Comunicazioni sospette:quando clienti o fornitori ricevono messaggi insoliti apparentemente inviati dalla propria azienda, è importante agire con ordine.
La comunicazione potrebbe essere falsa, ma potrebbe anche indicare che una casella e-mail è stata compromessa.
In altri casi, l’attaccante può limitarsi a imitare il dominio aziendale o a utilizzare informazioni già pubbliche.
La prima reazione deve quindi essere prudente e documentata.
Cancellare subito i messaggi o rispondere impulsivamente può rendere più difficile ricostruire l’accaduto.

Una compromissione si verifica quando un soggetto non autorizzato accede a una casella, a un account o a informazioni aziendali.
L’accesso può consentire di leggere conversazioni, copiare contatti o inserirsi in rapporti già esistenti.
In alcuni casi vengono create regole automatiche per inoltrare o archiviare i messaggi senza che il titolare se ne accorga.
In altri casi l’attaccante utilizza un dominio molto simile a quello autentico.

Queste tecniche vengono spesso associate alle frodi di tipo Business Email Compromise.
L’Agenzia per la cybersicurezza nazionale ha segnalato campagne in cui gli attaccanti si inseriscono in conversazioni reali tra aziende e clienti.
Una richiesta di pagamento o di modifica dell’IBAN può apparire credibile proprio perché inserita in una comunicazione già avviata.
Per questo è necessario verificare il contenuto insieme alla provenienza tecnica del messaggio.
Riferimento ACN sulle tecniche di Business Email Compromise.

Alcuni segnali possono far pensare a un’anomalia.
Tra questi rientrano una variazione improvvisa delle coordinate bancarie, una richiesta urgente o un tono insolito.
Anche un indirizzo quasi identico a quello abituale può essere significativo.
Una sola lettera diversa nel dominio può indicare un tentativo di imitazione.

Occorre verificare anche la firma, la struttura del messaggio e la presenza di allegati inattesi.
Eventuali errori linguistici non dimostrano da soli l’origine fraudolenta della comunicazione.
Al contrario, un messaggio scritto correttamente non è automaticamente autentico.
La valutazione deve considerare l’insieme degli elementi disponibili.

Prima di procedere con interventi tecnici, è opportuno conservare il messaggio sospetto.
La conservazione dovrebbe comprendere il testo completo, gli allegati e, quando possibile, gli header tecnici.
È utile annotare la data e l’ora di ricezione, il destinatario e il dispositivo utilizzato.
Anche le schermate possono essere utili, ma non dovrebbero sostituire il file originale della comunicazione.

Se il messaggio contiene un link, è preferibile non aprirlo dal dispositivo abituale.
Non bisogna inserire credenziali, codici OTP o dati bancari.
Il collegamento può essere analizzato da un tecnico o da un professionista incaricato.
Nel frattempo, l’azienda dovrebbe avvisare rapidamente le persone potenzialmente coinvolte.

Una cronologia aiuta a capire quando potrebbe essere iniziata l’anomalia.
Il primo passaggio consiste nel raccogliere le segnalazioni ricevute da clienti e fornitori.
Per ciascuna segnalazione si possono indicare data, ora, mittente, destinatario e oggetto del messaggio.
È utile riportare anche il tipo di richiesta contenuta nella comunicazione.

Successivamente si confrontano i messaggi sospetti con le conversazioni autentiche.
Bisogna verificare se il messaggio appartiene davvero alla stessa catena di e-mail.
Occorre controllare se sono cambiati il dominio, la firma, il numero di telefono o le coordinate di pagamento.
La cronologia dovrebbe distinguere i fatti verificati dalle ipotesi ancora da confermare.

La verifica tecnica dovrebbe essere affidata al responsabile IT o a un professionista specializzato.
Tra gli elementi da controllare rientrano gli accessi recenti, i dispositivi collegati e le modifiche alle impostazioni.
Bisogna verificare la presenza di regole di inoltro automatico non autorizzate.
È inoltre utile controllare eventuali accessi da località o orari incompatibili con l’attività dell’utente.

