Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
La password nuova interrompe solo una parte del problema. Occorre capire come sia avvenuto l’accesso, quali messaggi siano stati consultabili e se l’attaccante abbia lasciato inoltri, applicazioni autorizzate o altri meccanismi persistenti.
La situazione.
Scenario illustrativo fittizio. Un’impresa scopre che dalla casella amministrativa sono partite richieste insolite di modifica delle coordinate bancarie. Il fornitore blocca la password compromessa. Durante la verifica compare una regola che inoltra alcuni messaggi a un indirizzo sconosciuto; la casella contiene fatture, recapiti e corrispondenza di dipendenti.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
La durata dell’accesso e l’attendibilità dei log incidono sul perimetro dei dati potenzialmente esposti.
- 02
Le regole di inoltro possono continuare a divulgare informazioni anche dopo il primo blocco delle credenziali.
- 03
La casella può essere utilizzata per frodi rivolte a persone diverse dal suo assegnatario.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
Il caso va affrontato come possibile violazione di riservatezza e integrità, non soltanto come problema di recapito della posta. L’accesso a una casella può esporre messaggi storici, allegati, rubriche e informazioni usate per attacchi credibili contro clienti e fornitori. Le categorie di dati non si possono dedurre dal nome generico della casella: occorre una ricognizione proporzionata e riservata.
Per la valutazione degli articoli 33 e 34 GDPR rilevano la possibilità di impersonare il mittente, i dati disponibili e i destinatari delle comunicazioni fraudolente. La ricostruzione tecnica può essere incompleta: vanno esplicitati i limiti dei log e le ipotesi ragionevoli. La risposta verso le persone, se dovuta per rischio elevato, deve aiutare a evitare il danno, non limitarsi a formule rassicuranti prive di indicazioni concrete.
Cosa fare, in pratica.
- 01
Bloccare l’accesso non autorizzato e revocare sessioni, token e autorizzazioni di applicazioni, verificando l’eventuale necessità di intervenire sull’intera identità digitale.
- 02
Rimuovere regole sospette, deleghe e inoltri dopo averne conservato le evidenze utili, controllando anche impostazioni meno visibili della casella e del dominio.
- 03
Ricostruire il periodo plausibile di compromissione e le categorie di messaggi esposti, senza distribuire l’intera posta a persone estranee all’analisi.
- 04
Coordinare avvisi antifrode e valutazione privacy: segnalare le istruzioni di pagamento sospette non esaurisce gli eventuali obblighi verso autorità e interessati.
- 05
Rafforzare autenticazione multifattore, gestione degli accessi e verifica delle variazioni bancarie su un canale indipendente da quello compromesso.
L’errore da evitare.
Ripristinare subito la casella e dichiarare il problema risolto senza controllare gli inoltri o i contatti già raggiunti dall’attaccante.
Tre verifiche da portare con te.
- Sessioni, regole, deleghe e applicazioni controllate.
- Perimetro e limiti dei log descritti.
- Possibili frodi e obblighi privacy valutati insieme.
La protezione dell’account e quella dei destinatari delle frodi sono due parti della stessa risposta. La cronologia è essenziale.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.