Sale dati virtuali e operazioni sensibili
Acquisizione, raccolta di capitali, audit: come riconoscere falsi link, falsi bonifici e falsi interlocutori che prendono di mira una sala dati.
In 30 secondi
- Dove succede
- In un'email d'invito, in una richiesta di bonifico o in un messaggio di un sedicente avvocato o dirigente, nel contesto di un'operazione non pubblica.
- Cosa vuole l'attaccante
- Rubare le credenziali per entrare nello spazio di condivisione, ottenere informazioni o far eseguire un bonifico.
- Il riflesso
- Verificare ogni invito o richiesta insolita tramite un secondo canale scelto da Lei, senza usare i recapiti indicati nel messaggio.
- Se è già successo
- Avvisare subito i responsabili della sicurezza e cambiare le password interessate.
Di cosa si tratta
Un'operazione sensibile (acquisizione, raccolta di capitali, audit legale) obbliga a condividere documenti riservati con persone esterne all'azienda: acquirente, investitori, avvocati, revisori. I documenti vengono spesso caricati in una sala dati virtuale (data room), uno spazio online in cui si invita ciascuno e si stabilisce che cosa può consultare.
Le fonti citate qui non descrivono le sale dati in sé. Descrivono le tecniche di phishing, di usurpazione d'identità e di frode del bonifico che colpiscono qualsiasi spazio di condivisione. Questa scheda ne ricava ciò che riguarda un dipendente coinvolto in un'operazione riservata, senza affermare nulla sul funzionamento di una piattaforma in particolare.
Domande dirette
Perché un'operazione sensibile attira i truffatori?
Perché riunisce persone che non sempre si conoscono, messaggi urgenti e denaro. Il MITRE descrive lo spearphishing come un messaggio di manipolazione rivolto a una persona, a un'azienda o a un settore precisi1. L'attaccante può fingersi una fonte attendibile1. Un'operazione in corso offre un pretesto già pronto.
Un link d'invito può essere falso?
Sì. Secondo il MITRE, il sito falso può essere un clone di un portale di accesso legittimo, oppure somigliargli e avere un indirizzo che riprende elementi di quello vero2. Il messaggio è spesso accompagnato da diversi solleciti in apparenza urgenti2. L'obiettivo è ottenere credenziali o altre informazioni utilizzabili2.
Un messaggio di un collega è per forza sicuro?
No. Quando un account interno è compromesso, l'attaccante lo usa per ingannare altre persone della stessa organizzazione, spesso fingendosi qualcun altro3. Il MITRE cita tra i canali usati anche i sistemi di messaggistica interna, come Microsoft Teams3. Osserva che questo tipo di attacco è difficile da prevenire con controlli tecnici, perché sfrutta funzioni normali3.
Può arrivare una richiesta di bonifico legata all'operazione?
Sì. In una truffa del CEO o in una compromissione della posta elettronica aziendale, l'attaccante imita un'entità di fiducia, poi la vittima invia denaro a un conto che lui controlla4. Il MITRE precisa che questi incidenti possono fare più vittime: gli account compromessi e chi perde il denaro4.
1Come funziona1 min
L'ingegneria sociale, secondo la CISA, consiste nell'ottenere informazioni su un'organizzazione attraverso il contatto umano. L'attaccante può presentarsi come un nuovo dipendente, un riparatore o un ricercatore, e arrivare a fornire falsi giustificativi5. Se da una persona non ottiene abbastanza, ne contatta un'altra della stessa organizzazione e si appoggia a ciò che la prima ha detto per sembrare credibile5.
Applicato a un'operazione riservata, questo dà due scenari. Nel primo, un falso messaggio d'invito porta a una pagina di accesso imitata. Le credenziali inserite servono poi per entrare negli account della vittima. Nel secondo, l'attaccante si inserisce nelle conversazioni, assume l'identità di un avvocato o di un dirigente e chiede un documento, un'informazione o un pagamento.
2Cosa fa Lei2 min
- Verifichi l'identità di ogni nuovo invitato o interlocutore con un mezzo diverso dal messaggio ricevuto. La CISA raccomanda di contattare la persona in altro modo, per esempio telefonando se se ne ha il numero6. Chiede inoltre di non usare i recapiti riportati su un sito collegato alla richiesta e di riprendere quelli di scambi precedenti5.
