BLUETEAM ACADEMY — GUIDA PRATICA AL RICONOSCIMENTO DEL PHISHING Microsoft 365 / Entra, Google Workspace e minacce AI Edizione del corso: ottobre 2026. Segui le procedure approvate dalla tua organizzazione. 1. METTERE IN PAUSA E ANALIZZARE LA RICHIESTA Cosa mi viene chiesto di modificare, divulgare, autorizzare, pagare, scaricare o eseguire? Mi aspettavo questo lavoro? Il mittente ha l'autorità per questa azione? Un nome familiare, un logo, una conversazione esistente, una grammatica corretta, HTTPS, voce o video non risponde a queste domande. Un account autentico potrebbe essere compromesso. 2. VERIFICA SENZA USARE IL CANALE DEL MESSAGGIO Usa un segnalibro stabilito, un launcher aziendale, il service desk o un contatto registrato. Per pagamenti e variazioni di conto bancario, segui le regole di richiamo e doppia approvazione. Non chiamare un numero fornito dalla richiesta sospetta né approvare un'eccezione perché la richiesta dichiara urgenza, segretezza o proviene da un dirigente. 3. LINK E QR CODE Se il tuo client offre un’anteprima sicura, ispeziona la destinazione completa senza aprirla esso. L’host non è un marchio che compare prima in un sottodominio o più avanti in un percorso. Un URL abbreviato o un codice QR può nascondere la destinazione. Non aprire un link a verificare se è sicuro. Usa direttamente il servizio aziendale riconosciuto. 4. CODICI DISPOSITIVO MICROSOFT E CONSENSO Una vera pagina Microsoft può autorizzare una richiesta avviata da un attaccante. Non inserire un codice dispositivo da una riunione, reclutatore o messaggio di supporto non richiesti. Completa solo un device flow che hai deliberatamente iniziato per un’app nota e approvata. Accedere è diverso dal dare a un’applicazione il permesso di gestire posta o file. Verifica l’identità dell’app, gli ambiti richiesti, la finalità aziendale e lo stato di approvazione. Non approvare mai una richiesta MFA inattesa, anche se fatta da un interlocutore telefonico. 5. GOOGLE WORKSPACE Una notifica reale di condivisione Drive non garantisce che il documento sia sicuro. Un documento esterno o un invito Calendar può contenere un link o una richiesta non sicura. Utilizza il canale Drive/Calendar noto e verifica separatamente la finalità aziendale. Verifica i permessi delle app di terze parti con l’IT. Rimuovere l’accesso dopo non recupera dati già copiati. Google supporta anche l'autorizzazione legittima del dispositivo; trattare istruzioni dispositivo inattese come domanda di autorizzazione, non come domanda sul marchio. 6. AI, COLLABORAZIONE E ALLEGATI Una voce o un video convincente non sostituiscono i controlli di identità e approvazione dei pagamenti. Un sommario prodotto da AI può ripetere istruzioni dannose presenti in un documento riassunto. Messaggi Teams esterni o di chat richiedono gli stessi controlli delle email. Non aprire archivi protetti da password per eludere la scansione, né eseguire file non abilitare macro solo per leggere un documento. Un falso CAPTCHA o una richiesta di riparazione riunione potrebbero chiedere di incollare ed eseguire un comando. Interrompi: non eseguirlo. Non installare estensioni browser o strumenti di supporto remoto non approvati. 7. VIRUSTOTAL DECISION TREE — PRIMA DI QUALSIASI QUERY O INVIO A. Le policy aziendali e i termini del servizio consentono questo uso? NO / NON SICURO -> utilizza il canale interno di sicurezza approvato. B. Il file o l’indicatore contiene informazioni riservate, personali o di accesso? SÌ / NON SICURO -> non caricare né incollare dati su servizi di scansione pubblici. Esempi: payroll, contratti, dati di pazienti/clienti, link privati condivisi, link di reset della password, URL di download firmati, token di accesso e dettagli interni. C. Per un file consentito già conservato in sicurezza, è disponibile uno SHA-256 approvato? Chiedere alla sicurezza o utilizzare uno strumento locale approvato senza eseguire il file. Non scaricare un allegato sospetto solo per ottenerne l'hash. D. Cerca l’hash consentito per una segnalazione ESISTENTE. Questo non carica i byte del file ma comunica comunque la query a un terzo parte terza. Un rapporto mancante significa sconosciuto; non autorizza il caricamento di file. E. Per un URL pubblico consentito, verifica che l'intera stringa non contenga dati sensibili verificare le informazioni prima di fare una richiesta. Le ricerche URL possono essere analizzate e condivise; non supporre che una ricerca sia privata o che togliere un token equivalga a testare lo stesso oggetto. F. Controlla l'identificativo analizzato, il tipo di file, la data di analisi e i singoli risultati. Zero rilevamenti non è prova di sicurezza. Un report datato potrebbe non descrivere la situazione attuale contenuto. Un rilevamento può richiedere interpretazione; non ignorare gli strumenti aziendali. G. Un report non approva un pagamento, una concessione di consenso, un accesso o il rilascio di dati. Segui il processo approvato di indagine ed escalation. PERCHÉ I FILE RISERVATI DEVONO RESTARE FUORI Le normali segnalazioni e i report di VirusTotal possono essere condivisi all'interno della sua sicurezza ecosistema, inclusi partner e clienti. Uno scanning pubblico può creare un nuovo divulgazione di dati. Private Scanning è un servizio separato che deve essere approvato e configurato per la tua organizzazione. Solo accedere o pagare non è sufficiente. Se hai inviato accidentalmente materiale sensibile, segnalalo tempestivamente; non presupporre che eliminando una copia locale o cambiando il nome del file si annulli l'azione. 8. MODELLO DI REPORT DI INCIDENTE — UTILIZZARE SOLO I CANALI INTERNI APPROVATI Account / dispositivo interessato: Orario e fuso orario approssimativi: Canale e mittente dichiarato: Cosa ho osservato: Cosa ho effettivamente fatto (visualizzato / cliccato / inserito password / completato MFA / codice dispositivo inserito / accesso all'app concesso / contenuto eseguito / dati inviati / pagato): Eventuali download, avvisi o modifiche notate: Cosa ho smesso di fare: Quando le prove originali sono conservate utilizzando lo strumento di reportistica approvato: Procedura service desk o percorso di sicurezza utilizzato noto: Segnala rapidamente anche in caso di incertezza. Non ripetere l'azione per indagare. Non inserire password, codici di recupero o segreti nel report. La sicurezza potrebbe dover revocare sessioni e autorizzazioni applicative, ispezionare le regole della casella di posta e controlla i dispositivi; il solo cambio password non è una risposta completa ad ogni caso. Per i pagamenti, avvisa immediatamente finance e security tramite i canali stabiliti. Segui le istruzioni del team di risposta invece di improvvisare cancellazioni o modifiche ai dispositivi. RIFERIMENTI https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/ https://support.google.com/mail/answer/8253 https://support.google.com/accounts/answer/14012355 https://docs.virustotal.com/docs/how-it-works https://docs.virustotal.com/docs/searching https://docs.virustotal.com/docs/results-reports https://docs.virustotal.com/docs/private-scanning Usa esempi fittizi o sanificati nelle risposte al corso. Non incollare dati reali file sospetti, link privati o segreti aziendali nella piattaforma di formazione.