I dettagli del cliente sono stati anonimizzati per riservatezza. La dinamica dell'attacco e la risposta sono riportate fedelmente.

Il contesto

Uno studio di commercialisti con una decina di postazioni, cliente MailGestITA da alcuni mesi, riceve quotidianamente decine di email da clienti con documenti contabili in allegato: fatture, bilanci, dichiarazioni. Un flusso di lavoro che rende difficile applicare la regola "diffida degli allegati sconosciuti" — gli allegati sono, per natura del lavoro, quasi sempre attesi.

Cosa è successo

Un messaggio è arrivato da un indirizzo email molto simile a quello di un cliente reale dello studio, con oggetto coerente con una pratica in corso ("Documentazione integrativa pratica [riferimento]") e un allegato in formato .zip contenente un file Excel con macro. Alla persona che lo ha ricevuto non sarebbe apparso sospetto: il nome del mittente corrispondeva, l'oggetto era plausibile, il momento coincideva con uno scambio di documenti realmente in corso.

Cosa ha intercettato Libraesva

  • Il dominio del mittente, pur simile a quello reale, presentava una differenza minima (typosquatting) rilevata dal controllo di reputazione del mittente
  • Il file Excel contenente macro è stato eseguito in sandbox prima della consegna, dove ha mostrato un comportamento di download di codice da un indirizzo esterno non riconosciuto
  • Il messaggio è stato messo in quarantena automaticamente, con notifica all'amministratore, invece di arrivare nella casella del destinatario

Cosa sarebbe successo senza quel livello di protezione: l'apertura del file avrebbe probabilmente avviato un ransomware, con il rischio concreto di cifratura dei documenti sul computer e, a seconda della configurazione di rete dello studio, sui file condivisi. Il tempo di fermo, il costo del ripristino e il rischio reputazionale verso i clienti sarebbero stati significativi.

Cosa è successo invece

Il messaggio in quarantena è stato verificato dal nostro team, confermato come malevolo e bloccato definitivamente. Lo studio ha ricevuto una notifica sintetica dell'accaduto, senza dover gestire nulla in prima persona. L'operatività non si è mai interrotta.

Perché lo raccontiamo

Non perché sia un caso eccezionale — è, anzi, il tipo di episodio che intercettiamo regolarmente sui domini protetti. Lo raccontiamo perché rende concreto un concetto spesso astratto: la differenza tra un filtro antispam di base e un gateway di sicurezza dedicato si vede proprio in situazioni come questa, dove tutto — nome del mittente, oggetto, tempismo — è costruito per sembrare legittimo.