Un ordine bloccato, una fattura modificata o le credenziali di un amministratore sottratte possono partire da un solo messaggio email. Per una PMI, la guida alla posta aziendale sicura non riguarda quindi soltanto la scelta di una casella professionale: riguarda la continuità produttiva, la tutela dei dati e la capacità di lavorare senza esporre l’impresa a rischi evitabili.

La posta elettronica resta il canale più usato per scambiare documenti, confermare pagamenti, gestire clienti e coordinare fornitori. Proprio per questo è uno dei bersagli preferiti di phishing, malware, frodi di impersonificazione e accessi non autorizzati. Una protezione efficace non dipende da un singolo filtro antispam. Richiede configurazioni corrette, regole operative chiare, strumenti adeguati e un presidio costante.

Perché la posta elettronica è un punto critico

Molte aziende scoprono il valore della sicurezza email solo dopo un incidente. Un collaboratore riceve un messaggio apparentemente inviato dal titolare, un fornitore comunica nuove coordinate bancarie oppure un allegato contiene un file dannoso. Il messaggio può apparire credibile perché usa loghi, firme e toni coerenti con una comunicazione reale.

Il danno non è solo tecnico. Un account compromesso può essere usato per inviare email fraudolente a clienti e partner, leggere conversazioni riservate, recuperare password di altri servizi o intercettare dati personali e commerciali. A ciò si aggiungono fermo operativo, costi di ripristino e perdita di fiducia.

Le imprese più esposte sono spesso quelle che lavorano con caselle condivise, password riutilizzate, dispositivi personali non controllati e procedure informali per pagamenti e variazioni anagrafiche. Non è una questione di dimensioni: un’organizzazione piccola ha meno margine per assorbire un errore o un’interruzione.

Guida alla posta aziendale sicura: partire dalle basi giuste

La prima scelta è utilizzare un dominio aziendale e una piattaforma professionale gestita. Soluzioni come Microsoft 365 o Google Workspace offrono funzioni di sicurezza, amministrazione centralizzata, audit e gestione degli utenti che una casella gratuita non può garantire allo stesso livello. Tuttavia, attivare un servizio non equivale a configurarlo in modo sicuro.

Ogni indirizzo deve appartenere a una persona identificabile. Le caselle generiche, come amministrazione@ o commerciale@, possono essere utili per ricevere richieste, ma non dovrebbero diventare l’unico account di lavoro di più persone. Quando diversi utenti condividono la stessa password, non è possibile ricostruire chi ha inviato, letto o cancellato un messaggio.

È preferibile assegnare account personali nominativi e gestire le caselle di reparto tramite deleghe, gruppi e permessi. In questo modo, quando un dipendente cambia ruolo o lascia l’azienda, l’accesso può essere revocato senza interrompere le comunicazioni con clienti e fornitori.

Password e autenticazione a più fattori

Una password lunga e unica resta necessaria, ma da sola non basta. Le credenziali possono essere sottratte tramite una pagina di accesso falsa, un dispositivo infetto o una violazione di un servizio esterno. Per questo l’autenticazione a più fattori deve essere la regola, non un’opzione riservata agli amministratori.

Con l’autenticazione a più fattori, oltre alla password viene richiesto un secondo elemento di verifica, ad esempio un’app di autenticazione o una chiave di sicurezza. Se una password viene intercettata, l’accesso resta molto più difficile per chi non possiede il secondo fattore.

Conviene evitare codici ricevuti via SMS quando sono disponibili metodi più sicuri, come app dedicate o chiavi hardware. Per ruoli sensibili, quali amministrazione, direzione e gestione IT, è utile applicare criteri più restrittivi: accesso consentito solo da dispositivi conformi, località attese e applicazioni approvate.

Privilegi amministrativi sotto controllo

L’account che amministra la posta è un obiettivo di alto valore. Se viene compromesso, un attaccante può creare utenti, modificare regole, reindirizzare messaggi o disattivare protezioni. L’amministrazione deve quindi essere separata dall’uso quotidiano della posta.

Gli account con privilegi elevati devono essere pochi, nominativi, protetti da autenticazione forte e verificati periodicamente. Non è prudente usare un unico account amministrativo condiviso tra più persone o conservare le sue credenziali in documenti accessibili a tutti. Anche qui la tracciabilità è una misura di sicurezza concreta.

Filtri, autenticazione del dominio e protezione dalle frodi

Un buon sistema antispam e antimalware riduce il numero di messaggi pericolosi che arrivano agli utenti, ma non può garantire il blocco assoluto. Le campagne più efficaci sono spesso mirate e costruite per superare i controlli automatici. I filtri vanno configurati, monitorati e adattati alla realtà aziendale, evitando che email legittime finiscano in quarantena senza essere controllate.

La protezione del dominio richiede anche l’uso corretto di SPF, DKIM e DMARC. Sono configurazioni tecniche che aiutano i destinatari a verificare se un messaggio è autorizzato a essere inviato a nome del dominio aziendale. In termini pratici, riducono la possibilità che terzi impersonino l’impresa con indirizzi apparentemente autentici.

