Phishing e cosa fare dopo

Il phishing è un messaggio che si spaccia per una persona o un'organizzazione fidata per indurla a cliccare su un link, aprire un file, inserire una password o inviare denaro. Arriva soprattutto via e-mail, ma anche via SMS, telefonata, chat e codice QR. Lo scopo è di solito uno di tre: le sue credenziali, un punto d'appoggio sul suo computer o un pagamento sul conto sbagliato. Funziona perché sfrutta un contesto reale: un pacco atteso, un documento condiviso, una fattura non pagata, un messaggio del capo. Resta uno dei primi passi più frequenti delle violazioni, per questo la difesa è a più livelli: filtro della posta, autenticazione a più fattori (MFA), dipendenti che segnalano subito i messaggi sospetti e regole di pagamento che non si basano su una sola e-mail. Un sensore di rete non legge la posta; aiuta dopo, se un clic porta a traffico insolito dal dispositivo.

Guardi meno agli errori di ortografia, che il phishing moderno ha di rado, e più a ciò che il messaggio le chiede di fare. Segnali di allarme: pressione ad agire subito, una richiesta di accedere, pagare, cambiare le coordinate bancarie o aprire un file inatteso, un indirizzo del mittente leggermente diverso da quello vero, un indirizzo di risposta che porta altrove e un link la cui vera destinazione, visibile passandoci sopra con il mouse, non corrisponde all'azienda dichiarata. Anche un messaggio di un collega noto può essere phishing se la sua casella è stata violata, quindi una richiesta insolita è un motivo per verificare attraverso un altro canale, per esempio una telefonata a un numero che ha già. Nel dubbio non clicchi: segnali il messaggio all'IT e lasci che lo controllino. Un falso allarme costa un minuto; ignorare un attacco vero può costare molto di più.

Avvisi subito l'IT, anche se sembra che non sia successo nulla: la velocità conta più dell'imbarazzo. Poi, insieme all'IT: se ha digitato una password nella pagina che si è aperta, la cambi da un altro dispositivo affidabile e chiuda tutte le sessioni attive dell'account. Se un file si è scaricato o aperto, scolleghi il computer dalla rete, staccando il cavo o spegnendo il Wi-Fi, ma lo lasci acceso perché possa essere esaminato. Annoti l'ora, il messaggio e il link, così l'IT può bloccarlo per tutti e verificare chi altro l'ha ricevuto. Se ha solo aperto la pagina senza inserire nulla, il rischio è minore, ma l'IT dovrebbe comunque controllare il dispositivo con i suoi strumenti. Nei giorni seguenti faccia attenzione a richieste di accesso inattese, richieste MFA che non ha avviato lei e risposte a e-mail che non ha mai inviato.

Consideri l'account compromesso e agisca entro pochi minuti. Cambi la password da un dispositivo affidabile e, se usava la stessa password altrove, la cambi anche lì. Chieda all'IT di disconnettere l'account da tutte le sessioni e revocarne i token di accesso, perché molti kit di phishing rubano la sessione già autenticata, quindi una nuova password da sola potrebbe non escludere l'attaccante. L'IT dovrebbe poi controllare il registro degli accessi alla ricerca di login da luoghi insoliti, verificare i metodi MFA per individuare un telefono o un'app aggiunti dall'attaccante e cercare nuove regole della casella che inoltrano o nascondono la posta. Se l'account ha diritti di amministratore o accesso ai sistemi finanziari, alzi la priorità di conseguenza. Qui vengono prima i passi sull'identità. Il monitoraggio di rete aiuta dopo, osservando l'attività che spesso segue un accesso rubato, come l'accesso remoto ai server interni.

