoft "What is the Recent activity page?" spiega che la sua pagina mostra l'attività dell'account Microsoft degli ultimi 30 giorni e ti permette di selezionare "Non ero io" per qualsiasi cosa contrassegnata come insolita.
4. Cambia la password quando i fatti lo richiedono. Fallo tramite il servizio ufficiale se l'attività ti sembra sconosciuta, se il servizio conferma un tentativo di accesso, se hai condiviso il codice o se la password è riutilizzata su altri siti. Usa una password univoca per quell'account.
5. Attiva un'autenticazione a più fattori più robusta. La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti considera una chiave di sicurezza l'opzione più forte, seguita da un'app di autenticazione, mentre i codici via SMS o email sono i più deboli. La CISA consiglia di usare i codici via SMS o email solo quando l'account non offre nulla di più forte.
6. Contatta il servizio se i codici continuano ad arrivare. Usa il centro assistenza all'interno dell'app o sul sito ufficiale, non un numero indicato nel messaggio.

Se non hai un account con il servizio indicato, qualcuno potrebbe essersi iscritto con il tuo indirizzo email o numero di telefono, oppure il messaggio potrebbe essere falso. Ignoralo. Se lo stesso servizio continua a contattarti, rivolgiti al suo team di assistenza tramite il sito ufficiale.

Un codice, codici ripetuti o un avviso sull'account: cosa significa ciascun caso

Gli indizi che circondano il messaggio contano più del numero di codici. Un codice può derivare da un errore di battitura, da un'iscrizione, da un tentativo di accesso o di reimpostazione della password, oppure da un messaggio falso. Codici ripetuti giustificano un controllo tempestivo dell'account, mentre un codice accompagnato da un avviso di accesso o di modifica dell'account non riconosciuto richiede un intervento immediato tramite il servizio ufficiale.

I codici da soli raramente raccontano tutta la storia. I segnali che un account è stato effettivamente consultato sono più specifici:

• Non riesci più ad accedere, oppure il servizio conferma che la tua password o i tuoi dati di recupero sono cambiati.
• Il tuo account mostra dispositivi, sessioni o località che non riconosci.
• Compaiono messaggi, post o acquisti che non hai fatto tu.
• Il tuo account email presenta nuove regole di inoltro o filtri che non hai impostato.

Se noti uno di questi segnali, usa subito la procedura ufficiale di recupero account del provider.

Codici via email, codici via SMS e richieste di accesso

Il canale cambia ciò che vale la pena controllare. Un codice via email ti indirizza verso l'account email e il servizio indicato, un SMS verso il tuo numero di telefono, mentre una richiesta di approvazione significa che un accesso è in attesa di una tua conferma.

Se hai ricevuto un'email con un codice di verifica che non hai richiesto

Un'email con un codice di verifica che non hai richiesto può derivare da un'iscrizione, da un tentativo di accesso o di reset, da un errore di battitura o da un messaggio falso. Controlla l'account indicato tramite il sito ufficiale o l'app. Se ci sono altri segnali che qualcuno ha avuto accesso alla tua casella di posta, controlla anche le sessioni recenti, l'email e il telefono di recupero, la posta inviata e eventuali regole di inoltro o filtri. Una regola di inoltro che non hai creato potrebbe copiare i messaggi futuri, compresi i codici, quindi rimuovila e metti in sicurezza la casella di posta.

Se hai ricevuto un codice di verifica via SMS

Non rispondere, non chiamare un numero indicato nel messaggio e non dare per scontato che una conversazione familiare dimostri che il messaggio è autentico. Per i messaggi che sembrano spam, la guida della FTC "How To Recognize and Report Spam Text Messages" suggerisce di inoltrarli al 7726 (SPAM). Fai attenzione a bloccare il numero di un servizio reale, perché potresti aver bisogno dei suoi codici in seguito. Se il tuo telefono perde improvvisamente la rete cellulare mentre arrivano codici o avvisi relativi all'account, contatta il tuo operatore tramite un canale di cui ti fidi già; le interruzioni del servizio hanno cause comuni, ma la combinazione merita un rapido controllo.

Se hai ricevuto una richiesta di approvazione dell'accesso

Rifiuta qualsiasi accesso che non hai avviato tu. La Guida utente alla sicurezza personale di Apple indica che, se ricevi una notifica relativa a un accesso su un nuovo dispositivo che non riconosci, devi selezionare "Non consentire". Le richieste ripetute possono essere un tentativo di stancarti, quindi non approvarne mai una solo per far cessare le notifiche.

Truffe con codici di verifica: quando qualcuno chiede il codice

Una richiesta del tuo codice è il segnale d'allarme più chiaro di tutti. L'avviso ai consumatori della FTC di marzo 2024 "What's a verification code and why would someone ask me for it?" lo dice chiaramente: "Chiunque ti chieda il codice di verifica del tuo account è un truffatore." Le aziende reali inviano codici che devi inserire tu stesso in una schermata che hai aperto.