- Non clicchi sul link di un messaggio dubbio. Cybermalveillance.gouv.fr consiglia di passare il cursore sul link senza cliccare per vedere l'indirizzo reale, oppure di usare un preferito creato da Lei7. L'indirizzo mostrato nel browser deve corrispondere esattamente al sito atteso, perché basta un solo carattere per cambiarlo7.
- Non comunichi informazioni sull'organizzazione, sulla sua struttura o sulle sue reti finché non è certo che la persona abbia il diritto di riceverle5.
- Non risponda a un messaggio che richiede informazioni sensibili per email: la CISA sconsiglia di fornirle con questo canale e di seguire i link ricevuti5.
- Attivi l'autenticazione a più fattori quando esiste: impedisce a un terzo di accedere a un account con la sola password6.
- Segnali le richieste insolite. La CISA indica che il pulsante di segnalazione si trova in genere vicino all'indirizzo del mittente6.
Le fonti citate qui non trattano né della filigrana, né dei permessi per cartella, né del registro delle consultazioni di una sala dati: solo il team che amministra la piattaforma può rispondere su questi punti.
3Le trappole2 min
L'urgenza e la pressione
La CISA include tra i segnali più comuni un linguaggio urgente o emotivo, che annuncia gravi conseguenze in assenza di una risposta immediata6. Cita anche le richieste di informazioni personali o finanziarie e gli indirizzi o i link scorretti6. Una scadenza di firma non è un motivo per saltare una verifica.
Messaggi senza errori
La CISA osserva che l'ortografia scorretta è stata a lungo un indizio, ma che alcune email hanno ormai una grammatica perfetta nell'era dell'intelligenza artificiale. Occorre quindi cercare gli altri segnali6.
L'indirizzo quasi identico
Gli attaccanti usano un indirizzo simile a quello di un'azienda nota, modificando o omettendo qualche carattere5. Un link il cui testo visualizzato non corrisponde alla destinazione mostrata al passaggio del cursore può essere falsificato5. Gli indirizzi abbreviati nascondono la vera destinazione5.
La finestra di accesso imitata
Il MITRE descrive un attacco detto «browser-in-the-browser»: una falsa finestra pop-up con una barra degli indirizzi imitata, che mostra un indirizzo dall'aspetto legittimo e aggira la consueta verifica dell'indirizzo2. Il MITRE descrive anche il consenso ingannevole: una richiesta di autorizzazione OAuth 2.0 malevola che, se accettata, dà a un'applicazione diritti sull'account1. Un token rubato permette di agire a nome dell'utente1.
Il messaggio al destinatario sbagliato
Le fonti citate qui non trattano l'errore di destinatario, che dipende dalla distrazione e non da un attacco. Il riflesso di rileggere l'indirizzo prima dell'invio non vi compare; la scheda si limita quindi a ciò che è documentato: verificare l'identità di coloro a cui si trasmette qualcosa.
4Se ha già cliccato o risposto1 min
La CISA chiede di segnalare senza attendere alle persone competenti dell'organizzazione, tra cui gli amministratori di rete, ogni possibile divulgazione di informazioni sensibili, perché possano sorvegliare le attività anomale5. Le password rivelate vanno cambiate subito, insieme a quelle degli altri account in cui si usava la stessa password5. Cybermalveillance.gouv.fr aggiunge di conservare le prove, in particolare il messaggio di phishing ricevuto7.
In caso di addebito fraudolento o di dati di pagamento comunicati, la stessa fonte chiede di fare opposizione presso la banca7. Menziona anche la denuncia7. Sul versante britannico, il NCSC spiega che può indagare sugli indirizzi e sui siti truffa e farli rimuovere, e che segnalare un messaggio è gratuito e richiede un minuto8.
Scheda
- Identificativo
- CP-364
- Ala
- 5. Vita in ufficio e riflessi
- Competenza Brain
- Evitare le truffe (handle_scams)
- Riflesso Brain
- cr-083
- Schema
- G5 · Albero decisionale del riflesso
- Lingue
- de, en, es, fr, it
- Fonti
- 8 fonti verificate il 3 novembre 2026
Fonti8 fonti
- MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/003/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Financial Theft, Technique T1657 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1657/ (consultato il 3 novembre 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026)
- CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultato il 3 novembre 2026)
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance», 10 gennaio 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Sale dati virtuali e operazioni sensibili», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp364_it_2026,
author = {Brain},
title = {Sale dati virtuali e operazioni sensibili},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/sale-dati-virtuali-riservatezza-operazioni/},
note = {CC BY 4.0}
}