Prima il lavoro sull'identità: reimpostare la password, revocare le sessioni, controllare il registro degli accessi e i metodi MFA. Poi cerchi in rete segni che l'accesso sia stato usato per andare oltre. Domande utili: il dispositivo o l'account del dipendente si è collegato a server che normalmente non usa, come file server, il domain controller o i sistemi finanziari? Sono partite sessioni di desktop remoto o di gestione remota da una macchina insolita? Qualche dispositivo ha iniziato connessioni regolari e cadenzate verso un indirizzo esterno sconosciuto, il che può indicare un canale di controllo remoto? Sono uscite dalla rete quantità di dati insolitamente grandi? In NetSenX lo storico degli avvisi e la mappa della rete mostrano questi schemi in ogni piano: beaconing, scansione interna, movimento laterale e volumi in uscita insoliti. Se nei giorni dopo il clic non compare nulla, è rassicurante ma non una prova, perché le caselle di posta in cloud e le app SaaS si raggiungono via internet e quell'attività non attraversa mai la sua rete.

Uno strumento di rete non può ripulire un dispositivo: è compito della protezione degli endpoint e, nel dubbio, di una reinstallazione. Un ordine pratico: scolleghi il dispositivo dalla rete ma lo lasci acceso, così l'IT può raccogliere prove se serve. Esegua una scansione completa con lo strumento EDR (endpoint detection and response) o l'antivirus e controlli nuovi programmi, estensioni del browser, attività pianificate ed elementi di avvio. Se è stato eseguito qualcosa di sospetto, o il dispositivo appartiene a un amministratore o a qualcuno dell'amministrazione finanziaria, la scelta più sicura è cancellarlo e reinstallarlo da un'immagine pulita nota, poi ripristinare i file dal backup, invece di fidarsi di una pulizia. Prima di ricollegarlo, cambi le password dell'utente da un altro dispositivo. Una volta rientrato, ne osservi il comportamento in rete per qualche settimana: NetSenX può mostrare se ricomincia connessioni in uscita regolari o traffico insolito.

Di solito in pochi passi prevedibili. Il file o il link malevolo dà loro un canale di controllo remoto verso il proprio server, visibile come connessioni in uscita regolari. Poi si guardano intorno: quali server, condivisioni e account esistono, spesso scansionando la rete interna o interrogando la directory. Quindi raccolgono altre credenziali, dalla memoria del portatile, dalle password salvate nel browser o da altri sistemi, e le usano per accedere ad altre macchine con normali strumenti di amministrazione come il desktop remoto, PowerShell remoto o le condivisioni di file. Da lì puntano al domain controller, ai backup e agli archivi di dati. Ogni passo lascia una traccia in rete: nuove connessioni tra macchine interne che di rado si parlano, scansioni, protocolli di amministrazione da un portatile qualsiasi e dati che si spostano in luoghi insoliti. Sono queste le tracce che osserva il network detection and response (NDR), ed è per questo che un clic su un phishing non deve per forza finire in una violazione completa.

Sì. Un messaggio segnalato permette all'IT di rimuovere la stessa e-mail da tutte le altre caselle, bloccare mittente e link e avvisare il collega che domani avrebbe potuto cliccarci. Il phishing di solito arriva a molte persone della stessa azienda contemporaneamente, quindi una segnalazione tempestiva può proteggerne decine. Renda la segnalazione semplice: un pulsante nel programma di posta o un unico indirizzo di inoltro, e un breve ringraziamento ogni volta, anche per i falsi allarmi. Non punisca mai una segnalazione, nemmeno quando la persona ammette di aver cliccato: la paura della colpa trasforma una correzione di cinque minuti in un incidente di tre settimane. Misuri il successo da quante persone segnalano e con quale rapidità, non solo da quante poche cliccano. Le segnalazioni mostrano anche all'IT quali esche raggiungono il personale, il che aiuta a regolare i filtri di posta e la formazione.