L’Agenzia per la cybersicurezza nazionale raccomanda, in situazioni di questo tipo, la rotazione delle credenziali e l’adozione dell’autenticazione a più fattori.
La modifica della password dovrebbe avvenire da un dispositivo considerato sicuro.
È opportuno controllare anche le sessioni attive e revocare quelle non riconosciute.
Queste operazioni devono essere documentate con data, ora e soggetto che le ha eseguite.

Quando esiste un rischio concreto, clienti e fornitori devono ricevere una comunicazione chiara.
È preferibile utilizzare un canale già noto e verificato.
Per esempio, una richiesta di variazione dell’IBAN dovrebbe essere confermata telefonicamente su un numero già presente nei documenti precedenti.
Non è prudente usare il numero indicato proprio nel messaggio sospetto.

La comunicazione dovrebbe spiegare che sono in corso verifiche.
Non è necessario attribuire immediatamente la responsabilità a una persona o a un sistema.
È sufficiente chiedere di non eseguire pagamenti o modifiche sulla base delle comunicazioni contestate.
Bisogna indicare anche un recapito sicuro per le successive conferme.

Le evidenze devono essere conservate in modo integro e ordinato.
E-mail, allegati, header, log, schermate e comunicazioni dei destinatari dovrebbero avere un nome identificativo.
È utile creare una cartella con sottocartelle organizzate per data o per soggetto coinvolto.
Ogni file dovrebbe essere accompagnato da una breve descrizione.

Quando possibile, bisogna conservare la copia originale senza modificarla.
Le analisi e le annotazioni dovrebbero essere realizzate su copie di lavoro.
La relazione finale dovrebbe indicare chi ha ricevuto il materiale e quando.
Questa accortezza aiuta a ricostruire la sequenza delle attività svolte.

Se la compromissione ha comportato accesso, perdita o divulgazione di dati personali, può configurarsi una violazione dei dati personali.
Il Garante definisce data breach una violazione che può incidere sulla riservatezza, sull’integrità o sulla disponibilità dei dati.
Il titolare deve valutare il rischio e documentare l’evento.
Quando ricorrono i presupposti, la notifica al Garante deve essere effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione.

La valutazione non dovrebbe essere svolta sulla base di una semplice impressione.
È opportuno coinvolgere il responsabile del trattamento, il consulente privacy o il professionista competente.
Devono essere considerate la quantità e la natura dei dati, i destinatari e le possibili conseguenze.
Per i riferimenti ufficiali si può consultare la pagina delGarante Privacy sul data breach.

Una ricerca documentata può essere utile quando occorre ricostruire chi ha ricevuto i messaggi o individuare il collegamento tra più comunicazioni.
Può servire anche a verificare l’esistenza di un dominio sosia, di un recapito utilizzato nelle richieste fraudolente o di una sequenza temporale.
La ricerca deve essere svolta entro una finalità precisa.
Non deve trasformarsi in una raccolta indiscriminata di informazioni personali.

Una relazione professionale dovrebbe indicare fonti, date, modalità di acquisizione e limiti della verifica.
Dovrebbe distinguere l’identità tecnica di un account dall’identità certa della persona che lo ha utilizzato.
Un indirizzo e-mail o un dominio possono fornire un indizio, ma non dimostrano automaticamente chi abbia agito.
Le conclusioni devono quindi essere proporzionate agli elementi effettivamente disponibili.

La possibile compromissione delle comunicazioni richiede velocità, ma anche metodo.
Conservare i messaggi, ricostruire la cronologia e verificare i dati tecnici sono passaggi essenziali.
È altrettanto importante proteggere clienti e fornitori da ulteriori richieste fraudolente.
Ogni comunicazione dovrebbe essere verificata attraverso canali indipendenti e già conosciuti.

Una ricostruzione ben documentata consente di separare gli elementi certi dalle ipotesi.
Può aiutare il tecnico, il consulente privacy e il legale a valutare le azioni successive.
In presenza di un possibile reato o di una perdita economica, è opportuno rivolgersi tempestivamente alle autorità competenti.
La gestione corretta delle evidenze può diventare determinante per comprendere l’origine dell’anomalia e tutelare l’azienda.