È una funzione nata per collaboratori e assistenti, utile in molti casi. Ma se resta lì e nessuno la controlla più, può lasciare estranei dentro la posta elettronica anche dopo il cambio della password o l’attivazione della verifica in due passaggi. Il tema, rilanciato da Geekspin citando Make Use Of, riguarda soprattutto chi negli anni ha condiviso l’accesso alla propria inbox per lavoro, studio o gestione personale e poi si è dimenticato di quella voce nelle impostazioni.
La delega di Gmail è una funzione regolare, prevista da Google. Serve ad autorizzare un altro account Google a gestire la propria casella senza consegnargli la password. In pratica, un collega, un assistente o un collaboratore può aprire la posta dal proprio profilo e accedere alla inbox delegata. Una soluzione comoda negli uffici e nei gruppi che lavorano su indirizzi condivisi.
Il problema nasce proprio da questo meccanismo. Chi riceve la delega non entra con le credenziali del proprietario della casella, ma con il proprio account Google. Quindi cambiare la password di Gmail o attivare la 2FA non chiude quell’accesso: il permesso resta legato alla delega, non alla vecchia password. Sembra una sfumatura tecnica. In realtà, può fare molta differenza.
Google presenta la funzione come uno strumento per gestire la posta in modo condiviso, non come una falla di sicurezza. E infatti non lo è, di per sé. Il rischio sta nella memoria corta degli utenti: un accesso dato anni prima per un progetto, una sostituzione o una collaborazione può restare attivo in silenzio. Finché qualcuno non va a controllare.
Leggere, inviare, cancellare: cosa può fare chi ha ancora l’accesso
Un account autorizzato con accesso delegato Gmail può fare cose molto delicate: leggere conversazioni, inviare messaggi e cancellare email dalla casella del titolare. Non deve conoscere la password. Non deve superare la verifica in due passaggi del proprietario. L’accesso passa dall’account del delegato.
C’è poi un dettaglio meno evidente. Nelle impostazioni di Gmail si può scegliere se i messaggi aperti da un delegato debbano risultare letti oppure no. Se l’opzione è impostata in un certo modo, chi entra potrebbe leggere conversazioni senza lasciare il segnale più immediato per l’utente: il grassetto che sparisce dai messaggi non letti.
Il punto è che oggi Gmail non è solo posta. Per molti è un archivio personale: ricevute, documenti, prenotazioni, scambi di lavoro, comunicazioni bancarie, codici temporanei arrivati via email. Dentro una casella c’è spesso un pezzo intero della propria identità digitale.
Account personali, il punto cieco: pochi segnali e niente registro delle sessioni delegate
Per chi usa un account Gmail personale, la visibilità su questi accessi è ridotta. Secondo quanto riportato da Geekspin, la pagina “Ultima attività dell’account” non registra le sessioni avviate dai delegati. Questo rende più difficile capire se qualcuno abbia davvero aperto la casella o letto messaggi nel tempo.
Gli account Google Workspace, usati da aziende, scuole e organizzazioni, hanno di solito strumenti di controllo più completi. Un amministratore può verificare molte attività e ricostruire alcuni passaggi. Per l’utente privato, invece, il quadro è più povero: niente avviso chiaro, niente registro facile da consultare sulle sessioni delegate.
È qui il punto cieco. Una persona può superare il Controllo sicurezza Google, usare una password forte, aggiornare i dati di recupero e attivare tutte le protezioni consigliate. Ma può comunque avere un vecchio delegato ancora autorizzato. Non perché Gmail sia stato violato. Semplicemente perché quel permesso era stato dato. E poi dimenticato.
Il controllo da fare subito: dove trovare e togliere gli accessi delegati
La verifica va fatta da Gmail sul web, quindi da computer o comunque da browser desktop. Nell’app mobile questa voce non è disponibile nello stesso modo. Una volta aperta la casella, bisogna cliccare sull’icona dell’ingranaggio in alto a destra, scegliere “Visualizza tutte le impostazioni” e poi entrare nella scheda Account e importazione.
Dentro quella pagina bisogna cercare la sezione Concedi l’accesso al tuo account. Lì compare l’elenco degli eventuali delegati autorizzati. Se si trova un indirizzo sconosciuto, vecchio o non più necessario, si può rimuovere cliccando su “elimina” accanto all’account. Secondo le indicazioni di Gmail, la modifica ha effetto immediato.
Vale la pena controllare anche le opzioni subito sotto, comprese quelle che regolano come appaiono i messaggi inviati da un delegato e se le email aperte debbano risultare lette. È un controllo rapido, cinque minuti al massimo, ma può chiudere un accesso rimasto aperto per anni. La regola è semplice: se non serve più, meglio revocarlo. Anche quando si tratta di una persona conosciuta.