Riduce i danni, ma da sola non ferma il phishing e non dovrebbe essere la sua unica difesa. Una buona formazione mostra come sono fatte le esche attuali, rende la segnalazione un'abitudine e chiarisce che un errore segnalato presto è un buon risultato. Sessioni brevi e regolari funzionano meglio di un lungo corso annuale. Le simulazioni di phishing possono aiutare se servono a esercitarsi, non a umiliare: condivida i risultati come tendenze di gruppo, dopo un clic proponga una lezione di due minuti invece di un rimprovero e avvisi il personale che le simulazioni esistono. Qualcuno cliccherà sempre, perché le esche ben fatte sono pensate per sembrare lavoro ordinario. Affianchi quindi la formazione a controlli che non dipendono da un giudizio perfetto: filtro della posta, autenticazione a più fattori resistente al phishing, verifica telefonica dei pagamenti e un monitoraggio che si accorge quando un dispositivo compromesso inizia a comportarsi in modo diverso.

Lo spear phishing è un phishing mirato a una persona o a un piccolo gruppo, scritto con dettagli che lo rendono credibile: nome, ruolo, progetti in corso, fornitori o colleghi. Gli attaccanti raccolgono queste informazioni dal sito aziendale, da LinkedIn, dai comunicati stampa, da precedenti fughe di dati o da una casella di posta che già controllano. Un messaggio a un addetto alla contabilità può citare un fornitore reale e un numero di fattura reale; uno a un amministratore IT può sembrare un avviso di uno strumento che l'azienda usa davvero. Quando il bersaglio è un dirigente, si parla a volte di whaling. Poiché questi messaggi sono su misura, i filtri ne bloccano meno e il personale li riconosce con più fatica. Le difese migliori sono procedurali: verificare le richieste insolite tramite un secondo canale, limitare ciò che si pubblica su ruoli interni e processi di pagamento e dare per prime una MFA resistente al phishing alle persone con accesso al denaro o diritti di amministratore.

Sono phishing attraverso altri canali. Lo smishing usa gli SMS, spesso su pacchi, banche, rimborsi fiscali o un conto bloccato, con un link a una falsa pagina di accesso. Il vishing usa le telefonate: qualcuno si spaccia per il supporto IT, la banca, un fornitore o un responsabile e convince la persona a leggere un codice, installare uno strumento di assistenza remota o approvare un pagamento. Il vishing è diventato una via d'ingresso comune perché un interlocutore convincente aggira controlli che fermano le e-mail, per esempio chiedendo all'help desk di reimpostare la password di un dipendente o registrare un nuovo dispositivo MFA. Difese utili: la regola che l'IT non chiede mai password o codici al telefono, una procedura dell'help desk che verifica l'identità prima di ogni reimpostazione e l'abitudine di richiamare un numero noto. Un sensore di rete non sente le telefonate, ma mostra i nuovi servizi esterni con cui un dispositivo inizia a comunicare dopo.

Il phishing con codice QR, a volte chiamato quishing, nasconde il link malevolo in un codice QR: in un allegato e-mail, in una lettera stampata, su un parchimetro o su un falso avviso in ufficio. Funziona per due motivi. I filtri di posta controllano i link ma spesso non riescono a leggere un link dentro un'immagine, e le persone scansionano il codice con il telefono, che di solito è fuori dalla protezione aziendale e mostra solo una breve anteprima dell'indirizzo. La pagina che si apre chiede di solito un accesso a Microsoft 365 o a un altro account di lavoro, oppure i dati della carta. Tratti un codice QR che le chiede di accedere come qualsiasi altro link: controlli l'indirizzo prima di inserire qualcosa e, se un messaggio la sollecita a scansionare un codice per mantenere attivo l'account o leggere un documento, chieda prima all'IT. Per le aziende, una MFA resistente al phishing limita i danni quando una password viene digitata su un telefono.

La business e-mail compromise è una frode in cui i criminali usano l'e-mail per indurre un'azienda a pagarli o a consegnare dati sensibili. O entrano in una casella vera, spesso dopo un accesso rubato con il phishing, o la imitano con un indirizzo somigliante. Varianti tipiche: il falso amministratore delegato che chiede un bonifico urgente e riservato, il fornitore le cui coordinate bancarie cambiano all'improvviso, la richiesta di dirottare lo stipendio di un dipendente su un nuovo conto e l'avvocato che segue un'operazione segreta. La BEC spesso non usa né malware né link, solo un messaggio convincente al momento giusto, ed è per questo che i filtri tecnici ne lasciano passare così tanta. È una delle forme di criminalità informatica più costose: l'Internet Crime Complaint Center dell'FBI ha registrato circa 2,8 miliardi di dollari di perdite da BEC per il 2024. La difesa più forte è un processo di pagamento che richiede una verifica telefonica, a un numero noto, prima di ogni cambio di coordinate bancarie o bonifico insolito.

