Phishing aziendale: come riconoscerlo e proteggere la tua impresa

Il phishing aziendale è il tentativo di ingannare chi lavora in un'azienda, via email, SMS, telefono o messaggi, per fargli consegnare credenziali, dati o denaro: una finta pagina di accesso alla posta, una fattura con un IBAN cambiato, la richiesta urgente di un bonifico da parte di un finto titolare. Ci si difende con tre leve insieme: persone che sanno riconoscerlo, procedure di verifica per le operazioni delicate e protezioni tecniche che riducono quanti messaggi arrivano e quanto danno può fare un errore.

Nessuna delle tre basta da sola. Le aziende che cadono nella trappola di solito non sono distratte o ingenue: hanno semplicemente lasciato una porta aperta su uno dei tre fronti.

Quali sono le forme di phishing più comuni nelle imprese?

Le varianti cambiano di continuo, ma gli schemi di fondo sono pochi.

• Il falso accesso. Un'email che sembra arrivare dal servizio di posta, dal cloud aziendale o dalla banca: «la tua casella è piena», «documento condiviso con te», «accesso sospetto, verifica il tuo account». Il link porta a una pagina identica a quella vera, che raccoglie nome utente e password.
• La fattura con l'IBAN cambiato. È una delle truffe più dannose per le piccole imprese. Qualcuno entra nella casella di un fornitore (o crea un indirizzo quasi identico), osserva le conversazioni e al momento giusto manda la fattura vera con un dettaglio diverso: «abbiamo cambiato banca, ecco le nuove coordinate». Il bonifico parte, i soldi spariscono.
• Il finto titolare. Un messaggio che sembra arrivare dal titolare o da un dirigente, spesso quando è in viaggio: «sono in riunione, non posso telefonare, serve un bonifico urgente e riservato». Varia nelle forme, a volte con un finto avvocato o un finto commercialista.
• SMS e messaggi. Il pacco in giacenza, la multa da pagare, il conto bloccato. Arrivano sul telefono aziendale come su quello personale.
• La telefonata. Un finto tecnico, un finto operatore della banca, un finto fornitore che chiede di installare un programma di assistenza remota o di leggere un codice ricevuto via SMS.

Con l'intelligenza artificiale questi messaggi sono diventati più credibili: italiano corretto, toni convincenti, a volte perfino una voce simile a quella di una persona conosciuta. Gli errori di grammatica non sono più un segnale affidabile.

Come riconosco un'email di phishing?

Più che cercare il dettaglio rivelatore, conviene allenarsi a notare le situazioni a rischio. I segnali da tenere d'occhio:

1. Urgenza o paura: scadenze immediate, blocchi, sanzioni, «entro oggi».
2. Una richiesta insolita: cambiare coordinate bancarie, pagare un fornitore nuovo, comprare carte regalo, inserire la password per vedere un documento.
3. Un mittente quasi giusto: una lettera in più o in meno nel dominio, un dominio diverso dal solito, un nome visualizzato corretto con un indirizzo che non c'entra.
4. Un link che non porta dove dice: passando il mouse sopra (o tenendo premuto sul telefono) si vede l'indirizzo vero.
5. Allegati inattesi: archivi compressi, documenti che chiedono di «abilitare il contenuto», file con doppie estensioni.
6. Il canale sbagliato: la «banca» che ti chiede di dettarle un codice ricevuto via SMS, il titolare che scrive da un indirizzo personale mai usato prima.

La regola d'oro è semplice: se un messaggio chiede di fare qualcosa di delicato, la verifica si fa su un altro canale, con un contatto che conosci già, non con quello indicato nel messaggio.

Quali procedure proteggono davvero i pagamenti?

Qui le procedure contano più della tecnologia. Le regole che consiglio a ogni azienda, anche piccolissima:

• ogni cambio di IBAN di un fornitore si conferma per telefono, chiamando il numero già presente in anagrafica, mai quello scritto nella mail che comunica il cambio;
• i bonifici sopra una certa soglia richiedono due persone: chi prepara e chi approva;
• nessun pagamento urgente «riservato» viene eseguito senza una conferma a voce del richiedente;
• le anagrafiche dei fornitori si modificano solo seguendo una procedura, e le modifiche restano registrate.

