Qualcuno ha letto le tue email, ha cambiato l’indirizzo di recupero o ha impostato una regola che inoltra in silenzio i messaggi a un indirizzo esterno. La reazione naturale è blindare l’account e voltare pagina. È comprensibile, e mettere in sicurezza l’account è indispensabile. Ma i minuti in cui si riprende il controllo sono spesso gli stessi in cui le tracce dell’intrusione vengono sovrascritte, rimosse o semplicemente lasciate scadere.
Questa guida riguarda proprio quel momento: cosa fare nelle prime ore dopo aver scoperto un accesso abusivo a un account email, come mettere in sicurezza l’account senza distruggere ciò che potrebbe servire per dimostrare l’accaduto e che cosa i log di accesso possono e non possono dimostrare. Non descrive nel dettaglio i nostri servizi di certificazione, illustrati nelle pagine dedicate indicate in fondo.
Indice
- I segnali che qualcun altro sta usando il tuo account
- Mettere in sicurezza l’account senza cancellare le tracce
- Cosa conservare
- Perché il tempo conta: i log non durano per sempre
- Cosa i log di accesso possono e non possono dimostrare
- Un esempio pratico
- Acquisizione forense, consulenza legale e denuncia
- Come richiedere il servizio
I segnali che qualcun altro sta usando il tuo account
Un accesso abusivo a un account email raramente si annuncia. Più spesso lo si scopre attraverso piccole anomalie, ad esempio:
- notifiche di sicurezza del provider su un nuovo accesso, un nuovo dispositivo o un cambio password che non hai fatto;
- messaggi risultano letti senza che tu li abbia aperti, o compaiono messaggi inviati che non hai scritto;
- contatti che ricevono dal tuo indirizzo richieste insolite, come istruzioni di pagamento o link;
- nuovi indirizzi di inoltro, filtri che spostano o cancellano messaggi, dati di recupero modificati;
- app di terze parti o password per app che non riconosci nelle impostazioni di sicurezza;
- una disconnessione improvvisa o una password che non funziona più.
Nessuno di questi segnali, da solo, prova un’intrusione. Alcuni hanno spiegazioni innocue, come un dispositivo dimenticato o un collega con accesso delegato. Sono però buoni motivi per approfondire, facendolo in modo da non alterare le informazioni.
Mettere in sicurezza l’account senza cancellare le tracce
Nelle prime ore due obiettivi entrano in conflitto: fermare l’intrusione e conservarne le prove. Nessuno dei due può essere semplicemente rimandato.
Se l’intruso sta causando danni in questo momento (invia email fraudolente, modifica i dati di recupero, cancella messaggi o ti chiude fuori), la protezione dell’account e delle persone che ti scrivono viene prima di tutto. Un danno in corso non è un prezzo accettabile in cambio di prove più pulite.
Se non ci sono segni di attività in corso, qualche minuto speso a documentare prima di modificare qualsiasi cosa di solito vale la pena, e contattare subito un fornitore forense permette di pianificare l’acquisizione insieme alle operazioni di sicurezza, anziché dopo.
In pratica, una sequenza prudente è spesso questa:
- Guarda prima di cambiare. Apri le pagine di sicurezza dell’account (attività recenti, dispositivi collegati, inoltri, filtri, app connesse) e fai screenshot o registrazioni dello schermo, annotando l’orario. Non è un’acquisizione forense, ma fissa ciò che hai visto.
- Conserva le notifiche del provider. Non cancellare le email o gli SMS di avviso su nuovi accessi o cambi password: sono spesso tra le informazioni più utili.
- Metti in sicurezza l’account in modo consapevole. Cambia la password da un dispositivo di cui ti fidi, attiva la verifica in due passaggi e controlla le opzioni di recupero. Tieni presente che alcune operazioni, come disconnettere tutte le sessioni o rimuovere un dispositivo, possono modificare ciò che le pagine di sicurezza mostreranno in seguito.
- Elimina le regole malevole dopo averle documentate. Una regola di inoltro o un filtro che cancella messaggi va fermato, ma prima va registrato, compresi l’indirizzo di destinazione e le condizioni con cui opera.
- Non eliminare l’account e non cancellare i messaggi in blocco. Chiudere l’account può rendere indisponibile la cronologia delle attività, e i messaggi cancellati possono essere proprio quelli che mostrano che cosa ha fatto l’intruso.
Se l’account appartiene a un dominio aziendale, le pagine di sicurezza visibili all’utente sono solo una parte del quadro. Gli amministratori dei servizi email aziendali possono di norma consultare log di audit e di accesso aggiuntivi, secondo la configurazione e la licenza. L’amministratore IT va coinvolto subito, chiedendogli di non cancellare né reimpostare nulla prima che i log siano stati conservati.