Per lo più no, ed è meglio saperlo subito. Nella truffa del CEO, un'e-mail, una telefonata o un messaggio in chat che sembra arrivare da un dirigente convince un dipendente a effettuare un pagamento. I messaggi passano per il cloud del suo fornitore di posta e il pagamento per l'home banking, e in rete entrambi appaiono del tutto normali. Uno strumento di rilevamento di rete come NetSenX non legge il contenuto delle e-mail e non può distinguere un ordine di pagamento vero da uno falso. A fermare la truffa del CEO sono le procedure: nessun pagamento sulla sola base di un messaggio, una richiamata a un numero dei propri archivi, la doppia approvazione dei bonifici sopra un importo stabilito e il permesso esplicito per il personale di rinviare qualsiasi richiesta presentata come urgente e segreta. Il monitoraggio di rete aiuta in un caso: quando la truffa parte da una casella violata e l'attaccante raggiunge anche i sistemi aziendali.

Sì, ed è una delle forme più efficaci perché supera ogni controllo tecnico: l'indirizzo è reale, la firma è reale e il messaggio può perfino rispondere in una conversazione esistente. Succede quando la casella del collega è stata violata, spesso dopo un accesso rubato con il phishing, e l'attaccante la usa per inviare nuove esche a tutta la rubrica, all'interno come a clienti e fornitori. I segnali di allarme sono nel contenuto, non nel mittente: una richiesta insolita, un documento condiviso inatteso, un tono che non torna o un messaggio inviato a un'ora strana. Se ha un sospetto, non risponda all'e-mail: contatti il collega in un altro modo e avvisi l'IT. L'IT dovrebbe allora trattare l'account del mittente come compromesso: reimpostarlo, revocarne le sessioni, controllarne le regole della casella e scoprire chi altro ha ricevuto messaggi da lì.

Lo verifichi attraverso un canale diverso da quello della richiesta. Chiami il fornitore a un numero che ha già nei suoi archivi, dal contratto o da una fattura precedente, mai a quello indicato nel nuovo messaggio, e confermi il cambio con una persona che conosce lì. Molte aziende richiedono anche una seconda approvazione in amministrazione prima di modificare l'anagrafica del fornitore e segnalano il primo pagamento sul nuovo conto per un controllo in più. Presti particolare attenzione quando la richiesta arriva con urgenza, un nuovo referente, una banca in un altro paese o una spiegazione come un audit o un cambio di banca. Questa frode funziona anche quando l'e-mail arriva davvero dall'indirizzo del fornitore, perché la sua casella può essere stata violata. Il monitoraggio di rete non può giudicare una richiesta del genere; lo fa la richiamata.

Chiami subito la sua banca e chieda il richiamo del bonifico; le chieda di contattare la banca beneficiaria perché congeli i fondi. La velocità decide l'esito: il denaro non ancora spostato altrove a volte si può bloccare nelle prime ore o nei primi giorni, molto più di rado in seguito. Poi denunci la frode alla polizia, conservi ogni e-mail con le intestazioni complete e informi l'assicuratore cyber, se ne ha uno, perché molte polizze coprono questo tipo di frode solo a condizioni e scadenze precise. Scopra come il truffatore conosceva i dettagli: un dominio somigliante, la sua casella o quella del fornitore? Se è stato usato uno dei suoi account, lo tratti come un incidente: reimpostarlo, revocarne le sessioni, controllarne le regole della casella e chi altro è stato contattato. Infine avvisi il vero fornitore, che potrebbe essere la parte compromessa, e renda più rigida la regola della richiamata per i cambi di coordinate bancarie.

