In breve: se qualcuno in azienda clicca su un link di phishing, i primi quindici minuti contano più di tutto il resto. Servono quattro mosse: staccare il computer dalla rete, cambiare la password da un altro dispositivo, avvisare subito chi gestisce l’IT e conservare la mail senza cancellarla. Gestire il phishing in azienda non richiede esperti di sicurezza, ma una procedura breve, conosciuta da tutti prima che serva. Chi segnala in fretta fa risparmiare ore di lavoro a tutti.
Phishing in azienda: perché il clic succede anche alle persone attente
Le mail di phishing di oggi non assomigliano più ai messaggi pieni di errori di qualche anno fa. Arrivano con il logo giusto, il nome di un fornitore vero, una scadenza plausibile: una fattura da controllare, un documento condiviso, un avviso di password in scadenza. Colpiscono quando si è di fretta, e chi lavora in amministrazione o in segreteria ne riceve di più perché la sua mail è pubblica.
Per questo la prevenzione non può basarsi solo sull’attenzione. Funziona meglio un sistema a strati: filtri sulla posta, protezione dei computer, doppia verifica sugli accessi, e persone che sanno cosa fare se qualcosa sfugge. Cliccare non è una colpa. Nascondere di aver cliccato è l’unico vero problema, perché toglie tempo prezioso a chi deve intervenire.
Cosa fare nei primi 15 minuti dopo un clic sospetto
Una sequenza semplice, da stampare e tenere accanto alla scrivania:
- Scollegare il computer dalla rete: togliere il cavo o spegnere il Wi-Fi, senza spegnere la macchina. Così si ferma un eventuale collegamento verso l’esterno e si conservano le tracce per il controllo.
- Non inserire altri dati: se si è aperta una pagina che chiede le credenziali e le avete già digitate, considerate quell’account da mettere in sicurezza.
- Cambiare la password da un altro dispositivo: uno smartphone o un altro computer pulito. Se avete la doppia verifica, chiedete anche di terminare le sessioni aperte.
- Avvisare subito chi gestisce l’IT: a voce o al telefono, non solo con una mail dallo stesso computer. Dite cosa avete cliccato e a che ora.
- Conservare il messaggio: non cancellatelo e non inoltratelo ai colleghi. Serve per capire chi altro l’ha ricevuto e per bloccare mittente e indirizzi collegati.
Dopo la segnalazione, chi segue l’IT controlla gli accessi recenti all’account, verifica se sono state create regole di inoltro nascoste nella posta e cerca la stessa mail nelle altre caselle. Sono controlli rapidi, ma si fanno meglio se la segnalazione arriva entro pochi minuti.
Cosa verificare nelle ore successive
Se il clic ha riguardato solo un link, spesso bastano il cambio password e il controllo degli accessi. Se è stato aperto un allegato, o se la pagina era un falso accesso a Microsoft 365, vale la pena guardare più a fondo. I punti da verificare:
- Accessi insoliti alla posta: orari strani, Paesi che non c’entrano con l’azienda, dispositivi mai visti.
- Regole di inoltro nella casella: i truffatori spesso creano una regola che copia le mail verso un indirizzo esterno, per leggere le conversazioni con i clienti.
- Mail inviate dall’account: messaggi a nome vostro verso contatti e clienti, che richiedono una comunicazione di avviso.
- Segnalazioni dell’antivirus o dell’EDR: un allegato eseguito lascia tracce. La differenza tra antivirus ed EDR conta proprio in questi casi.
Se sono coinvolti dati personali di clienti o dipendenti, va valutato con il consulente se ricorrono gli estremi per la notifica al Garante, che il GDPR prevede entro 72 ore dalla conoscenza della violazione quando ne ricorrono i presupposti. Per questo conviene annotare subito orari e dettagli di quanto accaduto.
Per un caso più grave, quando il clic apre la strada a un blocco dei sistemi, abbiamo descritto cosa succede davvero in una PMI nelle prime 48 ore.
Come ridurre il danno prima che serva
Il livello di danno di un clic dipende quasi sempre da cosa c’è dietro. Un esempio: in una PMI torinese di trasporti con venticinque postazioni, un dipendente ha inserito la password su una falsa pagina Microsoft. Poiché la doppia verifica era attiva, l’accesso del truffatore è stato bloccato e il lavoro è proseguito dopo il cambio password. Senza quella seconda barriera, l’esito sarebbe stato una casella di posta in mani altrui.
Le misure che fanno più differenza sono poche. Prima di tutto la doppia verifica su posta e servizi cloud, spiegata nell’articolo su quanto vale una password rubata in Microsoft 365. Poi la protezione dei dispositivi e dei dati: la pagina su Microsoft 365 per le PMI mostra come si configurano filtri e accessi. Infine, la formazione breve e ripetuta: dieci minuti ogni tanto valgono più di un corso lungo una volta all’anno.
Il dato che vediamo più spesso nelle PMI piemontesi è che gli accessi sono ancora protetti dalla sola password. Nel nostro Configuratore, 6 aziende su 15 sono in questa situazione.
Tre domande per capire dove siete oggi
- Se domani una persona clicca su un link sospetto, sa a chi telefonare e cosa fare nei primi minuti?
- La doppia verifica è attiva per tutti gli account di posta, non solo per quelli della direzione?
- Qualcuno controlla periodicamente accessi insoliti e regole di inoltro nelle caselle?
Domande frequenti
Cosa si fa se un dipendente ha cliccato su un link di phishing?
Si scollega il computer dalla rete senza spegnerlo, si cambia la password da un altro dispositivo e si avvisa subito chi gestisce l’IT, a voce. Il messaggio va conservato, non cancellato. Più rapida è la segnalazione, più semplice è verificare accessi e posta e limitare ogni conseguenza.
Il phishing va segnalato alla Polizia Postale?
Nei casi in cui c’è stato un danno, per esempio un pagamento sbagliato o l’uso di credenziali, la denuncia alla Polizia Postale è opportuna e utile. Prima si mette in sicurezza l’account, poi si raccolgono mail, orari e schermate. Per i dati personali coinvolti va valutato anche l’obbligo di notifica al Garante.
La doppia verifica basta a proteggere dal phishing?
Riduce molto il rischio, perché una password rubata da sola non permette l’accesso. Non basta, però, contro le richieste di codici o approvazioni fatte sotto pressione. Funziona meglio insieme a filtri sulla posta, protezione dei dispositivi e a indicazioni chiare su cosa fare quando un messaggio sembra strano.
Quanto è protetta oggi la vostra azienda dal phishing?
Per saperlo basta una fotografia di accessi, dispositivi e backup. Il Configuratore IT di Seti richiede pochi minuti, è gratuito e anonimo, e indica da dove conviene partire.