Un collega ha cliccato su un link sospetto
Il clic è già successo. Adesso conta la velocità: isolare, cambiare le credenziali, capire cosa è stato toccato. Senza cercare colpevoli.
Il problema
Un collega ha aperto un allegato o ha inserito le sue credenziali in una pagina che sembrava quella della posta. Se ne accorge dopo, si spaventa e spesso tace. Ogni minuto di silenzio dà all'attaccante tempo per entrare nella casella, inoltrare email, muoversi verso altri sistemi.
Cosa fare subito
- Scollega il PC dalla rete (cavo e Wi-Fi), ma non spegnerlo: serve per capire cosa è successo.
- Avvisa l'IT immediatamente, al telefono.
- Cambia la password dell'account usato, da un altro dispositivo, e chiudi tutte le sessioni attive.
Come capire se ti riguarda
- Dopo il clic si è aperta una pagina di accesso a Microsoft, Google o alla banca.
- È stato scaricato un file, o è comparsa una richiesta di "abilitare contenuti".
- Il PC è diventato lento, compaiono finestre, i file cambiano nome.
- I colleghi ricevono email strane dalla tua casella.
Come risolverlo
- Contenere. Isolare il dispositivo e bloccare o reimpostare le credenziali coinvolte. *Chi: IT. Evidenza: orari delle azioni svolte.*
- Controllare la casella. Regole di inoltro nascoste, accessi da Paesi insoliti, email inviate a nome della persona.
- Verificare l'autenticazione a più fattori. Rimuovere dispositivi o app registrati dall'attaccante, se ci sono.
- Analizzare il link o il file in un ambiente sicuro, e bloccarli per tutta l'azienda. *Evidenza: indicatori raccolti.*
- Avvisare chi serve. Colleghi e clienti che potrebbero ricevere messaggi falsi; il Referente CSIRT, se siete soggetti NIS, per valutare se l'evento è significativo.
Come evitare che si ripeta
Autenticazione a più fattori ovunque, posta con filtri aggiornati, formazione breve e frequente sui casi reali. E soprattutto: rendete la segnalazione rapida e senza vergogna.
Quando chiedere aiuto
Se ci sono segni di malware, movimenti verso altri sistemi o dati sottratti, serve un team di risposta agli incidenti. Prima arriva, meno danni da riparare.
Dal libro
«Segnalare le anomalie e gli eventi sospetti, in fretta, senza aspettare di capire tutto.»
— *NIS2. La carta che guida*, capitolo 10
Uno spunto in più
Ringraziate in pubblico chi segnala il proprio errore entro dieci minuti. La prossima volta, qualcun altro lo farà in cinque.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.