E-mail di phishing con richiesta di bonifico urgente
Sei maresciallo in servizio presso un reparto territoriale. Alle 9:10 arriva sulla casella istituzionale un'e-mail apparentemente inviata dal comandante di gruppo: oggetto «Pagamento urgente fornitore», con un link a un modulo per autorizzare un bonifico di 18.000 euro entro 30 minuti. Il messaggio usa il logo del Corpo e un tono perentorio, ma l'indirizzo del mittente termina con «@gdf-finanze.it» invece del dominio istituzionale. Un collega ha già cliccato il link e inserito le proprie credenziali; il sistema di monitoraggio segnala un accesso da un IP estero. Il bonifico non è ancora partito. Il comandante è irreperibile al telefono. Hai un equipo di due persone e 30 minuti. Devi agire senza compromettere le prove e senza allarmare inutilmente il personale.
1. Elenca le azioni immediate in ordine di priorità, distinguendo contenimento, verifica e comunicazione.
Read the worked answer
Azioni immediate, in ordine
- Contenimento del danno: bloccare il bonifico e ogni pagamento in corso; disconnettere l'account compromesso e revocare le sessioni attive.
- Verifica: cambiare subito le credenziali, controllare se sono state create regole di inoltro o deleghe, verificare l'accesso dall'IP estero e gli altri destinatari dell'e-mail.
- Prove: salvare l'e-mail originale, gli header, i log e gli orari; non cancellare nulla; documentare chi ha cliccato e quando.
- Comunicazione: informare il responsabile della sicurezza informatica e la catena di comando; se il comandante è irreperibile, risalire al vice o all'ufficio superiore.
- Personale: avvisare i colleghi con un messaggio breve, senza accuse. Priorità: fermare il pagamento e isolare le credenziali, poi ricostruire.
2. Quali errori sono stati commessi e quali regole di comportamento avrebbero potuto evitarli?
Read the worked answer
Errori commessi
- Fidarsi del nome visualizzato e del logo, senza controllare il dominio del mittente.
- Cliccare su un link e inserire credenziali senza verificare la richiesta con un canale alternativo (telefono, persona).
- Accettare un tono perentorio e una scadenza di 30 minuti come prova di urgenza.
Regole che avrebbero evitato l'incidente
- Verifica del dominio e dell'indirizzo completo; diffidare di richieste di pagamento urgenti via e-mail.
- Procedura di doppia autorizzazione per i bonifici e conferma telefonica su numero noto.
- Autenticazione a più fattori e formazione periodica. Criterio: la sicurezza non è solo tecnica; è una procedura organizzativa che rende difficile l'errore individuale.