Se sospetti che l’intrusione sia partita da un computer o da uno smartphone compromesso, evita di reinstallare o resettare il dispositivo prima di aver chiesto un parere: il dispositivo stesso può contenere informazioni che i log dell’account non hanno.
Cosa conservare
L’obiettivo è conservare abbastanza elementi per ricostruire che cosa è successo, quando e da dove. La disponibilità di ciascun dato dipende dal provider e dal tipo di account.
Attività dell’account
- Le attività recenti di accesso e di sicurezza, con date, orari e fuso orario indicato.
- Indirizzi IP, località approssimative e informazioni su dispositivo o browser mostrate dal provider.
- Gli elenchi dei dispositivi collegati e delle sessioni attive.
Modifiche alla configurazione
- Indirizzi di inoltro, filtri e regole automatiche, comprese quelle che cancellano o archiviano messaggi.
- Modifiche all’email di recupero, al numero di telefono di recupero o alla verifica in due passaggi.
- Accessi delegati, app di terze parti collegate e password per app.
Messaggi e notifiche
- Gli avvisi di sicurezza del provider su accessi, dispositivi o cambi password.
- I messaggi inviati, letti, spostati o cancellati dall’intruso, per quanto identificabili.
- Le intestazioni complete (header) delle email rilevanti, che contengono informazioni di instradamento non visibili nella visualizzazione normale.
Elementi esterni all’account
- I messaggi dei contatti che hanno ricevuto email sospette dal tuo indirizzo.
- La documentazione bancaria o di pagamento, se l’intrusione ha portato a un bonifico fraudolento.
- Le tue note: quando ti sei accorto del problema, che cosa hai visto e che cosa hai modificato, nell’ordine.
Quando il provider offre un’esportazione ufficiale dei dati, questa può integrare l’acquisizione delle pagine di sicurezza. Per gli account delle due piattaforme principali offriamo anche la certificazione Google Takeout e la certificazione dell’esportazione dell’account Microsoft.
Perché il tempo conta: i log non durano per sempre
I provider email non conservano a tempo indeterminato la cronologia delle attività mostrata agli utenti. A seconda del provider, del tipo di account e della pagina specifica, la finestra visibile può andare da poche settimane a diversi mesi, e alcune viste mostrano solo le sessioni più recenti. I servizi aziendali possono conservare log di audit più lunghi, ma solo se attivati ed entro i limiti dell’abbonamento.
Ne derivano due conseguenze. La prima è che aspettare ha un costo: un’intrusione scoperta tardi può essere già in parte fuori dalla finestra visibile. La seconda è che le informazioni visibili oggi potrebbero non esserlo più la settimana prossima, anche se nessuno tocca l’account. Per questo la conservazione dei log dovrebbe iniziare non appena si scopre l’intrusione, possibilmente prima di redigere la denuncia.
Cosa i log di accesso possono e non possono dimostrare
Un indirizzo IP nei log di attività è un indizio prezioso, ma viene spesso sopravvalutato. L’acquisizione forense rende i log verificabili; non cambia ciò che sono in grado di dimostrare.
| Domanda | Il contributo dei log conservati |
|---|---|
| L’account è stato usato da una connessione estranea? | I log possono mostrare accessi da indirizzi IP, dispositivi o località diversi da quelli abituali dell’utente. |
| Quando è successo e che cosa è cambiato? | Orari, pagine di configurazione e notifiche possono supportare una cronologia degli accessi e delle modifiche, come nuove regole o nuovi dati di recupero. |
| Da dove proveniva la connessione? | La geolocalizzazione di un IP è approssimativa. Indica di solito l’operatore di rete o un’area generica, non un indirizzo preciso, e può riflettere una VPN, un proxy o un servizio di hosting. |
| Chi c’era dietro la connessione? | Un indirizzo IP non è una persona. Collegarlo a un intestatario richiede di norma dati detenuti dall’operatore di rete, acquisiti tramite l’autorità competente. Anche in quel caso, una connessione condivisa o pubblica può non identificare un individuo. |
| L’accesso era illecito? | È una questione giuridica. Dipende, per esempio, dal fatto che la persona avesse o avesse avuto in passato un’autorizzazione, e la valutano l’avvocato e, in ultima istanza, l’autorità competente. |
| Il materiale conservato è cambiato dopo l’acquisizione? | L’hash SHA-256 e la marca temporale qualificata consentono di verificare l’integrità dei file acquisiti e il momento in cui sono stati sigillati. |
Il lavoro tecnico risponde quindi a domande su esistenza, tempo e integrità. L’attribuzione e la qualificazione giuridica sono passaggi distinti, che su di esso si basano.