Dia per scontato che ogni messaggio recente di quel fornitore possa essere falso finché non è confermato. Sospenda per breve tempo i pagamenti a suo favore e confermi le coordinate bancarie per telefono, a un numero che ha già. Avvisi l'amministrazione e chiunque abbia a che fare con il fornitore, e chieda all'IT di cercare nelle caselle i messaggi da quell'indirizzo nel periodo interessato, soprattutto quelli con link, allegati o istruzioni di pagamento, e di rimuoverli o metterli in quarantena. Se qualcuno ha cliccato un link o inserito una password, segua i suoi passi di risposta al phishing. Chieda al fornitore quando è iniziata la compromissione e che cosa sa, e tenga una breve traccia scritta: la sicurezza della catena di fornitura è una delle misure di gestione del rischio che NIS2 si aspetta dalle aziende interessate. Verifichi se qualcuno del suo personale ha risposto inviando dati sensibili. Sul lato rete, controlli se i dispositivi di chi ha aperto quei messaggi mostrano nuove connessioni in uscita o attività insolite.

Perché la frode sulle fatture avviene nelle conversazioni e nelle decisioni, non nel traffico di rete. La fattura falsa arriva come una normale e-mail in una casella cloud; chi la paga usa l'home banking come in qualsiasi altro giorno; e nessun malware deve essere eseguito da nessuna parte. Dal punto di vista della rete, tutto è normale. Uno strumento di network detection and response (NDR) osserva come si comportano i dispositivi: quali macchine parlano con quali, contatti regolari con server esterni, scansioni interne, volumi di dati insoliti. Non legge il testo delle e-mail e non può sapere che un numero di conto è sbagliato. Non è una debolezza da nascondere, ma un limite di cui tenere conto. La frode sulle fatture si ferma con i controlli sui pagamenti, con l'autenticazione della posta del proprio dominio e con persone autorizzate a fermarsi e richiamare. L'NDR diventa rilevante solo quando la frode parte da un'intrusione, per esempio una casella violata usata per entrare in altri sistemi.

Prima capisca come lo fa, perché la risposta cambia. Se i messaggi riportano il suo dominio senza passare dai suoi server di posta, serve l'autenticazione della posta: SPF, DKIM e una policy DMARC rigorosa, così i server destinatari rifiutano i falsi. Se arrivano da un dominio somigliante, per esempio con una lettera cambiata, può presentare una segnalazione di abuso al registrar e al provider di hosting e valutare di registrare lei stessa le varianti più ovvie. Se arrivano dalla sua casella reale, questa è compromessa e ha un incidente da gestire: reimpostare l'account, revocare le sessioni, controllare le regole della casella. In ogni caso avvisi i clienti tramite un canale di cui si fidano, spiegando che le sue coordinate bancarie non cambiano mai via e-mail e come verificarlo; denunci la frode alla polizia; conservi i campioni con le intestazioni complete. Gli uffici amministrativi dei clienti apprezzeranno un avviso chiaro.

Pubblichi tre record DNS che permettono ai server destinatari di verificare la sua posta. SPF elenca i server autorizzati a inviare per il suo dominio. DKIM aggiunge una firma crittografica a ogni messaggio in uscita. DMARC dice ai destinatari che cosa fare quando un messaggio non supera questi controlli e le invia rapporti su chi spedisce a suo nome. Avvii DMARC con la policy none, che si limita a riferire, e legga i rapporti per qualche settimana per trovare ogni mittente legittimo: il fornitore di posta, lo strumento per le newsletter, il sistema di fatturazione e il CRM. Li aggiunga a SPF e DKIM, poi passi a quarantine e infine a reject. Dal 2024 Google e Yahoo richiedono DMARC ai mittenti di massa, quindi questo protegge anche il recapito delle sue e-mail. Blocca le falsificazioni esatte del suo dominio, non i domini somiglianti, che richiedono monitoraggio e richieste di rimozione.