Se usi un gestionale per fornitori e pagamenti, molte di queste regole si possono incorporare nel software: blocco dei pagamenti verso coordinate appena modificate, doppia approvazione, avviso automatico a chi gestisce la contabilità. È il tipo di accorgimento che inserisco quando costruisco strumenti interni per l'amministrazione o automatizzo i flussi con l'automazione dei processi.

Quali protezioni tecniche servono?

Le persone sbagliano, è normale. Le protezioni tecniche servono a ridurre i messaggi che arrivano e a limitare i danni quando qualcuno clicca.

• Autenticazione a due fattori su tutte le caselle email e sugli strumenti cloud. Anche se la password viene rubata, da sola non basta per entrare. I metodi più resistenti al phishing sono le passkey e le chiavi di sicurezza fisiche.
• SPF, DKIM e DMARC configurati sul dominio aziendale, così è più difficile per un truffatore spedire email che sembrano partire da te. Li spiego nella guida a SPF, DKIM e DMARC.
• Filtri antispam e antimalware del servizio di posta attivi e configurati, con l'analisi dei link e degli allegati.
• Avviso per le email esterne: una fascia che segnala i messaggi arrivati da fuori l'azienda, utile contro i finti colleghi.
• Aggiornamenti di computer, telefoni e browser.
• Permessi minimi: chi non deve installare programmi non deve poterlo fare.

Cosa faccio se ho già cliccato o inserito la password?

Muoversi in fretta riduce molto i danni. In ordine:

1. Cambia subito la password dell'account coinvolto, da un dispositivo sicuro, e quella di tutti i servizi dove era stata riutilizzata.
2. Chiudi tutte le sessioni attive e controlla che il doppio fattore sia attivo e collegato al tuo telefono, non a uno aggiunto dall'attaccante.
3. Controlla le regole della casella: un trucco classico è creare una regola che inoltra o nasconde certe email, per continuare a spiare dopo il cambio password.
4. Se è partito un bonifico, chiama subito la banca e chiedi il richiamo dell'operazione: le prime ore sono decisive.
5. Avvisa colleghi e contatti se dal tuo account sono partiti messaggi strani.
6. Denuncia: la Polizia Postale accoglie segnalazioni anche attraverso il Commissariato di PS online.
7. Valuta gli obblighi privacy: se l'attaccante ha potuto leggere dati personali di clienti o dipendenti, potrebbe trattarsi di una violazione da notificare al Garante entro 72 ore.

Non c'è niente di cui vergognarsi. Le aziende che se la cavano meglio sono quelle dove chi sbaglia lo dice subito, senza paura di essere rimproverato.

Come si forma il personale senza annoiarlo?

La formazione funziona quando è breve, frequente e concreta. Una lezione di due ore all'anno si dimentica; cinque minuti al mese su un caso reale restano. Alcune idee che funzionano nelle piccole imprese:

• mostrare esempi veri arrivati in azienda (con i dati oscurati), commentandoli insieme;
• stabilire un modo semplice per segnalare un messaggio sospetto, ad esempio inoltrarlo a un indirizzo interno;
• ringraziare chi segnala, anche quando era un falso allarme;
• ripassare le procedure sui pagamenti ogni volta che entra una persona nuova in amministrazione.

Il phishing riguarda anche il sito aziendale?

Sì, in due modi. Il primo: un sito violato viene spesso usato per ospitare pagine di phishing, cioè finti accessi a banche o servizi di posta caricati in una cartella nascosta. Il tuo dominio, con la sua buona reputazione, diventa il veicolo della truffa, e prima o poi finisce nelle liste nere dei browser. Il secondo: i moduli del sito possono essere usati per mandare messaggi a terzi con il tuo nome, se non sono protetti. Aggiornamenti, controllo dei file e moduli ben costruiti riducono entrambi i rischi.

Ne parliamo?

Se vuoi capire quanto è esposta la tua azienda, a partire da posta, accessi e procedure di pagamento, scrivimi dalla pagina contatti. Posso affiancarti con una consulenza tecnica per mettere in sicurezza dominio, email e accessi, e con la manutenzione dei sistemi che gestisco per te. Per approfondire gli accessi, leggi anche la guida all'autenticazione a due fattori.

Fonti

• Polizia Postale, Commissariato di PS online
• Garante privacy, Violazioni di dati personali (data breach)

Crediti delle immagini

• Copertina: foto di Kasia Drost su Unsplash