DMARC merita attenzione perché permette di passare gradualmente dal monitoraggio al rifiuto delle email non conformi. La transizione va pianificata: un record impostato in modo troppo aggressivo senza aver censito tutti i servizi che inviano email per conto dell’azienda può bloccare comunicazioni valide, come notifiche da gestionali, CRM o piattaforme di marketing.

Le regole che fermano le truffe più costose

La tecnologia intercetta molto, ma le frodi legate a pagamenti e dati bancari richiedono procedure aziendali. Un’email non deve mai essere considerata prova sufficiente per modificare un IBAN, autorizzare un bonifico urgente o comunicare informazioni riservate.

Per le richieste economicamente rilevanti, la verifica deve avvenire attraverso un secondo canale noto: una telefonata al referente già presente in rubrica, un controllo nel portale fornitore o un passaggio autorizzativo interno. Non bisogna rispondere al numero di telefono indicato nell’email sospetta, perché potrebbe appartenere al truffatore.

Le procedure più efficaci sono semplici e applicabili anche nei momenti di pressione. Ogni azienda dovrebbe definire almeno queste quattro regole operative:

• nessuna variazione delle coordinate bancarie senza verifica fuori dall’email;
• nessuna condivisione di password, codici di accesso o dati sensibili via posta;
• nessun allegato inatteso aperto senza controllare mittente, contesto e tipo di file;
• nessun pagamento urgente disposto da una sola persona senza il livello di approvazione previsto.

Queste regole non rallentano il lavoro se sono integrate nei processi. Al contrario, evitano che l’urgenza diventi il principale strumento di pressione usato dai criminali.

Formazione: rendere le persone una difesa attiva

La formazione non deve trasformarsi in una lezione tecnica lunga e poco memorabile. È più utile mostrare esempi realistici: una falsa fattura, una richiesta del titolare, un invito a reimpostare la password, una condivisione documentale inattesa. Le persone devono imparare a riconoscere i segnali ricorrenti, senza sentirsi colpevolizzate quando hanno un dubbio.

Mittenti con nomi quasi identici, domini con una lettera diversa, richieste urgenti, errori linguistici, link mascherati e modifiche improvvise alle abitudini sono segnali da verificare. Tuttavia, le email fraudolente moderne possono essere scritte bene e imitare perfettamente uno stile noto. Il criterio decisivo è il contesto: una richiesta insolita va confermata, anche se sembra provenire da una persona fidata.

Serve poi un canale rapido per segnalare i messaggi sospetti al referente IT. Se l’utente non sa cosa fare, tende a ignorare l’episodio o a cancellare il messaggio. Una segnalazione tempestiva consente invece di controllare se la stessa campagna ha raggiunto altri colleghi e di intervenire prima che qualcuno agisca.

Backup, conservazione e risposta all’incidente

Il cloud migliora disponibilità e collaborazione, ma non sostituisce automaticamente una strategia di backup. Un messaggio eliminato, una sincronizzazione errata, un attacco ransomware o un account compromesso possono propagare il problema anche nelle piattaforme cloud. La conservazione dei dati e il backup devono essere valutati in base a obblighi aziendali, valore delle informazioni e tempi di ripristino accettabili.

È utile stabilire per quanto tempo conservare posta e allegati, chi può accedere agli archivi e come recuperare velocemente una casella. Per alcune imprese, la priorità è il ripristino immediato delle comunicazioni commerciali; per altre è la conservazione di documenti con rilevanza amministrativa o legale. Non esiste una configurazione identica per tutti: conta l’analisi del processo.

Quando si sospetta una compromissione, occorre agire senza attendere conferme assolute. Si revoca o reimposta l’accesso, si chiudono le sessioni attive, si verifica l’inoltro automatico delle email, si controllano le regole della casella e si analizzano gli accessi recenti. Se sono coinvolti clienti o fornitori, una comunicazione chiara e tempestiva può limitare ulteriori danni.

Un presidio continuo, non un intervento una tantum

La sicurezza della posta cambia con le persone, i dispositivi, i fornitori e le minacce. Un controllo fatto una volta all’anno è utile, ma non è sufficiente se nel frattempo vengono creati nuovi account, attivati servizi esterni o modificati i flussi di lavoro.

Un partner IT può prendere in carico la gestione degli utenti, dei dispositivi, delle policy di accesso, dei filtri e delle verifiche periodiche. Per le PMI di Milano e Lombardia, dove rapporti commerciali e operatività spesso procedono a ritmi rapidi, avere un riferimento unico riduce i tempi di risposta e le zone grigie tra fornitori diversi.

La posta aziendale sicura non si misura dal numero di email bloccate, ma dalla capacità dell’impresa di riconoscere un rischio, fermarlo e continuare a lavorare. Cominciare da account ordinati, autenticazione a più fattori e procedure di verifica significa trasformare un punto esposto in una componente affidabile della continuità aziendale.