Phishing interno: cosa fare se l'email proviene dalla casella di un collega?

Lo scenario fa sudare freddo qualsiasi CISO o responsabile IT. Un mattino, decine di dipendenti ricevono un messaggio contenente un link di accesso o un allegato urgente. L'indirizzo del mittente non presenta alcun errore di battitura, il nome di dominio corrisponde perfettamente a quello aziendale e i protocolli SPF, DKIM e DMARC risultano tutti perfettamente allineati. Il motivo è semplice: l'attacco non proviene dall'esterno, ma viene inviato direttamente dalla casella di posta legittima di un collega a cui sono state sottratte le credenziali.

Quando un cybercriminale si insinua in un ambiente cloud come Microsoft 365 o Google Workspace, raramente punta subito a esfiltrare dati. Il suo primo riflesso consiste nell'orchestrare un movimento laterale sfruttando la fiducia incondizionata riposta nelle comunicazioni interne. Di fronte a questo vettore d'attacco, i controlli perimetrali classici si rivelano del tutto inefficaci. Il rilevamento dipende esclusivamente dalla prontezza del fattore umano e dall'applicazione immediata di procedure rigorose.

Come reagire quando un'email sospetta proviene dall'indirizzo legittimo di un collaboratore interno?#

In sintesi: Non rispondere mai direttamente al messaggio per verificare l'autenticità della richiesta. Contatta immediatamente il presunto mittente tramite un canale alternativo (telefono, chat diretta) e inoltra subito l'email al team di sicurezza (SOC o CISO) per isolare l'account compromesso.

La reazione immediata di molti utenti è cliccare su "Rispondi" chiedendo chiarimenti: "Sei stato davvero tu a mandarmi questo file?". Si tratta di un errore critico. Se la casella del collega è sotto il controllo dell'aggressore, quest'ultimo ha pieno accesso alla corrispondenza e risponderà confermando la legittimità della richiesta in pochi secondi. Spesso, inoltre, i malintenzionati creano regole di inoltro o cancellazione automatica per nascondere le comunicazioni sospette al legittimo proprietario.

Per spezzare la catena d'attacco, la risposta deve essere istantanea e articolata su due fronti:

• La verifica out-of-band: Contatta la persona attraverso un canale totalmente indipendente. Chiama il suo numero aziendale diretto, scrivigli su un canale di messaggistica separato oppure recati di persona alla sua scrivania se condividete gli stessi spazi.
• La segnalazione immediata al team cyber: Utilizza il pulsante dedicato per la segnalazione di phishing nel client di posta oppure inoltra il messaggio originale come allegato (formato .eml o .msg) all'indirizzo del team di sicurezza, preservando l'integrità dei log e degli header tecnici.

Quali anomalie svelano un attacco interno nonostante l'indirizzo email sia autentico?#

In sintesi: La scoperta si fonda sull'analisi contestuale del messaggio: un cambio repentino di registro stilistico, formule di urgenza insolite, collegamenti inattesi verso spazi cloud condivisi o risposte generiche decontestualizzate all'interno di conversazioni precedenti.

L'usurpazione di un'identità interna sfrutta la presunzione di affidabilità tra colleghi, ma gli attaccanti lasciano quasi sempre tracce evidenti. L'intruso che ha dirottato la sessione non conosce l'archivio delle relazioni personali, le dinamiche interne e il tono di voce tipico del mittente.

Diversi campanelli d'allarme devono insospettire immediatamente:

• La rottura dello stile comunicativo: Un collega con cui ti dai abitualmente del tu comincia a usare formule eccessivamente formali, saluti impostati o una sintassi visibilmente artefatta.
• Pressione psicologica e scadenze inderogabili: Il testo fa riferimento a pagamenti bloccati, accessi informatici in scadenza entro poche ore o contratti di riservatezza da firmare con la massima urgenza.
• Richiesta anomala di credenziali: Il link rimanda a una schermata di login contraffatta che richiede di reinserire username e password aziendali per visualizzare un finto documento su SharePoint, OneDrive o Google Drive.
• Dirottamento delle conversazioni (Thread Hijacking): L'aggressore riapre un vecchio scambio di email risalente a mesi prima inserendo il link malevolo, senza alcun nesso logico con gli ultimi argomenti discussi.

Perché il phishing interno favorisce una propagazione laterale così rapida?#

Il phishing da account ad account interno rappresenta la leva di escalation dei privilegi più pericolosa per un'organizzazione. Nel momento in cui il primo account cade (spesso a causa del furto di cookie di sessione tramite tecniche adversary-in-the-middle che aggirano l'MFA), l'attaccante ottiene la rubrica aziendale completa.