DMARC, acronimo di Domain-based Message Authentication, Reporting and Conformance, è una regola pubblicata che dice agli altri server di posta come trattare i messaggi che dichiarano di provenire dal suo dominio. Si basa su due controlli più vecchi: SPF, che indica quali server possono inviare per il dominio, e DKIM, che firma i messaggi. Un messaggio supera DMARC quando almeno uno di questi controlli riesce e corrisponde al dominio nella riga Da, cioè quello che il lettore vede davvero. La policy può essere none (solo rapporti), quarantine (fallimenti nello spam) o reject (rifiuto). DMARC le invia anche rapporti aggregati con ogni fonte che ha spedito posta a suo nome, e spesso è la prima volta che un'azienda vede tutti i mittenti dimenticati. Da solo non ferma il phishing in generale, perché gli attaccanti usano semplicemente un altro dominio somigliante. Ma chiude la porta più facile: l'imitazione esatta del suo indirizzo.

La MFA fatigue, detta anche push bombing, è un attacco contro gli account che usano notifiche push per l'autenticazione a più fattori. L'attaccante ha già la password, spesso dal phishing o da una fuga di dati, e avvia tentativi di accesso uno dopo l'altro, così il telefono dell'utente continua a chiedere un'approvazione, a volte nel cuore della notte. Alla fine la persona tocca approva per farla smettere, oppure qualcuno che telefona fingendosi l'IT la convince a farlo. Difese: passare le approvazioni push alla corrispondenza numerica, in cui l'utente deve digitare un numero mostrato nella schermata di accesso, cosa che Microsoft Authenticator ora applica per impostazione predefinita; limitare il numero di richieste per periodo; permettere di segnalare con un tocco le richieste inattese; e spostare gli account ad alto rischio su metodi resistenti al phishing come chiavi di sicurezza o passkey. Dica chiaramente al personale che una richiesta MFA non avviata da loro significa che qualcuno ha la password, e che devono rifiutarla e chiamare l'IT.

Sì, alcuni tipi di MFA si possono aggirare, ed è per questo che il tipo conta. In un attacco adversary-in-the-middle la pagina di phishing si mette tra lei e la vera pagina di accesso: inoltra in tempo reale al servizio vero la password e il codice monouso o l'approvazione push, poi tiene il cookie di sessione che il servizio rimanda indietro. Con quel cookie l'attaccante è dentro senza bisogno di nuovo della password o della MFA. I codici SMS, i codici delle app di autenticazione e le semplici approvazioni push sono tutti esposti. La MFA resistente al phishing, cioè le chiavi di sicurezza FIDO2 e le passkey, non lo è, perché la chiave verifica l'indirizzo web e non risponde a un sito falso. Una MFA di qualsiasi tipo resta comunque molto meglio di nessuna. Passi pratici: dare per primi passkey o chiavi di sicurezza ad amministratori e amministrazione finanziaria, attivare criteri di accesso che segnalano dispositivi e luoghi insoliti e, dopo ogni incidente di phishing, revocare le sessioni, non solo le password.

Non sempre. Gli attaccanti che prendono una casella spesso si lasciano vie per restare dentro che sopravvivono a una nuova password. Controlli ed elimini tutte queste: sessioni attive e token di aggiornamento, che vanno revocati esplicitamente; metodi MFA registrati dall'attaccante, come un nuovo numero di telefono o un'app di autenticazione; regole della casella che inoltrano la posta a un indirizzo esterno, spostano i messaggi su fatture o sicurezza in una cartella poco visibile o cancellano le risposte; l'inoltro automatico impostato nelle opzioni della casella; password per app e app di terze parti collegate con accesso alla posta; e accessi delegati a un altro account. Poi guardi che cosa è stato fatto nel frattempo: messaggi inviati, file condivisi, contatti esportati. In Microsoft 365 e Google Workspace il registro di controllo mostra queste modifiche con data e ora. Annoti ciò che trova, perché determina chi va avvisato e se l'incidente deve essere notificato.

