La truffa più redditizia contro una PMI non richiede di violare niente: basta una email credibile che chiede di cambiare un IBAN.
La posta elettronica è il punto da cui passa la maggior parte degli attacchi che colpiscono le aziende, e non perché sia tecnicamente debole. È perché è l'unico sistema aziendale che chiunque, dall'esterno, può usare per rivolgersi direttamente a una persona che ha accesso ai conti, ai dati o ai fornitori.
Il filtro fa la sua parte e ferma il grosso. Ma i messaggi scritti bene arrivano, e a quel punto l'ultimo controllo è la persona che legge. Per questo la protezione della posta non è solo una questione di tecnologia.
Un fornitore che conoscete scrive che ha cambiato banca e allega le nuove coordinate. Il messaggio è credibile perché chi lo ha scritto ha letto la corrispondenza vera, spesso da una casella compromessa.
Una richiesta urgente e riservata che sembra arrivare dal titolare o dalla direzione, spesso da un dominio che differisce per una lettera sola.
Un messaggio che sembra della banca, del corriere o di un servizio che usate tutti i giorni, costruito per farvi inserire delle credenziali su una pagina che non è la loro.
Analisi di ogni messaggio prima che arrivi nella casella, con blocco o quarantena di quelli riconosciuti come pericolosi.
Chi legge vede un avviso in cima alla email che segnala se il mittente è esterno e se c'è qualcosa di anomalo. È la difesa che funziona anche quando il filtro lascia passare.
SPF, DKIM e DMARC dicono al mondo chi può scrivere a nome vostro. Configurati male, chiunque può fingersi voi verso i vostri clienti.
I domini quasi identici al vostro vengono registrati settimane prima di essere usati. Accorgersene in anticipo cambia l'esito.
Nessun filtro può decidere al posto vostro se un fornitore ha davvero cambiato banca. Quella verifica è organizzativa, ed è l'unica cosa che ferma la truffa più costosa del settore.
La regola è una sola e si scrive in una riga: una variazione di coordinate bancarie non si accetta mai per email, si verifica al telefono con un numero già in vostro possesso, mai con quello indicato nel messaggio. Chi risponde deve essere una persona conosciuta, non un centralino generico.
Sembra banale finché non si guarda quante aziende non ce l'hanno scritta da nessuna parte. La mettiamo nero su bianco insieme all'amministrazione, e la ripetiamo nella formazione, perché il giorno in cui serve la deve ricordare chi sta pagando, non chi ha configurato il filtro.
Una variazione di IBAN che arriva via email non è mai una variazione di IBAN: è una richiesta di variazione, e va verificata su un canale diverso prima di toccare qualunque cosa.
I messaggi che fanno più danno sono quelli scritti bene, spesso partiti da una casella legittima di un fornitore vero che è stata compromessa. Non contengono allegati, non contengono collegamenti sospetti, e sono coerenti con una conversazione già in corso. Nessun sistema li riconosce con certezza, perché tecnicamente non hanno niente di sbagliato.
È il motivo per cui mettiamo insieme tre livelli invece di uno: il filtro che ferma il volume, l'avviso dentro il messaggio che mette in guardia chi legge, e la formazione che spiega cosa guardare. E per cui misuriamo il risultato non sui messaggi bloccati ma su quanti dipendenti segnalano spontaneamente quelli sospetti.
La protezione inclusa nelle piattaforme di posta ferma spam e minacce note, e lo fa bene. Quello che intercetta con più difficoltà sono gli attacchi mirati alla vostra azienda: il dominio sosia registrato la settimana prima, il messaggio che continua una conversazione vera, la richiesta che arriva dalla casella compromessa di un fornitore.
Se il vostro rischio principale è lo spam, quello che avete basta. Se avete pagamenti da autorizzare, fornitori abituali e persone che possono disporre bonifici, il livello aggiuntivo si ripaga al primo tentativo fermato.
Finisce in quarantena, non nel nulla. La quarantena è consultabile e il messaggio si rilascia, e ogni rilascio insegna qualcosa al sistema per le volte successive.
È una domanda giusta da fare, perché un filtro troppo aggressivo fa danni quanto uno troppo permissivo: si perde un ordine e nessuno se ne accorge. Nelle prime settimane la taratura si segue da vicino proprio per questo.
Nei primi giorni si notano, poi diventano parte del paesaggio, un po' come la cintura di sicurezza. Quello che resta è l'effetto utile: quando l'avviso cambia colore, chi legge se ne accorge.
Il rischio vero è l'opposto, cioè l'assuefazione: se tutto è segnalato come sospetto, nessuno guarda più niente. Per questo la taratura conta più dell'installazione.
L'attivazione sulla posta richiede tipicamente poche ore e non comporta interruzioni del servizio. La parte che richiede più tempo, e che conviene non saltare, è la taratura sulle prime settimane di traffico reale e la sistemazione dei record del vostro dominio, che spesso sono incompleti da anni.
Se volete vedere come stanno adesso, potete controllarli da soli e gratuitamente con DomainCheck.
Si può fare, e serve a due cose diverse: ridurre le fughe di dati mandate per errore alla persona sbagliata, e accorgersi in fretta se una casella aziendale è stata compromessa e sta scrivendo a vostro nome.
Su quali caselle attivarlo e con quali regole si decide insieme, perché è la parte che più facilmente diventa fastidiosa se impostata a tappeto.
Se la risposta non è "solo noi", i record del vostro dominio vanno sistemati. Il controllo è gratuito e lo potete fare da soli con DomainCheck, oppure lo guardiamo insieme nell'assessment.