Email sospetta, account compromesso e chiavetta trovata
Il 3 marzo 2025, all'ufficio del posto di polizia dell'istituto, l'agente G. riceve un'email che sembra provenire da «[email protected]» con oggetto «Aggiornamento obbligatorio credenziali – scadenza ore 18». Il testo, pieno di errori di ortografia, invita a cliccare un link che porta al dominio «istitutopenitenziario-portale.net» per «evitare la sospensione dell'account» e chiede di inserire nome utente e password. Poco dopo il collega C. segnala che il suo account sta inviando decine di email con un allegato «verbale_colloquio.pdf.exe» a indirizzi esterni. In sala comune è stata trovata una chiavetta USB con etichetta manoscritta «backup 2024». L'ufficio non ha un referente informatico presente e l'agente deve decidere cosa fare nelle prime ore.
1. Individua gli indicatori di phishing e descrivi la sequenza corretta di azioni.
Read the worked answer
Indicatori presenti: dominio del mittente contraffatto o simile a quello reale; dominio di destinazione diverso ed estraneo (.net invece dell'istituzionale); urgenza artificiale con scadenza oraria; richiesta esplicita di credenziali, che nessun ufficio pubblico chiede via email; errori di ortografia e formula intimidatoria («sospensione dell'account»).
Sequenza corretta:
- Non cliccare e non inserire credenziali.
- Segnalare subito al referente informatico e, in assenza, al CED/alla struttura competente; conservare l'email come prova (non cancellarla).
- Per il collega C.: disconnettere la postazione dalla rete senza spegnerla, per conservare i dati volatili; cambiare le password da un dispositivo pulito e attivare l'autenticazione a più fattori.
- Verificare regole di inoltro automatico e caselle esterne create sull'account.
- Far bloccare dominio e allegato al gateway di posta.
- Informare il direttore e il DPO.
- Se dall'incidente deriva una violazione di dati personali, valutare la notifica al Garante entro 72 ore (art. 33 GDPR); se l'incidente è rilevante per la sicurezza, seguire le procedure di notifica al CSIRT.
Errore da evitare: spegnere il computer o cancellare le email, che distrugge le tracce utili all'accertamento.
2. Il collega C. aveva condiviso la propria password con un tirocinante «per fare prima». Quali profili disciplinari, penali e di responsabilità?
Read the worked answer
La condivisione delle credenziali è sempre vietata: le credenziali sono personali, identificano il titolare e non sono cedibili. La misura di sicurezza richiesta dall'art. 32 GDPR e le regole tecniche nazionali impongono di custodirle e di non comunicarle a terzi.
Profilo disciplinare: violazione dei doveri di ufficio e uso improprio delle dotazioni dell'amministrazione; la condotta è contestabile ai sensi del codice di comportamento dei dipendenti pubblici e della disciplina di Corpo.
Profilo penale:
- art. 615-ter c.p., accesso abusivo a sistema informatico, se il tirocinante non era autorizzato ad accedere con quelle credenziali;
- art. 615-quinquies c.p., diffusione di programmi dannosi, se dall'account è partito l'allegato malevolo;
- possibili profili di truffa o di trattamento illecito di dati, da valutare sul caso concreto.
Profilo civile e organizzativo: tutte le operazioni compiute con un account sono imputate al titolare, che risponde delle conseguenze; il titolare che ha «prestato» l'accesso può essere chiamato a rispondere del danno.
Indicazione operativa: nella relazione non limitarsi a descrivere l'incidente tecnico, ma ricostruire chi ha fatto cosa e quando, perché la catena delle responsabilità parte dalla condivisione della password.
3. Cosa si deve fare della chiavetta USB trovata e quale può essere il suo valore probatorio?
Read the worked answer
Non inserirla in alcun dispositivo. I supporti rinvenuti possono contenere malware con esecuzione automatica (art. 615-quinquies c.p.) e vanno trattati come potenzialmente contaminati.
Procedura:
- Documentare il ritrovamento con annotazione (luogo, data, ora, persone presenti) e, se possibile, fotografia.
- Prelevarla con guanti, senza alterarne l'etichetta, e riporla in busta o contenitore sigillato con etichetta riportante data, firma e numero di repertorio.
- Custodirla in luogo sicuro con registro di catena di custodia (chi la detiene e quando).
- Se appare collegata a un reato o a un illecito disciplinare, procedere a sequestro di iniziativa ex art. 354 c.p.p. in qualità di polizia giudiziaria, redigendo verbale e comunicando senza ritardo al PM; l'art. 355 c.p.p. disciplina la copia degli atti.
- Se è un semplice supporto aziendale, consegnarla al CED per la bonifica, sempre con verbalizzazione.
Valore probatorio: dipende interamente dalla catena di custodia. Una chiavetta «trovata e aperta» da più persone è contestabile; una chiavetta sigillata, repertata e consegnata con verbale è utilizzabile. Inoltre l'analisi del contenuto va affidata a personale tecnico, non all'agente di servizio.