Incident response: quando l’ambiente di posta è compromesso
Una casella invia improvvisamente phishing, i clienti ricevono false richieste di pagamento, sul server Exchange c’è un file sconosciuto, oppure il produttore del gateway di posta segnala una vulnerabilità sfruttata. In queste situazioni offro supporto per contenimento, analisi e bonifica, con particolare attenzione al livello della posta e delle identità.
La consulenza si svolge in tedesco o in inglese.
- Incident response
- Business Email Compromise
- Microsoft 365
- Exchange Server
- Gateway di posta
- Obblighi di notifica
Casi tipici
- Casella compromessa (BEC)Accessi sconosciuti, regole della posta in arrivo nascoste, inoltri esterni, token di sessione rubati e frodi sui pagamenti tramite account autentici.
- Server Exchange attaccatoVulnerabilità sfruttate su Exchange on-premises: Webshells, configurazione manipolata, nuovi account o autorizzazioni, sottrazione di contenuti delle caselle.
- Vulnerabilità nel gateway di postaZero-day in gateway come FortiMail o Kiteworks: attuare il workaround, verificare un’eventuale compromissione, pianificare la rimessa in servizio.
- Abuso del proprio dominioE-mail falsificate a nome della tua azienda, perdita di reputazione e blocklist: chiarire l’origine, chiudere le lacune di autenticazione, richiedere il delisting.
Procedura in caso di incidente
- ContenereRevocare sessioni e token, reimpostare password e MFA, rimuovere regole e inoltri dannosi, isolare i sistemi interessati senza distruggere tracce.
- Mettere al sicuro le tracceSalvare Unified Audit Log, log di accesso, Message Trace, log dei server e dei gateway prima che i periodi di conservazione li cancellino.
- AnalizzareRicostruire punto d’ingresso, periodo, account coinvolti e messaggi letti, inviati o sottratti.
- Bonificare e rafforzareEliminare la causa, ripulire la configurazione, integrare il monitoraggio; rapporto finale per direzione, assicurazione e autorità.
Obblighi di notifica in Svizzera
Se un incidente riguarda dati personali e comporta presumibilmente un rischio elevato per le persone interessate, la legge federale sulla protezione dei dati richiede una notifica all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) il prima possibile (art. 24 LPD). Dal 1° aprile 2025 i gestori di infrastrutture critiche devono segnalare i ciberattacchi all’Ufficio federale della cibersicurezza (UFCS) entro 24 ore. Fornisco le basi tecniche per queste notifiche; la valutazione giuridica resta a te o alla tua consulenza legale.
Esempi dalla pratica
- Zero-day FortiMail CVE-2026-104286: workaround e verifica di un’eventuale compromissione.
- Kiteworks: il produttore raccomanda lo spegnimento: che cosa fare in caso di vulnerabilità sfruttata in un gateway.
- CVE-2026-62911: relay NTLM di Exchange: vettore d’attacco e contromisure per Exchange on-premises.
- Analizzare il message tracking di Exchange: gli strumenti per ricostruire il flusso di posta a posteriori.
- Tracker CVE: le vulnerabilità dei prodotti di posta e messaging, aggiornate ogni giorno.
