--- id: CP-564 slug: email-gruppo-copia-nascosta-ccn lang: it title: Inviare un'email di gruppo con Ccn description: "Scrivere a più destinatari esterni senza esporre i loro indirizzi: il riflesso Ccn, le trappole più comuni e cosa fare dopo un errore." canonical_url: https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn/ markdown_url: https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Inviare un'email di gruppo con Ccn», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-041 schema: G5 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn/ fr: https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci/ en: https://startbrain.io/cyberpedia/en/articles/bulk-email-bcc-hidden-recipients/ de: https://startbrain.io/cyberpedia/de/articles/sammelmail-bcc-verdeckte-empfaenger/ es: https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco/ nl: https://startbrain.io/cyberpedia/nl/articles/bulk-mail-bcc-verborgen-ontvangers/ sources: - "n": 1 title: "Violations de données personnelles : les règles à suivre" publisher: CNIL url: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre published: "2018-06-19" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: Que faire en cas de phishing ou hameçonnage ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" - "n": 5 title: Notifier une violation de données personnelles publisher: CNIL url: https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles published: "2018-05-24" accessed: "2026-11-03" - "n": 6 title: CHAPITRE IV - Responsable du traitement et sous-traitant publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 accessed: "2026-11-03" --- # Inviare un'email di gruppo con Ccn Prima di inviare un'email a trenta clienti, partner o partecipanti a un corso, la regola è controllare in quale campo è inserito ciascun destinatario. Una volta partito il messaggio, gli indirizzi sono già arrivati ai destinatari. Questa scheda descrive il gesto da compiere prima dell'invio: inserire i destinatari esterni nel campo Ccn (copia conoscenza nascosta). Descrive anche le trappole più frequenti, ciò che gli indirizzi esposti consentono a un truffatore e i passi da seguire dopo un errore. Le fonti citate qui non descrivono il funzionamento dei campi A, Cc e Ccn: la scheda indica quindi la condotta da tenere, senza entrare nei meccanismi del programma di posta. ## In 30 secondi - Dove succede: quando si invia un messaggio a più persone esterne all'azienda (clienti, candidati, partecipanti, partner). - Cosa vuole l'attaccante: usare le informazioni disponibili su di Lei per rendere più convincenti i suoi messaggi di phishing [3]. - Il riflesso: mettere i destinatari esterni in Ccn, poi rileggere i campi A, Cc e Ccn prima di fare clic su Invia. - Se è già successo: avvisare senza indugio il responsabile della protezione dei dati (DPO) o, in mancanza, il servizio informatico, che valuterà se notificare la CNIL [1][5]. ## Domande dirette ### Perché un elenco di indirizzi visibile è un problema? Il GDPR definisce la violazione dei dati come una violazione della sicurezza che comporta, in modo accidentale o illecito, tra l'altro la «divulgation non autorisée de données à caractère personnel» (divulgazione non autorizzata di dati personali) [1]. La CNIL precisa che si tratta di qualsiasi incidente di sicurezza, doloso o meno, intenzionale o meno [1]. Un invio in cui tutti i destinatari compaiono agli occhi degli altri può quindi rientrare in questa definizione, anche senza alcun attacco. La CNIL cita un caso analogo: un terzo informa il titolare del trattamento di aver ricevuto un'email contenente informazioni su un'altra persona e ne fornisce la prova. Il titolare deve allora essere considerato informato della violazione [1]. ### A cosa servono gli indirizzi raccolti? Le fonti citate qui descrivono l'uso che gli attaccanti fanno di informazioni di questo tipo. Il NCSC britannico scrive che i criminali usano le informazioni disponibili online per rendere più convincenti i loro messaggi di phishing [3]. MITRE descrive il «phishing for information»: messaggi inviati per ottenere informazioni da usare poi per colpire una vittima [2]. Secondo MITRE, il gruppo Kimsuky ha usato email di phishing mirate per raccogliere informazioni sulle proprie vittime, tra cui elenchi di contatti, allo scopo di individuare altri bersagli [2]. Il phishing