In sintesi
- Il phishing resta la via d'ingresso più comune degli attacchi alle aziende: punta su urgenza, autorità e distrazione.
- Prima di cliccare: controllare il mittente reale, passare il mouse sui link e diffidare di richieste di credenziali o pagamenti.
- Se si è cliccato o si sono inserite le credenziali: cambiare subito la password, avvisare l'IT e non cancellare l'email.
- Se si è disposto un pagamento: contattare immediatamente la banca e sporgere denuncia alla Polizia Postale.
Come riconoscere un'email di phishing
- Mittente: il nome visualizzato può essere quello di un collega o di un fornitore, ma l'indirizzo reale è diverso o ha piccole variazioni nel dominio.
- Urgenza o paura: "account bloccato", "pagamento in scadenza oggi", "ultimo avviso": servono a far agire senza pensare.
- Link: passando il mouse sopra il link compare un indirizzo che non corrisponde al sito atteso.
- Allegati inattesi: fatture, documenti condivisi o archivi compressi che nessuno aspettava.
- Richieste insolite: inserire la password, approvare un accesso, cambiare l'IBAN di un fornitore, acquistare buoni regalo.
Le varianti più diffuse in azienda
Falsa pagina di accesso a Microsoft 365
Un'email di "documento condiviso" o "casella piena" porta a una pagina identica a quella di Microsoft che ruba utente e password. Le varianti più evolute intercettano anche il codice MFA, per questo servono metodi di autenticazione resistenti al phishing come le passkey.
Cambio IBAN e falso fornitore
Un'email che sembra arrivare da un fornitore, a volte da una casella davvero compromessa, comunica nuove coordinate bancarie. Ogni variazione di IBAN va verificata con una telefonata a un numero già noto, mai a quello indicato nell'email.
QR code e SMS
Il link può essere nascosto in un QR code in un allegato o arrivare via SMS o WhatsApp: valgono le stesse regole, con più attenzione perché sullo smartphone l'indirizzo è meno visibile.
Richieste MFA ripetute
Se arrivano notifiche di approvazione dell'accesso non richieste, qualcuno conosce già la password: non approvarle e avvisare subito l'IT.
Cosa fare se si è cliccato
- Non farsi prendere dal panico, ma agire subito: i primi minuti contano.
- Se si sono inserite le credenziali, cambiare immediatamente la password da un dispositivo sicuro, e avvisare l'IT perché revochi le sessioni attive e controlli l'MFA.
- Se si è aperto un allegato, scollegare il computer dalla rete e chiamare l'IT senza spegnerlo.
- Non cancellare l'email: serve per analizzare l'attacco e bloccare lo stesso messaggio agli altri colleghi.
- Se si è disposto un pagamento, contattare subito la banca per tentare il richiamo del bonifico e sporgere denuncia alla Polizia Postale.
- Controllare la casella: regole di inoltro o messaggi inviati che non si riconoscono sono segni di compromissione.
Gli obblighi da non dimenticare
Se l'attacco ha coinvolto dati personali, l'azienda deve valutare la notifica al Garante privacy entro 72 ore, come prevede il GDPR. Per le aziende soggette alla NIS2 un incidente significativo va comunicato al CSIRT Italia con una pre-notifica entro 24 ore. Per questo l'IT va avvisato subito: serve tempo per capire cosa è successo.
Come prevenire
- Formazione breve e periodica, con simulazioni di phishing realistiche.
- Autenticazione a più fattori su tutti gli account, meglio se resistente al phishing.
- Filtri email avanzati e record SPF, DKIM e DMARC sul dominio.
- Procedura scritta per verificare cambi di IBAN e pagamenti urgenti.
- Un canale semplice per segnalare all'IT le email sospette.
Approfondisci nelle guide Microsoft 365 sicuro e Checklist cybersecurity per PMI.
Come lavora ALAconnect
ALAconnect protegge la posta aziendale con filtri e configurazioni sicure, organizza formazione e simulazioni di phishing per il personale e interviene in caso di incidente per contenere l'attacco e ricostruire cosa è successo. Scopri il servizio Cybersecurity oppure contattaci.