Da quel momento può mappare l'organigramma e puntare ai ruoli più sensibili: amministrazione, finanza, risorse umane o team IT. In pochi minuti distribuisce esche altamente mirate verso profili dotati di privilegi elevati. Poiché l'email proviene dalla rete interna, il livello di diffidenza dei dipendenti crolla drasticamente rispetto ai messaggi provenienti da domini esterni.

Per arginare questa minaccia, le aziende devono superare la formazione teorica statica. L'addestramento pratico su scenari reali è ormai un requisito irrinunciabile. Grazie al simulatore Super Phisher, distribuito su misura insieme al nostro team, puoi sottoporre i tuoi collaboratori a simulazioni di social engineering verosimili, replicando le dinamiche di violazione d'identità e propagazione interna per consolidare riflessi efficaci prima che si verifichi un incidente reale.

ESPERIENZA OPERATIVA BRAIN SECURITY · Super Phisher

Quale piano di risposta rapida deve attivare il reparto IT appena riceve la segnalazione?#

Non appena viene segnalato un caso di phishing interno, ogni secondo è prezioso per contenere la minaccia ed evitare una compromissione a catena dell'infrastruttura aziendale:

• Revoca immediata delle sessioni attive: Il team IT deve reimpostare tempestivamente la password dell'account violato e revocare tutti i token di autenticazione e le sessioni web attive su qualsiasi dispositivo.
• Controllo delle regole di posta (Inbox Rules): Gli attaccanti impostano quasi sempre regole nascoste (inoltri automatici o eliminazione dei messaggi in arrivo contenenti termini come "phishing", "password" o "sicurezza"). Queste regole vanno analizzate e cancellate subito.
• Bonifica massiva dell'email distribuita: Tramite gli strumenti di amministrazione del tenant cloud (ad esempio le funzioni di ricerca e cancellazione su Microsoft 365 o Google Workspace), i sistemisti devono eliminare il messaggio malevolo da tutte le caselle dei destinatari interni prima che venga aperto.
• Analisi forense dei registri di accesso: Lo studio degli indirizzi IP, della geolocalizzazione e dei metadati dei browser permette di individuare il momento esatto dell'intrusione iniziale e verificare se siano stati esfiltrati dati sensibili.

Difendere l'organizzazione da attacchi che sfruttano canali interni legittimi richiede un'integrazione perfetta tra tecnologie di sicurezza e reattività delle persone. Per strutturare un programma di cyber-addestramento calibrato sui tuoi rischi operativi, parlaci dei tuoi obiettivi e confrontati direttamente con i professionisti di Brain Security.

Per approfondire: articoli correlati e soluzioni Brain Security#

Articoli complementari su questo tema

• Smart working, treno e hotel: 6 errori di cybersicurezza in mobilità che espongono l'azienda (Phishing e Ingegneria sociale) : Scopri le buone pratiche di cybersicurezza in mobilità: Wi-Fi pubblico, shoulder surfing e VPN per proteggere i tuoi dipendenti da remoto.
• Infostealer: salvare password aziendali nel browser non gestito è rischioso (Phishing e Ingegneria sociale) : Scopri come gli infostealer rubano credenziali e cookie di sessione dai browser non gestiti per compromettere la tua rete aziendale.
• Scareware e falsi allarmi del browser: Riconoscere le trappole web (Phishing e Ingegneria sociale) : Blocca scareware e falsi virus del browser. Scopri le tecniche ClickFix e insegna ai dipendenti a proteggere la navigazione web quotidiana.
• Studi legali e società di consulenza: Proteggere il segreto professionale dagli attacchi mirati (Settori e Ruoli) : Scopri perché studi legali e società di consulenza sono nel mirino dei cybercriminali e come difendere i professionisti dal pericolo del spear-phishing.

Scoprire le soluzioni Brain Security sul sito

• Soluzione associata : Super Phisher : Il simulatore di phishing che allena i Suoi team agli attacchi reali, dalla falsa e-mail al QR code trappola, in un quadro controllato che non cattura mai una password.
• Consultare i casi d’uso per obiettivo e settore
• Confrontare i nostri formati di sensibilizzazione cyber e IA
• Esplorare l’intero catalogo interattivo di Brain Security
• Parlare delle vostre esigenze con il nostro team (demo e attivazione)