Un esempio pratico
Lo scenario che segue è ipotetico e semplificato.
Un piccolo studio di ingegneria viene a sapere da un cliente che una fattura ricevuta via email riportava nuove coordinate bancarie. Lo studio non ha mai inviato quella versione. L’amministratore controlla la casella del titolare e trova una regola, creata qualche settimana prima, che inoltra a un indirizzo esterno ogni messaggio contenente la parola “fattura” e lo cancella dalla posta in arrivo. La pagina delle attività recenti mostra accessi da una rete di un altro Paese.
1. Fermare il danno in corso
Poiché la regola è ancora attiva e i clienti potrebbero pagare sul conto sbagliato, lo studio avvisa subito i clienti attraverso un canale diverso, chiedendo di verificare telefonicamente le coordinate bancarie.
2. Registrare ciò che è visibile
Prima di toccare qualsiasi cosa, l’amministratore salva screenshot della regola, delle sue condizioni e della destinazione, oltre che della pagina delle attività, annotando l’orario. Le email di notifica del provider vengono conservate.
3. Coinvolgere un fornitore forense
Lo studio contatta un fornitore di servizi forensi lo stesso giorno. L’acquisizione viene pianificata in modo da comprendere le pagine di sicurezza della casella, la regola, i log di accesso e di audit disponibili all’amministratore e le intestazioni dei messaggi rilevanti; ai file viene calcolato l’hash SHA-256 e viene apposta una marca temporale qualificata.
4. Mettere in sicurezza l’account
Una volta acquisito il materiale, la regola viene eliminata, la password cambiata, attivata la verifica in due passaggi e revocate le sessioni attive.
5. Valutazione legale e denuncia
Un avvocato esamina la relazione insieme alla documentazione dei pagamenti del cliente e fornisce indicazioni sulla denuncia, sulla comunicazione alla banca e sugli eventuali obblighi in materia di protezione dei dati derivanti dall’incidente.
La certificazione non rivela chi abbia creato la regola e non garantisce il recupero del denaro. Fornisce invece una traccia verificabile di che cosa c’era nell’account, di come era configurato e da quali connessioni è stato utilizzato, conservata prima che i log potessero scadere.
Acquisizione forense, consulenza legale e denuncia
Entrano in gioco tre attività diverse, ed è utile tenerle distinte:
- L’acquisizione forense conserva e documenta in forma verificabile attività, configurazione e messaggi dell’account. È il lavoro di un fornitore di informatica forense come CertifyWebContent.
- La valutazione giuridica stabilisce se i fatti integrino un reato o un illecito civile, quale legge si applichi e quali rimedi siano disponibili. È il ruolo dell’avvocato. In Italia l’accesso abusivo a un sistema informatico o telematico è previsto dall’art. 615-ter del codice penale; modalità e termini per presentare querela o denuncia vanno verificati con il proprio legale.
- La denuncia e le indagini sono di competenza delle forze dell’ordine e dell’autorità giudiziaria. Di norma solo l’autorità può ottenere da provider e operatori di rete i dati necessari per collegare una connessione a un intestatario.
Un materiale conservato e documentato è utile in ciascuna fase: offre all’avvocato una base stabile per la propria valutazione e permette alla denuncia di riferirsi a eventi precisi anziché a una descrizione generica.
L’acquisizione deve riguardare account e dati a cui il cliente ha titolo di accedere, e solo quanto pertinente all’incidente. Un account può contenere dati personali di terzi, e il loro trattamento è soggetto alla normativa sulla protezione dei dati, a partire dal GDPR.
Come richiedere il servizio
CertifyWebContent certifica gli accessi abusivi ad account email e online: attività di accesso, indirizzi IP e dispositivi, modifiche alla configurazione e messaggi collegati, acquisiti con una procedura documentata, protetti da hash SHA-256, sigillati con marca temporale qualificata e accompagnati da una relazione tecnica e dalla nostra dichiarazione FEDIS. Il servizio può essere svolto da remoto.
Trovi i dettagli nella pagina della certificazione degli accessi abusivi agli account con IP. Per i casi specifici delle caselle di posta, come regole di inoltro, Business Email Compromise o phishing, consulta anche la certificazione di violazione dell’account di posta elettronica.
Per ricevere un preventivo, indicaci il provider e il tipo di account coinvolto, quando ti sei accorto dell’intrusione, se oggi hai il controllo dell’account e che cosa hai già modificato. Se i log di attività rischiano di uscire a breve dalla finestra visibile, segnalacelo affinché possiamo valutare le tempistiche di intervento.
Richiedi un preventivo per la certificazione di un accesso abusivo
