Come proteggere l'azienda da phishing e truffe via email

Ogni giorno nelle caselle di posta delle aziende arrivano messaggi che sembrano normali: una fattura da pagare, un pacco in consegna, un avviso della banca, una richiesta urgente del titolare. Alcuni di questi messaggi sono truffe. Si chiamano phishing: email costruite per convincere chi le riceve a cliccare su un link, aprire un allegato o comunicare dati riservati come password e coordinate bancarie.

Per una piccola azienda il danno può essere serio: un bonifico mandato al conto sbagliato, una casella email rubata e usata per truffare i clienti, un computer bloccato da un programma malevolo. La buona notizia è che la maggior parte di questi attacchi si può fermare con poche abitudini, che tutti in ufficio possono imparare.

I segnali da riconoscere

Le email di phishing hanno spesso qualcosa che non torna. Prima di fare qualsiasi cosa, conviene fermarsi qualche secondo e controllare.

• L'urgenza. «Il tuo account verrà chiuso entro oggi», «Pagamento bloccato, intervieni subito». La fretta serve a non farti ragionare.
• Il mittente. Il nome visualizzato può essere quello di un fornitore o di un collega, ma l'indirizzo vero è diverso: una lettera cambiata, un dominio strano, un indirizzo gratuito al posto di quello aziendale.
• I link. Passando il mouse sopra un link, senza cliccare, si vede l'indirizzo reale. Se non corrisponde al sito che dovrebbe essere, è un campanello d'allarme.
• Gli allegati inattesi. Fatture, documenti o archivi compressi che nessuno aspettava vanno trattati con sospetto, soprattutto se chiedono di «abilitare il contenuto».
• Le richieste insolite. Un cambio di IBAN comunicato via email, una richiesta di acquistare buoni regalo, una password chiesta «per verifica».

La truffa del cambio IBAN

Una delle truffe più dannose per le aziende è quella del falso fornitore. Arriva un'email, apparentemente dal solito fornitore, che comunica nuove coordinate bancarie per i pagamenti. A volte il messaggio parte proprio dalla casella vera del fornitore, che è stata violata.

La difesa è semplice e va resa una regola fissa: ogni cambio di coordinate bancarie si verifica con una telefonata, usando un numero già noto e non quello scritto nell'email. Lo stesso vale per le richieste di pagamenti urgenti che sembrano arrivare dal titolare.

Le difese tecniche di base

Le abitudini contano, ma anche gli strumenti aiutano.

• Autenticazione a due fattori su email, banca e servizi online: anche se qualcuno ruba la password, senza il secondo codice non entra.
• Password diverse per ogni servizio, gestite con un password manager, così un furto non apre tutte le porte.
• Aggiornamenti di sistema operativo, browser e programmi: molti attacchi sfruttano difetti già corretti dai produttori.
• Filtro antispam e antivirus configurati bene sulla posta aziendale.
• Configurazione del dominio con i record SPF, DKIM e DMARC, che rendono più difficile a chi truffa spedire email che sembrano partire dal tuo indirizzo.

Cosa fare se qualcuno ha cliccato

Può capitare a chiunque. L'importante è non nasconderlo e agire subito: scollegare il computer dalla rete, cambiare la password della casella da un altro dispositivo, avvisare chi si occupa dell'informatica e, se sono stati comunicati dati bancari, contattare immediatamente la banca. Una cultura in cui si può segnalare un errore senza paura protegge l'azienda più di qualsiasi programma.

Formare le persone

Bastano incontri brevi e periodici, con esempi reali di email sospette, per rendere tutti più attenti. Conviene anche stabilire a chi rivolgersi in caso di dubbio: una domanda in più costa pochi secondi, un clic sbagliato può costare molto di più.

Ti aiutiamo noi

DevShare SRL può verificare la configurazione della tua posta aziendale, attivare l'autenticazione a due fattori, impostare correttamente il dominio e organizzare una breve formazione per il tuo personale. Scrivici dal form contatti o a info@devsharesrl.it: ti aiutiamo a capire da dove partire.