Inviare un'email di gruppo con Ccn
Scrivere a più destinatari esterni senza esporre i loro indirizzi: il riflesso Ccn, le trappole più comuni e cosa fare dopo un errore.
In 30 secondi
- Dove succede
- Quando si invia un messaggio a più persone esterne all'azienda (clienti, candidati, partecipanti, partner).
- Cosa vuole l'attaccante
- Usare le informazioni disponibili su di Lei per rendere più convincenti i suoi messaggi di phishing3.
- Il riflesso
- Mettere i destinatari esterni in Ccn, poi rileggere i campi A, Cc e Ccn prima di fare clic su Invia.
Di cosa si tratta
Prima di inviare un'email a trenta clienti, partner o partecipanti a un corso, la regola è controllare in quale campo è inserito ciascun destinatario. Una volta partito il messaggio, gli indirizzi sono già arrivati ai destinatari.
Questa scheda descrive il gesto da compiere prima dell'invio: inserire i destinatari esterni nel campo Ccn (copia conoscenza nascosta). Descrive anche le trappole più frequenti, ciò che gli indirizzi esposti consentono a un truffatore e i passi da seguire dopo un errore. Le fonti citate qui non descrivono il funzionamento dei campi A, Cc e Ccn: la scheda indica quindi la condotta da tenere, senza entrare nei meccanismi del programma di posta.
Domande dirette
Perché un elenco di indirizzi visibile è un problema?
Il GDPR definisce la violazione dei dati come una violazione della sicurezza che comporta, in modo accidentale o illecito, tra l'altro la «divulgation non autorisée de données à caractère personnel» (divulgazione non autorizzata di dati personali)1. La CNIL precisa che si tratta di qualsiasi incidente di sicurezza, doloso o meno, intenzionale o meno1. Un invio in cui tutti i destinatari compaiono agli occhi degli altri può quindi rientrare in questa definizione, anche senza alcun attacco.
La CNIL cita un caso analogo: un terzo informa il titolare del trattamento di aver ricevuto un'email contenente informazioni su un'altra persona e ne fornisce la prova. Il titolare deve allora essere considerato informato della violazione1.
A cosa servono gli indirizzi raccolti?
Le fonti citate qui descrivono l'uso che gli attaccanti fanno di informazioni di questo tipo. Il NCSC britannico scrive che i criminali usano le informazioni disponibili online per rendere più convincenti i loro messaggi di phishing3. MITRE descrive il «phishing for information»: messaggi inviati per ottenere informazioni da usare poi per colpire una vittima2. Secondo MITRE, il gruppo Kimsuky ha usato email di phishing mirate per raccogliere informazioni sulle proprie vittime, tra cui elenchi di contatti, allo scopo di individuare altri bersagli2.
Il phishing consiste nel farsi passare per un terzo di fiducia per ottenere dati personali o bancari4.
Chi è responsabile dell'errore?
Gli obblighi del GDPR gravano sul titolare del trattamento, cioè sull'organizzazione, pubblica o privata e di qualsiasi dimensione1. Per un dipendente il punto utile è un altro: appena si accorge dell'errore, lo segnala internamente, perché è l'organizzazione a decidere come procedere.
1Come funziona1 min
Il testo del GDPR chiede al titolare del trattamento di notificare una violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone6. La CNIL aggiunge che questo termine decorre da quando il titolare ha un grado ragionevole di certezza che un incidente si sia verificato e abbia interessato dati personali1.
Il livello di rischio determina gli obblighi1. Senza rischio, l'organizzazione documenta l'incidente internamente in un registro. In presenza di un rischio, documenta e notifica la CNIL. In presenza di un rischio elevato, documenta, notifica la CNIL e informa anche le persone interessate. Il rischio si valuta caso per caso, in base alla natura e alla sensibilità dei dati, alla facilità di identificare le persone e alle possibili conseguenze1. Un indirizzo isolato e un indirizzo che rivela l'appartenenza a un gruppo sensibile non si giudicano allo stesso modo, ma questa valutazione spetta all'organizzazione, non a chi ha inviato il messaggio.
2Cosa fa Lei1 min
Prima di inviare un messaggio a più persone esterne:
- Inserisca i destinatari esterni nel campo Ccn, non in A o Cc.
- Rilegga i tre campi prima dell'invio: nessun indirizzo esterno deve restare in A o Cc.
- Se il messaggio viene inviato spesso (newsletter, convocazione), chieda al team informatico uno strumento di invio pensato per questo uso, invece di ripetere la procedura a mano.
Dopo un errore:
- Avvisi subito il DPO o il servizio informatico, indicando l'oggetto del messaggio, l'ora di invio e il numero di destinatari.
- Non cerchi di risolvere la questione da solo scrivendo ai destinatari: l'organizzazione deve prima valutare il rischio.
- Conservi il messaggio inviato. Per il phishing, Cybermalveillance.gouv.fr raccomanda di conservare le prove4. Lo stesso riflesso serve qui come base per documentare l'incidente.
Dal lato dell'organizzazione, la CNIL chiede di documentare l'incidente: natura della violazione, categorie e numero approssimativo di persone interessate, probabili conseguenze, misure adottate o previste5. In caso di dubbio sulla necessità di informare le persone, la CNIL consiglia di notificare l'incidente alla CNIL stessa, che indicherà se occorre informarle5. La notifica avviene tramite un servizio online dedicato alle organizzazioni5. Se non tutte le informazioni sono disponibili entro il termine di 72 ore, a una notifica iniziale può seguire una notifica complementare5.
3Le trappole1 min
- Dimenticare il Ccn: mettere un solo destinatario in A, inserire gli altri in Cc per abitudine o incollare l'intero elenco nel campo sbagliato. La rilettura dei campi prima dell'invio è la difesa.
- Inoltrare o rispondere a tutti: prima di inoltrare un messaggio o di rispondere a tutti, controlli quali indirizzi compaiono nei campi.
- Credere che l'incidente sia senza conseguenze: gli indirizzi sono già presso terzi, e il NCSC ricorda che i truffatori sfruttano le informazioni disponibili per rendere i loro messaggi più credibili3. I destinatari possono quindi ricevere in seguito messaggi sospetti: l'organizzazione può consigliare loro di non rispondere ai messaggi dubbi e di segnalarli a Signal Spam4.
Le fonti citate qui non riportano alcun caso datato di invio di gruppo con indirizzi visibili: la scheda non ne presenta quindi nessuno.
Scheda
- Identificativo
- CP-564
- Ala
- 5. Vita in ufficio e riflessi
- Competenza Brain
- Smascherare l'ingegneria sociale (outsmart_social_engineering)
- Riflesso Brain
- cr-041
- Schema
- G5 · Albero decisionale del riflesso
- Lingue
- de, en, es, fr, it
- Fonti
- 6 fonti verificate il 3 novembre 2026
Fonti6 fonti
- CNIL, «Violations de données personnelles : les règles à suivre», 19 giugno 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026)
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?», 10 gennaio 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultato il 3 novembre 2026)
- CNIL, «Notifier une violation de données personnelles», 24 maggio 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (consultato il 3 novembre 2026)
- CNIL, «CHAPITRE IV - Responsable du traitement et sous-traitant». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Inviare un'email di gruppo con Ccn», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp564_it_2026,
author = {Brain},
title = {Inviare un'email di gruppo con Ccn},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn/},
note = {CC BY 4.0}
}