Il copione cambia, ma la richiesta è sempre il codice:

• La chiamata del "dipartimento antifrode". Un interlocutore sostiene di essere la tua banca, un team di assistenza o un ufficio governativo e dice di aver bisogno del codice per proteggere o verificare il tuo account.
• L'amico che ha inviato un codice "per errore". Un messaggio di un contatto conosciuto dice che un codice è arrivato a te per errore e ti chiede di restituirglielo. Contatta quella persona tramite un canale separato di cui ti fidi. L'account potrebbe essere compromesso o impersonato, e il codice potrebbe permettere a qualcuno di registrare il tuo numero di telefono o di impossessarsi di un account.
• L'acquirente del marketplace. L'avviso della FTC di ottobre 2021 sulla truffa del codice di verifica di Google Voice descrive persone che vendono articoli online a cui viene chiesto di rileggere un codice per "dimostrare" che sono reali. Il consiglio della FTC: non condividere alcun codice di verifica con qualcuno se non sei stato tu a contattarlo per primo.

Non fornire mai un codice in risposta a un contatto inaspettato. Se hai avviato tu stesso una conversazione con l'assistenza, segui solo le istruzioni mostrate nell'app ufficiale o nel sito web dell'organizzazione e leggi l'avviso nel messaggio con il codice. Per controllare un account, contatta l'azienda utilizzando un numero di cui ti fidi già, come quello sulla tua carta o nella sua app, e segnala i tentativi di truffa su ReportFraud.ftc.gov.

Se hai già condiviso un codice o approvato una richiesta

Agisci in fretta e mantieni la calma. Condividere un codice non significa sempre che qualcuno sia riuscito a entrare, ma dovresti presumere che possa esserci riuscito e mettere subito in sicurezza l'account.

1. Apri direttamente il servizio e cambia la password. Poi disconnetti le altre sessioni o i dispositivi se il servizio offre questa opzione.
2. Esamina le impostazioni di sicurezza, comprese l'email di recupero, il telefono di recupero, i metodi multifattore e gli eventuali codici di backup. Login.gov, ad esempio, consiglia a chi riceve codici inaspettati di cambiare la password, confermare i metodi di autenticazione e rigenerare i codici di backup se li utilizza.
3. Chiama la tua banca o l'emittente della carta usando il numero riportato sulla carta o sull'estratto conto se il codice riguardava un conto finanziario.
4. Controlla il tuo account email per verificare regole di inoltro, filtri o messaggi inviati che non hai creato, se il codice condiviso riguardava la tua casella di posta.
5. Usa le procedure ufficiali di recupero del servizio se è stata coinvolta un'app di messaggistica o un servizio di numeri di telefono e hai perso l'accesso.
6. Segnalalo su ReportFraud.ftc.gov e aspettati messaggi successivi che cercano di "aiutarti" a recuperare l'accesso. Trattali con la stessa cautela.

Tenere le iscrizioni a basso rischio fuori dalla tua casella di posta principale

Il tuo indirizzo email principale è la via di recupero per molti account importanti, quindi vale la pena condividerlo con attenzione. Usare un indirizzo separato per le iscrizioni a basso rischio può tenere i codici di iscrizione e i messaggi di marketing fuori dalla tua casella di posta principale. Non può impedire che qualcuno digiti male o usi in modo improprio il tuo vero indirizzo email, e non sostituisce una password robusta o l'autenticazione a più fattori.

Per newsletter, download occasionali o prove gratuite che potresti non mantenere, un indirizzo email temporaneo assegna a quei messaggi una casella di posta dedicata. Questo può ridurre il disordine nella tua casella principale, ma un codice inaspettato che arriva lì non rivela comunque chi lo ha richiesto né perché.

L'email temporanea ha limiti reali, e sono quelli che contano di più per la sicurezza. Tmailor è solo in ricezione, i messaggi scompaiono circa 24 ore dopo l'arrivo e un indirizzo può essere riaperto solo con il suo Access Token. Un Access Token perso non può essere recuperato, ed è per questo che il pagina di riutilizzo del Access Token è l'unico modo per tornare a un indirizzo che hai salvato.

I codici di alcuni servizi potrebbero non arrivare affatto agli indirizzi usa e getta, come spiega la guida su cosa funziona e fallisce con gli OTP per posta temporanea. Mantieni gli account bancari, l'email principale, l'operatore telefonico, il lavoro e i dispositivi su un indirizzo permanente che controlli; la panoramica su limiti e dei rischi della posta temporanea illustra dove una casella di posta usa e getta non dovrebbe essere usata.

Se il messaggio che hai ricevuto era un "codice di accesso temporaneo di ChatGPT", la guida ai codici di accesso di ChatGPT illustra i passaggi specifici di OpenAI. Quando sarai pronto a separare la tua prossima iscrizione a basso rischio, potrai creare un indirizzo mail temporaneo gratuito in pochi secondi.

La regola che vale in ogni caso

Qualunque cosa abbia causato il messaggio, non condividere né usare un codice che non hai richiesto. Controlla l'account indicato tramite la sua app o il suo sito ufficiale. Mettilo in sicurezza tempestivamente se i codici continuano ad arrivare, se noti attività sconosciute, se hai condiviso il codice o se hai approvato una richiesta che non hai avviato tu. Se il tuo problema è l'opposto, cioè un codice che hai richiesto e che non arriva mai, vedi perché i codici OTP non arrivano.