Era un mercoledì di maggio, verso metà mattinata, squilla il telefono. È Giuseppe, il tecnico interno di un nostro cliente storico nel torinese. La voce è quella di chi ha già capito che la giornata è andata.
“Davide, abbiamo avuto un problema con la posta della signora Francesca. Le stavano arrivando centinaia di messaggi strani. Ho guardato la sua cartella Posta inviata e c’erano migliaia di mail che non ha mandato lei. Ho già cambiato la password e gli invii si sono bloccati subito.”
Quello che Giuseppe stava descrivendo è la dinamica classica di un furto credenziali email aziendale: un account legittimo che improvvisamente fa cose che il suo proprietario non ha mai chiesto. La signora Francesca lavora spesso da casa. Si collega alla webmail aziendale dal suo PC personale, come fanno tantissime persone in tantissime aziende italiane da quando lo smart working è entrato stabilmente nelle nostre abitudini. Una postazione non presidiata, una rete domestica, un browser usato anche per leggere giornali, fare acquisti, gestire la posta privata.
Quella mattina, qualcuno aveva fatto login al posto suo.
Cosa raccontano i log dopo un furto credenziali email aziendale
Giuseppe aveva già fatto la cosa giusta nell’ordine giusto: cambiare la password e fermare l’emorragia. Il nostro lavoro è cominciato dopo, aprendo i log del server Zimbra per ricostruire la cronologia minuto per minuto.
L’attaccante aveva fatto un solo login. Riuscito al primo tentativo. Nessuna sequenza di prove sbagliate, nessuna forzatura: username e password legittimi, esattamente come li avrebbe digitati la signora Francesca.
Tra le 10 e le 11 del mattino, in una sola ora, sono stati accodati circa 12.400 messaggi. Nell’ora successiva, mentre Francesca e Giuseppe si accorgevano che qualcosa non andava, ne sono partiti altri 2.000 circa. Volume totale: 14.486 messaggi inviati a nome della signora Francesca, che hanno generato oltre 36.000 consegne accettate dai server destinatari (ogni messaggio aveva decine di indirizzi in copia nascosta).
Per il resto della giornata, alla casella di Francesca sono continuate ad arrivare le conseguenze: avvisi di lettura, notifiche di mancata consegna, segnalazioni di spam, risposte automatiche di destinatari infastiditi. Una pioggia che si è esaurita lentamente da sola, mano a mano che i server di tutto il mondo finivano di processare quei 14.000 messaggi partiti in due ore.
E nel tardo pomeriggio è arrivata la conseguenza prevedibile: l’IP del nostro server di posta è finito sulla blacklist Barracuda. Tradotto in operativo: per qualche ora una parte delle mail legittime in uscita dall’azienda ha rischiato di essere rifiutata o filtrata come spam dai destinatari. Per un’azienda che lavora con clienti e fornitori via mail, è esattamente il tipo di disservizio che non puoi spiegare a chi sta dall’altra parte.
I log ci hanno confermato anche le buone notizie: l’attaccante non aveva creato regole di forward automatico, non aveva impostato filtri Sieve (i filtri di gestione della posta lato server), non aveva lasciato nessun meccanismo per rientrare. Aveva fatto il suo giro, sparato 14.000 mail, e se n’era andato. Nessun altro account aziendale era stato toccato.
Furto credenziali email aziendale: perché le difese tradizionali non funzionano
Qui c’è il punto che mi interessa raccontare, perché è quello che ogni IT manager dovrebbe avere ben chiaro in testa.
Quando si parla di sicurezza della posta, di solito si pensa a difese come la complessità delle password, le policy di account lockout (bloccare l’account dopo N tentativi falliti), i sistemi anti-brute-force, i firewall che filtrano gli IP sospetti. Tutte cose sensate, tutte cose che configuriamo regolarmente.
Ma nello scenario del furto credenziali email aziendale, nessuna di queste difese ha avuto modo di entrare in gioco. L’attaccante non ha tentato di indovinare la password: la conosceva già. L’ha probabilmente raccolta con una campagna di phishing: una mail fatta bene che ha portato la signora Francesca su una pagina che imitava la webmail aziendale, dove ha digitato in buona fede le sue credenziali. Da quel momento, per il server Zimbra, chi si è collegato alle 10 di mattina era la signora Francesca. Stessa username, stessa password, login riuscito al primo colpo.
Contro un attaccante che ha la chiave giusta, la robustezza della serratura non conta più nulla.
L’unica difesa efficace contro il furto credenziali email aziendale
L’autenticazione a due fattori (MFA, Multi-Factor Authentication) è l’unica contromisura che neutralizza completamente questo scenario. Anche con la password rubata, l’attaccante non può completare il login senza il codice temporaneo generato ogni 30 secondi sul telefono dell’utente legittimo. Niente codice, niente accesso.
Zimbra supporta nativamente la MFA tramite app autenticatore (Google Authenticator, Microsoft Authenticator, Authy) e si può attivare per singolo utente. La nostra raccomandazione al cliente è stata di partire subito dagli utenti più esposti al rischio di furto credenziali email aziendale: chi si collega alla webmail da postazioni non aziendali. PC di casa, dispositivi personali, reti domestiche. Sono le situazioni in cui il rischio strutturale è più alto, perché il browser che usi per la posta del lavoro è lo stesso che usi per tutto il resto, e basta un click sbagliato in un momento di distrazione.
In una seconda fase, ragionevolmente, la MFA va estesa a tutti gli utenti del dominio.
La lezione che possiamo portarci a casa, oggi, è una sola: la password forte da sola non basta più a proteggere dal furto credenziali email aziendale. Non lo è da diversi anni, in realtà, ma ogni tanto serve una mattinata come quella della signora Francesca per ricordarcelo. La differenza tra un account violato per un’ora e un account che resta sicuro anche con la password compromessa è un’app sul telefono e dieci minuti di configurazione.
Se nella tua azienda c’è ancora qualcuno che si collega alla webmail dal PC di casa con la sola password, parliamone.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Attivare l’autenticazione a più fattori sulla posta
✅ Formare le persone a riconoscere il phishing
✅ Verificare gli accessi anomali alle caselle aziendali
Contattaci e parliamone insieme
