Gestiamo e proteggiamo la tua infrastruttura ICT
Info & Contatti
Dove siamo
Le 5 "porte segrete" che gli hacker lasciano aperte
Durante il periodo di intrusione, un attaccante può configurare diversi meccanismi di persistenza per continuare a spiare o inviare messaggi anche dopo il cambio password :
1) Sessioni attive e Token/Cookie salvati:
I provider email (come Microsoft 365 o Google Workspace) utilizzano token di sessione per evitare di richiedere la password a ogni apertura del browser o dell'app . Se l'hacker ha rubato o attivato una sessione prima del cambio password, la sua connessione può rimanere valida finché il token non viene revocato esplicitamente dall'amministratore IT .
2) Regole di inoltro automatico e filtri nascosti:
Un attaccante può creare regole che inoltrano automaticamente una copia di ogni nuova email a un indirizzo esterno . Spesso impostano filtri mirati a intercettare solo messaggi contenenti parole chiave come "fattura", "bonifico", "banca" o "password" . Inoltre, possono creare regole per nascondere avvisi di sicurezza o risposte dei clienti in cartelle secondarie .
3) Applicazioni terze connesse via OAuth:
Molti strumenti di lavoro (gestionali, calendari, app mobile) si collegano all'email tramite protocollo OAuth . Gli hacker sfruttano spesso app ingannevoli (app consent grant) per farsi autorizzare l'accesso a email, contatti e file . Queste applicazioni mantengono i permessi di lettura indipendentemente dal cambio password .
4) Deleghe e permessi della casella (Full Access / Send As):
Nei sistemi aziendali è possibile delegare l'accesso ad altre persone . Se l'intruso assegna permessi di delega ad un altro account compromesso, potrà continuare a leggere la posta o inviare messaggi a nome del titolare .
5) Metodi di recupero e MFA alterati:
Durante l'intrusione, l'attaccante può registrare un proprio numero di telefono, un'email di recupero secondaria, un'app di autenticazione o una passkey . In questo modo può ripristinare l'accesso o approvare nuovi login in qualsiasi momento .
La procedura di bonifica e messa in sicurezza
Alcune delle verifiche necessarie possono essere eseguite esclusivamente dai pannelli di amministrazione IT e non dall'interfaccia utente standard della casella di posta . Il team tecnico interviene con un protocollo strutturato : Sospensione e Revoca immediata delle Sessioni: Disabilitiamo temporaneamente l'account e revochiamo tutti i token di sessione e i cookie di accesso attivi su ogni dispositivo .
Generazione di nuove Credenziali Sicure: Impostiamo una nuova password complessa e non riutilizzata, trasmettendola al cliente attraverso canali sicuri (non via mail) ed eliminando eventuali password per app datate .
Audit e Bonifica della Casella: Verifichiamo e rimuoviamo regole d'inoltro (comprese quelle nascoste), filtri, permessi di delega, firme alterate e connessioni POP/IMAP non autorizzate .
Revisione App e Metodi di Recupero: Analizziamo tutte le app OAuth collegate ed eliminiamo qualsiasi dispositivo MFA, numero di telefono o chiave di sicurezza non riconosciuti dall'utente .
Analisi e Notifica: Esaminiamo i log di accesso e le cartelle (Inviati, Cestino, Bozze) per verificare se siano stati inviati messaggi fraudolenti o coordinate bancarie modificate, supportando l'azienda nel contattare clienti o istituti di credito in caso di frode finanziaria .
Protezione Preventiva Avanzata: Riattiviamo l'account richiedendo l'Autenticazione a Più Fattori (MFA) obbligatoria (preferendo passkey o chiavi hardware anti-phishing) e impostando policy aziendali che bloccano l'inoltro automatico all'esterno e limitano l'installazione di app terze .
Domande Frequenti (FAQ)
Cambiare la password disconnette automaticamente tutti i dispositivi?
Dipende dal provider email. In molti servizi aziendali, per disconnettere subito app e browser già aperti occorre un comando specifico dell'amministratore IT per revocare i token di sessione .
Un'applicazione può leggere le mie email anche dopo il cambio password?
Sì. Se l'applicazione è stata autorizzata tramite OAuth, dispone di permessi diretti per accedere ai dati senza dover conoscere o memorizzare la tua password .
L'Autenticazione a Due Fattori (MFA) da sola protegge un account compromesso?
L'MFA è fondamentale per bloccare nuovi accessi non autorizzati, ma non elimina automaticamente le regole di inoltro, le app connesse, i delegati o le sessioni che l'hacker ha già configurato .
Vuoi verificare la sicurezza delle caselle email della tua azienda? Se credi che un account aziendale sia stato violato o desideri impostare policy di protezione avanzate per Microsoft 365 e Google Workspace, contatta subito il supporto di CARE INFORMATICA
care@careinformatica.com | +39 049 8256 977
Via Venezuela 15, 35127 Padova