Una richiesta di pagamento apparentemente inviata dal fornitore giusto, una fattura con coordinate bancarie modificate, una password sottratta a un collaboratore: spesso un incidente informatico inizia così. I controlli per sicurezza posta aziendale non servono soltanto a fermare lo spam. Servono a impedire che un messaggio compromesso diventi un bonifico errato, un accesso non autorizzato o un blocco del lavoro.
Per una PMI, la posta elettronica è insieme strumento operativo, archivio di informazioni e canale di relazione con clienti, fornitori e consulenti. Proprio per questo va gestita come un elemento centrale dell’infrastruttura IT, non come una semplice casella da configurare una volta e dimenticare.
Perché la posta è il bersaglio preferito
La posta aziendale è un obiettivo molto conveniente per chi attacca. Permette di raggiungere le persone nel momento in cui lavorano, usando riferimenti reali: una consegna, un ordine, un curriculum, un documento condiviso. Non serve sempre violare un server. Basta convincere un dipendente ad aprire un allegato, inserire le credenziali su una pagina falsa o autorizzare un accesso.
Il phishing non è più riconoscibile solo dagli errori grossolani. I messaggi possono usare loghi corretti, firme copiate e un linguaggio credibile. In alcuni casi, l’aggressore prende il controllo di una casella reale e dialoga all’interno di una conversazione già avviata. È qui che si verificano le frodi più insidiose, perché il destinatario vede un mittente conosciuto e abbassa la soglia di attenzione.
La sicurezza efficace non dipende quindi da un unico filtro. È un insieme di controlli tecnici, regole operative e verifiche periodiche. Se una barriera non intercetta il problema, quella successiva deve limitare il danno.
Controlli per la sicurezza della posta aziendale: da dove partire
Il punto di partenza è capire come viene usata davvero la posta: quali caselle gestiscono pagamenti o dati riservati, chi accede da remoto, quali dispositivi sono autorizzati e se esistono account non più necessari. Senza questa fotografia iniziale, si rischia di acquistare strumenti corretti ma configurati in modo generico.
Proteggere gli accessi prima dei messaggi
La password da sola non è più una difesa sufficiente, anche quando è lunga e complessa. Può essere riutilizzata, intercettata con una falsa pagina di accesso o sottratta da un dispositivo compromesso. L’autenticazione a più fattori aggiunge una verifica ulteriore e riduce drasticamente il rischio che una password rubata apra la porta alla casella.
La sua attivazione va accompagnata da regole chiare. Gli account amministrativi devono essere separati da quelli usati ogni giorno per leggere la posta. Le credenziali non devono essere condivise tra colleghi, nemmeno per comodità. Quando una persona cambia mansione o lascia l’azienda, accessi, deleghe e inoltri automatici vanno revisionati subito.
Anche la gestione delle sessioni conta. Un accesso insolito da un Paese inatteso, da un dispositivo non riconosciuto o in orari anomali non prova automaticamente un attacco, ma merita un controllo. Il monitoraggio serve proprio a individuare queste eccezioni prima che diventino un problema più ampio.
Filtrare spam, phishing e allegati pericolosi
Un buon sistema di protezione della posta analizza mittente, dominio, reputazione, contenuto, collegamenti e allegati. I messaggi sospetti possono essere bloccati, messi in quarantena o contrassegnati per una valutazione più attenta. La scelta dipende dal tipo di attività: un’azienda che riceve molti documenti da clienti e fornitori non può adottare filtri così rigidi da fermare comunicazioni legittime.
Qui il compromesso è reale. Un filtro aggressivo riduce l’esposizione, ma può generare falsi positivi e rallentare il lavoro. Un filtro troppo permissivo lascia passare più minacce. Per questo occorre controllare periodicamente la quarantena, definire eccezioni limitate e verificare che non siano state create regole di inoltro o autorizzazioni improprie.
Particolare attenzione va riservata agli allegati eseguibili, ai file compressi e ai documenti che chiedono di abilitare macro o contenuti attivi. Non tutti sono dannosi, ma devono essere trattati con prudenza. Quando un file è inatteso, anche se arriva da un contatto noto, conviene confermarne l’invio attraverso un canale diverso.
Verificare che il mittente sia davvero chi dice di essere
I domini aziendali devono essere configurati per ridurre il rischio di impersonificazione. SPF, DKIM e DMARC sono controlli tecnici che aiutano i server destinatari a verificare se un messaggio inviato a nome dell’azienda proviene da fonti autorizzate e se è stato alterato lungo il percorso.
