Le password degli utenti aziendali finiscono in mano ad altri con una regolarità noiosa: un sito esterno che subisce una violazione e dove qualcuno aveva riusato la stessa password, un finto avviso di posta piena, un allegato che chiede di autenticarsi di nuovo.
La domanda interessante non è come evitarlo del tutto — non si può. È: cosa può fare concretamente chi entra, e quanto tempo passa prima che qualcuno se ne accorga?
Cosa trova chi entra in una casella aziendale
Un account Microsoft 365 non è «la posta». È un’identità che apre parecchie porte, e chi la ottiene lo sa meglio di chi la usa tutti i giorni.
- Lo storico completo della corrispondenza. Anni di scambi con clienti e fornitori: chi paga come, chi decide cosa, quali importi sono normali. È il materiale che rende credibile tutto il resto.
- I file su OneDrive e SharePoint. Con lo stesso accesso, spesso senza ulteriori barriere.
- La rubrica interna. Nomi, ruoli, gerarchie. Utile per capire a chi scrivere fingendosi chi.
- La possibilità di scrivere a nome vostro. Dal vostro indirizzo vero, dentro conversazioni già avviate. Nessun filtro antispam ferma un messaggio del genere: è legittimo.
Il danno tipico non è il riscatto: è il bonifico
Lo schema più redditizio e più diffuso non prevede cifratura né richieste plateali. Chi è dentro resta zitto e legge, per settimane. Aspetta che passi una fattura di importo consistente. Poi interviene sulla conversazione già in corso e comunica, con tono normale e nel contesto giusto, che le coordinate bancarie sono cambiate.
Non c’è niente di tecnicamente sospetto in quel messaggio: parte da un indirizzo autentico, risponde a un thread reale, usa il tono di sempre. Viene intercettato solo da chi ha l’abitudine di verificare per telefono le variazioni di IBAN.
Spesso vengono anche create regole nella casella che spostano automaticamente in una cartella nascosta le risposte che potrebbero far scoprire la cosa. È il motivo per cui il titolare del conto non si accorge di nulla per settimane: le email di allarme le legge qualcun altro.
Perché ve ne accorgete tardi
Un accesso non autorizzato con credenziali valide non fa rumore. Non c’è malware da rilevare, non c’è file infetto, l’antivirus non ha niente da segnalare. Dal punto di vista del sistema è un utente che si autentica correttamente.
I segnali esistono ma stanno nei registri di accesso, che nessuno guarda: connessioni da paesi in cui non avete nessuno, due accessi a distanza di minuti da luoghi incompatibili, regole di posta create di notte, tentativi ripetuti su molti account.
La contromisura che vale più di tutte le altre
L’autenticazione a più fattori rende la password, da sola, insufficiente. Chi la ruba si trova davanti a una richiesta di conferma che non può soddisfare. È la singola misura con il miglior rapporto fra efficacia e costo che esista in questo ambito: neutralizza la stragrande maggioranza degli accessi basati su credenziali rubate, e il costo è qualche ora di configurazione più il fastidio iniziale degli utenti.
Tre precisazioni che nella pratica fanno la differenza:
- Va attivata su tutti, non solo sugli amministratori. Il conto lo pagate quando entrano dall’account dell’amministrativa che gestisce i pagamenti, non da quello del tecnico.
- Meglio l’app di notifica che l’SMS. L’SMS è comunque molto meglio di niente, ma è il metodo più aggirabile fra quelli disponibili.
- Attenzione all’assuefazione. Se un utente riceve richieste di conferma di continuo, prima o poi ne approva una che non aveva fatto lui. La configurazione corretta chiede all’utente di digitare un numero che vede a schermo, invece di premere semplicemente «approva».
Le altre cinque cose da fare, in ordine
| Intervento | Cosa evita | Impegno |
|---|---|---|
| Bloccare i protocolli di posta obsoleti | Sono la scorciatoia che aggira l’MFA | Basso |
| Avviso automatico sulle regole di inoltro create | L’occultamento delle risposte | Basso |
| Politiche di accesso per luogo e dispositivo | Connessioni da contesti impossibili | Medio |
| Backup dedicato di posta e file | Cancellazioni, cifratura, uscite di personale | Medio |
| Regola interna: variazione IBAN verificata a voce | Il danno economico vero | Nullo |
L’ultima riga non è tecnica e vale quanto tutte le altre messe insieme. Una telefonata a un numero già noto — non a quello scritto nell’email — chiude il vettore di attacco più costoso di questa categoria.
Come verificare in un pomeriggio come state messi
Non serve un progetto. Servono quattro risposte che chiunque amministri il vostro tenant può recuperare in poco tempo:
- Quanti account hanno l’MFA attiva, sul totale?
- I protocolli di autenticazione obsoleti sono disabilitati?
- Esiste un avviso quando qualcuno crea una regola di inoltro verso l’esterno?
- Posta e file sono inclusi in un backup che non dipende da Microsoft?
Se la prima risposta non è «tutti», avete la vostra priorità. Se non lo è la quarta, avete la seconda — e sul perché conta abbiamo scritto un pezzo apposta sugli errori che si scoprono al ripristino.
La pagina su Microsoft 365 spiega come impostiamo identità e accessi quando la gestione è nostra; quella su cyber security copre il resto del perimetro. Se preferite partire da una verifica dello stato attuale, l’assessment è gratuito e dura 90 minuti.