Le impostazioni predefinite servono a far funzionare, non a proteggere
È una distinzione che vale la pena capire, perché spiega quasi tutti i problemi che troviamo. Microsoft 365 arriva configurato per ridurre l’attrito: tutto funziona subito, nessuno si blocca, l’adozione è rapida. È una scelta sensata per un prodotto venduto a milioni di organizzazioni diverse.
In un contesto aziendale quelle stesse scelte diventano esposizioni, e le tre che pesano di più sono sempre le stesse.
1. L’inoltro automatico verso l’esterno
È il meccanismo più sottovalutato e quello dietro le frodi più costose.
Un attaccante che ottiene le credenziali di una casella — comprate in un elenco, oppure consegnate su una finta pagina di accesso — non ha bisogno di tornare. Imposta una regola che gli inoltra copia di tutta la posta e poi non fa più nulla di rilevabile. Resta a leggere per settimane, impara come parlate con i vostri fornitori, e interviene solo quando c’è un pagamento in corso.
È il motivo per cui la richiesta di cambio coordinate bancarie arriva sempre nel momento giusto, dentro una conversazione vera. Non c’è nulla di anomalo da bloccare: c’è una regola di posta che nessuno ha guardato.
La correzione: bloccare l’inoltro automatico verso indirizzi esterni a livello di organizzazione, e verificare le regole già esistenti — perché se qualcuno è già entrato, quella regola c’è adesso.
2. Il secondo fattore, e i protocolli che lo aggirano
Attivare il secondo fattore è la singola misura con il rendimento più alto, e questo è noto. Meno noto è che in alcune configurazioni si può accedere alla posta aggirandolo, usando protocolli più vecchi che il secondo fattore non lo supportano proprio.
Finché quei protocolli restano attivi, una password rubata continua a funzionare. Vanno disattivati insieme all’attivazione del secondo fattore, non dopo.
C’è poi un ordine di priorità che quasi tutti sbagliano: si protegge la posta di tutti e si lasciano scoperti gli account con privilegi di amministrazione, che sono quelli con le conseguenze peggiori e spesso i meno curati perché li usa una persona sola.
3. I collegamenti di condivisione
La condivisione di un file con un collegamento è comoda e viene usata continuamente. Il problema è che quel collegamento resta valido finché qualcuno non lo revoca, e nessuno lo revoca.
Negli assessment troviamo regolarmente documenti aziendali raggiungibili da chiunque abbia l’indirizzo, creati anni prima per mandarli a un fornitore che nel frattempo non lavora più con l’azienda. Non è una violazione clamorosa: è una porta lasciata socchiusa e dimenticata.
La correzione è in due tempi: impostare per il futuro chi può creare quale tipo di collegamento e con quale scadenza, e fare una revisione di quelli esistenti — che è la parte più lunga del lavoro.
Il backup: l’equivoco più diffuso di tutti
Microsoft garantisce che il servizio sia disponibile. Non garantisce il recupero dei vostri contenuti dopo una cancellazione, una cifratura o un errore.
I cestini esistono ma hanno tempi di conservazione limitati, e un attacco condotto con credenziali valide viene registrato come attività legittima: non c’è nulla che scatti. Quando ci si accorge del problema, i tempi possono essere già scaduti.
Serve una copia indipendente, con le stesse regole di ogni altro backup: fuori dal perimetro, con versioni precedenti conservate e almeno una copia non modificabile. Ne parliamo nella pagina sul backup remoto.
Che cosa guardiamo in una revisione
- Account e privilegi: quanti amministratori esistono davvero, e quanti dovrebbero essere;
- Secondo fattore: su chi è attivo, e se esistono percorsi che lo aggirano;
- Regole di posta: inoltri esterni già impostati, che è anche il modo di scoprire una compromissione in corso;
- Condivisioni attive: collegamenti pubblici esistenti e loro scadenza;
- Registri di verifica: se sono attivi e per quanto tempo conservano, perché senza non si ricostruisce niente;
- Protezione della posta: filtri, verifica del mittente, gestione degli allegati;
- Utenze dismesse: caselle di persone uscite, ancora attive e ancora licenziate.
Il resto
Vedi anche l’assistenza Microsoft 365 per la gestione quotidiana, la sicurezza informatica per il quadro completo e il backup remoto per la copia indipendente.
Il primo passo
Una revisione del vostro ambiente Microsoft 365 con l’elenco delle correzioni in ordine di rischio, distinguendo quelle che si applicano subito da quelle che richiedono una decisione. Gratuitamente e senza impegno.