La mail del falso Comando Generale e il collega che ha già cliccato

1. Dominio del mittente non istituzionale. È l'indicatore decisivo: dopo la chiocciola compare «carabinieri-adeguamento.net», non il dominio istituzionale dell'Arma. Il nome visualizzato è solo un'etichetta che il mittente sceglie liberamente: non prova nulla.

2. Sensazione di urgenza e minaccia. «Scadenza 24 ore», «sospensione dal servizio»: il phishing costruisce una pressione emotiva per indurre a cliccare senza verificare. Un ente pubblico non comunica sanzioni disciplinari via email con un link.

3. Richiesta di credenziali. SPID e password sono strettamente personali: nessun ufficio interno, nessun Comando, nessun provider chiede di inserirle via link. Una richiesta di credenziali è già di per sé la prova dell'inganno.

4. Link su dominio diverso e anomalo («portale-badge-arma.info»): il dominio del link non coincide con quello del mittente né con quello istituzionale, e l'estensione «.info» è tipica delle campagne a basso costo.

5. Elementi di copertura generici. Protocollo numerico senza data, logo replicabile, nessun riferimento a un ufficio realmente esistente e contattabile: dettagli che danno apparenza di ufficialità senza permettere verifiche.

6. Richiesta della foto del badge. Serve a fabbricare un documento verosimile per successivi accessi fisici, non a «adeguare» nulla.

Entro pochi minuti. 1) Non cliccare il link e non aprire l'allegato; non inoltrare il messaggio con il link attivo (si inoltra come allegato o si conservano gli header). 2) Avvisare subito il Comandante e il Nucleo Informatico del Comando Provinciale, che è il riferimento tecnico. 3) Far cambiare al collega la password da un dispositivo diverso, iniziando dai servizi dove usava la stessa password: PEC, posta istituzionale, SPID, eventuali portali. 4) Far revocare le sessioni attive e controllare le regole di inoltro automatico e la firma, che il truffatore spesso imposta per continuare a leggere la posta.

Nelle ore successive. 5) Verificare i log di accesso della casella compromessa per individuare accessi anomali e messaggi inviati. 6) Se è coinvolto lo SPID, contattare il gestore di identità per bloccare o riemettere le credenziali. 7) Conservare la mail originale, gli header e le schermate: sono prove, e servono al Nucleo Informatico. 8) Se il malware è sospettato, isolare il computer dalla rete senza spegnerlo, per non perdere tracce in memoria, e attendere istruzioni.

Comunicazione interna. Avvisare gli altri reparti che la campagna è in corso: la casella compromessa del collega sta verosimilmente inviando lo stesso messaggio ad altri contatti, con il vantaggio di arrivare da un indirizzo conosciuto.

Cancellare non risolve nulla. Il danno non è il messaggio in sé: è l'uso delle credenziali già sottratte. Cancellando la mail si perde la prova (header, orari, indirizzi) e si lascia il collega con un account compromesso che continua a essere usato per inviare phishing dall'interno, quindi con altissima credibilità per i destinatari. La bonifica richiede cambio credenziali, revoca delle sessioni, controllo degli inoltri e verifica dei log: nessuna di queste azioni è «cancellare».

Obblighi dell'Amministrazione. Il titolare del trattamento è l'Amministrazione, non il singolo militare: la segnalazione al Nucleo Informatico serve a far valutare se l'evento costituisce violazione di dati personali. In caso affermativo, il titolare deve notificare al Garante entro 72 ore dall'essere venuto a conoscenza (art. 33 GDPR) e, se il rischio per gli interessati è elevato, informarli (art. 34). L'evento va annotato nel registro delle violazioni anche quando non è notificato.

Perché subito. Le 72 ore decorrono dalla conoscenza dell'evento: ogni ora persa consuma il margine di valutazione e di contenimento. Inoltre il militare ha il dovere di riferire al superiore: omettere o ritardare la segnalazione per timore di conseguenze è l'errore più grave, perché trasforma un incidente tecnico in un illecito disciplinare.