consiste nel farsi passare per un terzo di fiducia per ottenere dati personali o bancari [4]. ### Chi è responsabile dell'errore? Gli obblighi del GDPR gravano sul titolare del trattamento, cioè sull'organizzazione, pubblica o privata e di qualsiasi dimensione [1]. Per un dipendente il punto utile è un altro: appena si accorge dell'errore, lo segnala internamente, perché è l'organizzazione a decidere come procedere. ## Come funziona Il testo del GDPR chiede al titolare del trattamento di notificare una violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone [6]. La CNIL aggiunge che questo termine decorre da quando il titolare ha un grado ragionevole di certezza che un incidente si sia verificato e abbia interessato dati personali [1]. Il livello di rischio determina gli obblighi [1]. Senza rischio, l'organizzazione documenta l'incidente internamente in un registro. In presenza di un rischio, documenta e notifica la CNIL. In presenza di un rischio elevato, documenta, notifica la CNIL e informa anche le persone interessate. Il rischio si valuta caso per caso, in base alla natura e alla sensibilità dei dati, alla facilità di identificare le persone e alle possibili conseguenze [1]. Un indirizzo isolato e un indirizzo che rivela l'appartenenza a un gruppo sensibile non si giudicano allo stesso modo, ma questa valutazione spetta all'organizzazione, non a chi ha inviato il messaggio. ## Cosa fa Lei Prima di inviare un messaggio a più persone esterne: - Inserisca i destinatari esterni nel campo Ccn, non in A o Cc. - Rilegga i tre campi prima dell'invio: nessun indirizzo esterno deve restare in A o Cc. - Se il messaggio viene inviato spesso (newsletter, convocazione), chieda al team informatico uno strumento di invio pensato per questo uso, invece di ripetere la procedura a mano. Dopo un errore: - Avvisi subito il DPO o il servizio informatico, indicando l'oggetto del messaggio, l'ora di invio e il numero di destinatari. - Non cerchi di risolvere la questione da solo scrivendo ai destinatari: l'organizzazione deve prima valutare il rischio. - Conservi il messaggio inviato. Per il phishing, Cybermalveillance.gouv.fr raccomanda di conservare le prove [4]. Lo stesso riflesso serve qui come base per documentare l'incidente. Dal lato dell'organizzazione, la CNIL chiede di documentare l'incidente: natura della violazione, categorie e numero approssimativo di persone interessate, probabili conseguenze, misure adottate o previste [5]. In caso di dubbio sulla necessità di informare le persone, la CNIL consiglia di notificare l'incidente alla CNIL stessa, che indicherà se occorre informarle [5]. La notifica avviene tramite un servizio online dedicato alle organizzazioni [5]. Se non tutte le informazioni sono disponibili entro il termine di 72 ore, a una notifica iniziale può seguire una notifica complementare [5]. ## Le trappole - Dimenticare il Ccn: mettere un solo destinatario in A, inserire gli altri in Cc per abitudine o incollare l'intero elenco nel campo sbagliato. La rilettura dei campi prima dell'invio è la difesa. - Inoltrare o rispondere a tutti: prima di inoltrare un messaggio o di rispondere a tutti, controlli quali indirizzi compaiono nei campi. - Credere che l'incidente sia senza conseguenze: gli indirizzi sono già presso terzi, e il NCSC ricorda che i truffatori sfruttano le informazioni disponibili per rendere i loro messaggi più credibili [3]. I destinatari possono quindi ricevere in seguito messaggi sospetti: l'organizzazione può consigliare loro di non rispondere ai messaggi dubbi e di segnalarli a Signal Spam [4]. Le fonti citate qui non riportano alcun caso datato di invio di gruppo con indirizzi visibili: la scheda non ne presenta quindi nessuno. ## Fonti 1. CNIL, «Violations de données personnelles : les règles à suivre», 19 giugno 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026) 3. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026) 4. Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?», 10 gennaio 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultato il 3 novembre 2026) 5. CNIL, «Notifier une violation de données personnelles», 24 maggio 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (consultato il 3 novembre 2026) 6. CNIL, «CHAPITRE IV - Responsable du traitement et sous-traitant». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.