Non sono sigle da lasciare al reparto tecnico senza una verifica. Una configurazione incompleta può far finire messaggi legittimi nello spam oppure consentire a terzi di inviare email usando il dominio aziendale. La fase iniziale di monitoraggio è utile per capire quali servizi inviano posta per conto dell’impresa, come gestionali, newsletter, siti web o piattaforme di assistenza. Solo dopo si possono applicare regole più restrittive senza creare disservizi.
Questi protocolli non eliminano il phishing proveniente da domini simili o da account reali compromessi. Riducono però una delle forme più comuni di truffa: l’email che sembra arrivare direttamente dal proprio dominio o da quello di un partner.
Ridurre l’accesso dai dispositivi non gestiti
Una casella ben protetta può diventare vulnerabile se viene aperta da un computer privo di aggiornamenti, da uno smartphone personale senza blocco schermo o da un browser che conserva credenziali in modo non controllato. La sicurezza della posta deve quindi includere i dispositivi che la utilizzano.
Per molte PMI è ragionevole consentire l’accesso mobile, ma con regole proporzionate: codice di sblocco, aggiornamenti, possibilità di cancellare i dati aziendali da remoto in caso di smarrimento e separazione tra profilo personale e professionale dove disponibile. Non tutte le realtà hanno bisogno delle stesse limitazioni. Un piccolo studio con pochi utenti ha esigenze diverse da un’azienda con personale commerciale distribuito sul territorio. L’obiettivo è mantenere il lavoro fluido senza rinunciare al controllo.
Le persone hanno bisogno di procedure, non di colpe
La formazione contro il phishing non consiste nell’inviare una comunicazione generica una volta all’anno. Deve dare alle persone criteri pratici per fermarsi prima di agire. Un’urgenza insolita, una richiesta di riservatezza, il cambio improvviso delle coordinate bancarie o una richiesta di credenziali sono segnali che richiedono una verifica.
La procedura più utile è semplice: nessuna modifica a pagamenti, IBAN, password o autorizzazioni viene confermata esclusivamente via email. Per i casi sensibili si usa un numero conosciuto, una chiamata interna o un altro canale già verificato. Questo passaggio richiede pochi minuti e può evitare una perdita difficile da recuperare.
Le simulazioni di phishing possono essere utili se vengono usate per migliorare comportamenti e non per mettere in difficoltà i dipendenti. L’obiettivo è far emergere i punti deboli nei processi, non assegnare colpe. Se chi riceve un messaggio sospetto sa a chi inoltrarlo e riceve una risposta rapida, è molto più probabile che segnali anche il prossimo.
Archiviazione, backup e conservazione: tre funzioni diverse
Un equivoco frequente è considerare la posta nel cloud automaticamente protetta da ogni evento. La disponibilità del servizio non sostituisce un backup indipendente. Un messaggio può essere cancellato per errore, eliminato da un aggressore che ha ottenuto l’accesso o perso a causa di una regola di sincronizzazione errata.
Il backup consente di recuperare dati e caselle entro tempi definiti. L’archiviazione conserva invece le comunicazioni in modo ordinato e ricercabile, spesso per esigenze operative o normative. La conservazione a norma risponde a requisiti specifici di integrità, tracciabilità e durata. Sono aspetti collegati, ma non equivalenti: scegliere uno non significa avere automaticamente anche gli altri.
Prima di decidere la soluzione, l’azienda dovrebbe stabilire quali messaggi devono essere recuperabili, per quanto tempo e con quale rapidità. Una casella commerciale, una casella amministrativa e una casella generica possono avere esigenze diverse. Definire queste priorità evita sia costi inutili sia scoperte spiacevoli durante un controllo o un incidente.
Cosa fare quando una casella è sospetta
La velocità fa la differenza. Se un utente sospetta di aver inserito le credenziali in una pagina falsa o nota attività anomale, non deve limitarsi a cambiare la password e continuare a lavorare. Occorre isolare il problema, revocare le sessioni attive, verificare regole di inoltro, deleghe, applicazioni collegate e messaggi inviati dalla casella.
Va poi valutato se l’account sia stato usato per colpire clienti o fornitori. In caso affermativo, una comunicazione tempestiva e precisa può limitare le conseguenze. L’azienda deve sapere chi contattare e quali passaggi seguire prima che accada: affidarsi all’improvvisazione durante un attacco aumenta tempi, stress e possibilità di errore.
Un supporto IT continuativo aiuta proprio in questo punto. Non si limita a intervenire quando la posta smette di funzionare, ma controlla configurazioni, aggiornamenti, accessi e segnali anomali con regolarità. Helpwebnet lavora con questa logica: ridurre le occasioni di blocco e offrire un referente che prenda in carico il problema quando serve davvero.
La domanda utile non è se la vostra azienda riceverà un’email sospetta, perché accadrà. La domanda è se, quando arriverà, persone, procedure e tecnologia saranno già pronte a fermarla senza interrompere il lavoro.