Allarme bomba nelle scuole: il vero incidente informatico è un account dimenticato

Allarme bomba nelle scuole: il vero incidente informatico è un account dimenticato

L’11 novembre una mail minatoria ha raggiunto circa 6.300 scuole statali. Le scuole non sono state violate: il messaggio è partito dalla casella autentica di un’università di Taiwan, compromessa mesi prima. Una lezione che riguarda anche le aziende.

Cosa è successo

Mercoledì 11 novembre, poco prima delle 10, circa 6.300 scuole statali italiane hanno ricevuto una mail che annunciava un ordigno nell’edificio. Circa 300 sono state evacuate e i controlli non hanno trovato nulla. Il giorno dopo una seconda ondata ha raggiunto 3.788 scuole secondo Palazzo Chigi: le evacuazioni sono state 77.

Da dove è partita la mail

Il mittente era un indirizzo autentico della Da-Yeh University, ateneo privato di Taiwan con posta su Microsoft 365. L’università ha confermato che l’account apparteneva a una ex studentessa, risultava compromesso già da inizio anno e non era stato disattivato (Il Post).

L’ateneo se n’è accorto ore dopo, notando un volume anomalo di messaggi in uscita. Ha sospeso l’account e conservato i log per l’indagine, coordinata dalla Procura di Milano con la Polizia Postale. Gli indirizzi delle scuole, con ogni probabilità, provenivano dagli open data del Ministero: per raccoglierli non serviva violare alcun sistema.

Perché i controlli non l’hanno fermata

SPF, DKIM e DMARC verificano che chi spedisce a nome di un dominio ne abbia il diritto. Il dominio dell’università autorizza Microsoft 365 a inviare per suo conto: una mail partita dall’account vero, con ogni probabilità, supera quindi il controllo SPF. Secondo le verifiche di Managed Server, quel dominio non pubblica nemmeno una policy DMARC.

Il punto non è l’autenticazione del dominio, ma la password. Un account autentico in mani sbagliate spedisce messaggi che i filtri considerano legittimi. Anche l’indirizzo IP aiuta poco: identifica un server di Microsoft, non chi ha scritto. Per risalire all’autore servono i log dell’account, il fornitore e la collaborazione delle autorità di Taiwan.

Una procedura riduce il danno

Il 12 novembre il governo ha ricordato che una mail inviata in massa, senza altri elementi concreti, non giustifica l’evacuazione: la decisione spetta al Prefetto (Avvenire). Tra le due giornate le evacuazioni sono scese da circa 300 a 77. Criteri e ruoli decisi in anticipo limitano l’effetto di un messaggio che non contiene nulla di tecnico.

Cosa significa per un’azienda

Questa volta il mittente era un’università di Taiwan. Domani potrebbe essere la casella di un ex dipendente, di un consulente o di un fornitore. Quattro controlli concreti:

1. Chiudere gli account dimenticati. Disattivare le caselle di chi lascia l’azienda, collaboratori e stagisti compresi, e rivedere periodicamente quelle inattive.

2. Attivare l’autenticazione a più fattori su tutte le caselle. Una password rubata, da sola, non deve bastare.

3. Monitorare la posta in uscita. Un picco di invii verso destinatari mai contattati è il segnale che l’università ha visto solo dopo ore.

4. Pubblicare SPF, DKIM e DMARC sul proprio dominio. Non fermano un account rubato, ma impediscono a terzi di spacciarsi per voi.

Sul lato di chi riceve conta la rapidità: sapere in pochi minuti quali caselle hanno ricevuto un messaggio, conservarne l’originale con le intestazioni complete e rimuovere le copie dopo aver preservato le evidenze.

Filtrare non basta: serve qualcuno che analizzi

Nessun filtro può valutare da solo la credibilità di una minaccia scritta in testo semplice da un account autentico. Un SOC non avrebbe fermato quella mail, ma avrebbe accorciato i tempi per capirla e gestirla: esaminare il messaggio, ricostruire quali caselle ha raggiunto, conservare le evidenze e aiutare a decidere cosa fare.

È il lavoro che il SOC di SimpleCyb svolge ogni giorno per i propri clienti: un team di analisti da contattare quando arriva qualcosa di sospetto, che esamina i segnali e aiuta a capire se c’è un problema reale.