I criminali usano ormai voce, e a volte video, generati dall'IA per spacciarsi per un dirigente in una telefonata o videochiamata e chiedere un pagamento urgente o dati riservati. Pochi minuti di audio pubblico, da un intervento a una conferenza o da un podcast, possono bastare per clonare una voce. In un caso molto noto a Hong Kong nel 2024, un dipendente ha trasferito circa 25 milioni di dollari dopo una videochiamata in cui tutti gli altri partecipanti erano deepfake. Non può contare sul riconoscere il falso, perché la qualità continua a migliorare. Protegga invece il processo: nessun pagamento né consegna di dati sulla sola base di una chiamata, una richiamata a un numero dei propri archivi, un secondo approvatore per i bonifici sopra un importo stabilito ed eventualmente una domanda di verifica concordata per le richieste dei dirigenti. Renda esplicito che il personale può riagganciare e richiamare, anche quando chi chiama ha esattamente la voce dell'amministratore delegato. Il monitoraggio di rete non ha alcun ruolo nel fermare tutto questo.

È un trucco che porta la vittima a eseguire da sola il comando dell'attaccante. Un sito compromesso o falso mostra qualcosa che sembra un CAPTCHA o un messaggio di errore, con le istruzioni per dimostrare di essere umani o risolvere il problema: premere una combinazione di tasti che apre una finestra di comando o di esecuzione, incollare e premere Invio. La pagina ha già copiato negli appunti un comando malevolo, quindi la persona sta in realtà lanciando uno script che scarica malware, spesso un programma che ruba informazioni o uno strumento di accesso remoto. Poiché lo esegue l'utente stesso, molte protezioni del browser e della posta non vedono mai un file da bloccare. Ricercatori di sicurezza, tra cui Microsoft, segnalano un forte aumento di questa tecnica dal 2024. Difese: dire al personale che nessun sito vero chiede mai di incollare comandi, limitare chi può eseguire script sulle normali postazioni e tenere aggiornata la protezione degli endpoint. Se succede, tratti il dispositivo come compromesso; in rete, osservi le sue nuove connessioni regolari in uscita.

Sì, anche se i tipi pericolosi sono cambiati. Dal 2022 Microsoft Office blocca per impostazione predefinita le macro nei file scaricati da internet, chiudendo per la maggior parte delle aziende la vecchia via del documento Word infetto. Gli attaccanti sono passati ad altri formati: archivi compressi con una password indicata nel testo del messaggio, file immagine disco, file di collegamento, allegati HTML che all'apertura costruiscono una falsa pagina di accesso o scaricano un file, e PDF che contengono solo un link o un codice QR. Regola pratica per il personale: un allegato inatteso che chiede di abilitare il contenuto, inserire una password, scansionare un codice o aprire un altro file è un motivo per fermarsi e chiedere. Per l'IT: bloccare i tipi di allegato poco comuni sul gateway di posta, mantenere il blocco delle macro e verificare che la protezione degli endpoint esamini i file aperti dagli archivi. Se qualcuno ha aperto qualcosa di sospetto, segua gli stessi passi di un clic su un phishing.

NetSenX vede che cosa fa il dispositivo in rete dopo, non l'e-mail né il clic in sé. Non legge il contenuto della posta e non decifra il traffico. Ciò che può mostrare, in ogni piano: un dispositivo che inizia connessioni regolari e cadenzate verso un server esterno mai usato prima (beaconing); un dispositivo che inizia a scansionare altre macchine; connessioni tra host interni che indicano movimento laterale; e volumi insoliti di dati in uscita dalla rete. Dove l'agente cattura i pacchetti, su Linux o tramite una porta mirror (SPAN), i piani da Starter mostrano anche le impronte TLS, che aiutano a individuare strumenti non coerenti con il software abituale del dispositivo. Gli avvisi indicano la tecnica MITRE ATT&CK e, da Starter, includono raccomandazioni di risposta. Se il phishing ruba solo un accesso cloud poi usato dal computer dell'attaccante, nulla di quel traffico tocca la sua rete, e il posto dove guardare sono i registri di accesso del suo fornitore di identità.