I dettagli del cliente sono stati anonimizzati per riservatezza. La dinamica dell'incidente e la risposta sono riportate fedelmente.
Il contesto
Una PMI cliente MailGestITA, una ventina di caselle attive. Un dipendente utilizzava, per la propria email aziendale, la stessa password già usata su un servizio esterno coinvolto in una violazione di dati resa pubblica settimane prima — una pratica comune, ma rischiosa.
Cosa è successo
Le credenziali trapelate sono state riutilizzate da un attaccante per accedere alla casella email aziendale. Da lì, l'account compromesso ha iniziato a inviare centinaia di messaggi di spam in poche ore, sfruttando la rubrica dei contatti aziendali per aumentare la credibilità degli invii. Il volume anomalo ha fatto sì che diversi provider di posta destinatari segnalassero il dominio come sorgente di spam, e il dominio è finito in tre blacklist pubbliche.
L'effetto immediato: le email legittime dell'intera azienda — fatture, comunicazioni con clienti e fornitori — hanno iniziato a non arrivare più a destinazione, o a finire nello spam dei destinatari, indipendentemente dal fatto che provenissero dalla casella compromessa o da qualsiasi altra casella del dominio.
Cosa abbiamo fatto
- Il monitoraggio ha rilevato il volume di invio anomalo dall'account compromesso e ha generato un allarme immediato al nostro team
- Abbiamo bloccato l'account compromesso entro pochi minuti dalla rilevazione, interrompendo l'invio di ulteriore spam
- Abbiamo forzato il reset della password e verificato l'assenza di regole di inoltro sospette o ulteriori compromissioni sul dominio
- Abbiamo attivato l'autenticazione a più fattori sull'account interessato, per prevenire recidive
- Una volta risolta la causa, abbiamo inoltrato le richieste di delisting a ciascuna delle blacklist coinvolte
Il risultato
La deliverability del dominio è stata ripristinata nel giro di poche ore dalla segnalazione iniziale. Nessun dato è andato perso, e — a differenza di un delisting affrettato senza risolvere la causa — il dominio non è più rientrato in blacklist, perché la falla che aveva permesso l'accesso era stata chiusa prima di richiedere la rimozione.
Perché lo raccontiamo
Perché mostra bene come un problema apparentemente "solo tecnico" (deliverability, blacklist) abbia quasi sempre una causa a monte — in questo caso, il riutilizzo di una password compromessa su un altro servizio. Il monitoraggio attivo e una risposta rapida hanno fatto la differenza tra un disservizio di poche ore e un danno reputazionale prolungato.