Qualcuno ha creato una regola di inoltro nella sua casella. E adesso?

Un martedì alle 9:12 compare un alert in Microsoft Defender. Qualcuno della contabilità fornitori ha creato nella propria casella una regola che inoltra a un indirizzo Gmail tutte le email con la parola “fattura”. Chi è di turno nel centro operativo di sicurezza lo guarda, immagina che sia una persona che vuole leggere il lavoro dal telefono e lo chiude. Nessuno scrive alla persona. Nessuno le chiede se la regola l’ha creata lei.

Può darsi che l’abbia creata davvero. Oppure no, e da un’ora qualcuno sta leggendo le conversazioni dell’organizzazione con i fornitori.

Perché una regola di inoltro è un segnale di frode?

Perché è una delle prime mosse di chi prende il controllo di un account di posta. La regola inoltra fuori dall’organizzazione i messaggi che interessano a chi attacca, oppure li nasconde, in modo che la persona non veda che cosa succede nella sua stessa casella. Nella sua guida all’analisi delle regole della posta in arrivo Microsoft descrive regole che cancellano le email, che le spostano in una cartella poco visibile come quella dei feed RSS o che le inoltrano a un account esterno, filtrando per parole come “invoice”, cioè fattura in inglese.

Non è un caso raro. Secondo un report del 2026 sulle minacce via email, il 25% degli incidenti di presa di controllo degli account ha comportato modifiche sospette alle regole della posta in arrivo, come l’inoltro di email ad account esterni o la cancellazione automatica delle notifiche di sicurezza. E c’è un dettaglio che cambia la risposta abituale. La tecnica è catalogata in MITRE ATT&CK come T1114.003, che avverte che la regola continua a funzionare anche dopo il reset della password dell’account.

Con quella regola, chi attacca legge la conversazione con un fornitore reale, aspetta la fattura e invia la propria con altre coordinate bancarie da un punto che la vittima non vede più. È l’anticamera della truffa del CEO nella sua versione fornitore, e la parte tecnica di come si prende il controllo di un account è già trattata in questa guida per proteggersi dall’attacco BEC.

Perché l’alert viene chiuso come rumore?

Perché nella maggior parte dei casi è innocente, e chi lo esamina lo sa. Nella sua guida sulle regole di inoltro Microsoft riconosce che gestire le regole è un’attività comune per chiunque, e tra i passaggi dell’analisi include l’esclusione dell’inoltro verso un’altra casella della stessa persona. La policy predefinita che genera l’alert, “Creation of forwarding/redirect rule”, ha poi la gravità più bassa dell’elenco, quella informativa.

Così l’alert arriva, sembra la solita persona che si inoltra il lavoro, e viene chiuso. Viene chiuso senza che nessuno parli con l’unica persona che sa se la regola è sua.

L’alert ha due limiti da conoscere prima di farci affidamento. Secondo la stessa documentazione di Microsoft, registra solo le regole create da Outlook sul web o da PowerShell, non quelle create in Outlook desktop. E il blocco dell’inoltro esterno dipende dalla configurazione di ogni organizzazione, quindi non si può dare per scontato.

Perché una campagna sulle regole di inoltro non basta?

La reazione abituale è aggiungere il tema alla prossima campagna di Cybersecurity awareness. Ha due costi. La campagna arriva settimane dopo l’evento, quando la regola ha già fatto il suo lavoro o è già stata dimenticata. E arriva a tutta l’organizzazione, quando il 99% delle persone non ha mai creato una regola e trova il messaggio irrilevante.

Alla persona che conta, invece, arriva tardi e mescolato a tutto il resto. L’efficacia di questo messaggio dipende da due cose che una campagna non ha, il momento e la persona. È la stessa logica per cui i nudge funzionano quando arrivano al momento giusto.

Che cosa deve dire il messaggio alla persona?

Il messaggio si rivolge a qualcuno di cui non sappiamo se ha creato la regola, quindi deve funzionare in entrambi i casi e non può suonare come un’accusa.

1. Che cosa è successo, in una frase. È stata creata una regola che inoltra le email della tua casella a un indirizzo esterno, con l’orario.
2. Se l’hai creata tu. Perché la posta di lavoro non dovrebbe uscire dall’organizzazione, che cosa fare al suo posto e come eliminare la regola.
3. Se non l’hai creata tu. Il tuo account potrebbe essere compromesso, e il team di sicurezza deve saperlo subito. Il messaggio indica a chi scrivere e attraverso quale canale.
4. Attraverso un canale diverso dall’email. Se l’account è compromesso, la casella di posta è proprio ciò che controlla chi attacca. Un messaggio via email può leggerlo chi attacca, oppure può deviarlo o cancellarlo la stessa regola che si vuole segnalare. Microsoft Teams o Slack sono più sicuri per questo messaggio.

Il terzo punto è quello che giustifica tutto lo sforzo. Una persona che risponde “non l’ho creata io” dopo venti minuti risparmia al team di sicurezza un’intera indagine.

Come risponde SMARTFENSE a una regola di inoltro?

SMARTFENSE si integra con Microsoft Defender e ne riceve gli alert, tra cui la creazione di una regola di inoltro o reindirizzamento e l’attività di inoltro sospetta. Ognuno può attivare un Nudge, un messaggio breve che arriva alla persona coinvolta via email, Slack o Microsoft Teams pochi minuti dopo l’alert. Il testo lo scrive la tua organizzazione oppure si sceglie dalla galleria, così il messaggio per entrambi i casi è pronto in anticipo. Se devi scriverlo da zero, questa guida per scrivere un nudge è un buon punto di partenza.

Sullo stesso evento può partire un Playbook, che avvisa il processo. Può chiamare un webhook per aprire il caso nel sistema di ticketing, oppure avvisare il centro operativo di sicurezza su Teams o su Slack, e così l’alert smette di chiudersi da solo.

Tutto questo ha due requisiti da chiarire fin dall’inizio. L’integrazione con Microsoft Defender deve essere attiva, e le persone devono essere sincronizzate da Microsoft Entra ID, perché è così che la piattaforma sa a chi appartiene l’alert.

Che cosa si misura?

L’indicatore principale è la percentuale di regole eliminate entro 24 ore dal messaggio. Questo dato non lo misura SMARTFENSE: proviene dal registro di Exchange o di Microsoft Defender, dove resta traccia dell’eliminazione della regola. Incrociarlo con l’orario del messaggio è il lavoro di un pomeriggio.

Accanto va un secondo numero, cioè quanti casi il centro operativo di sicurezza ha risolto con la risposta della persona, senza indagare da zero. È quello che trasforma la Cybersecurity awareness in un risparmio operativo che il team di sicurezza può verificare per conto proprio, ed è quello che ascolta di più chi di solito non compra Cybersecurity awareness.

Il martedì successivo

La prossima volta che compare l’alert delle 9:12, la persona della contabilità fornitori riceverà un messaggio su Teams prima che qualcuno lo chiuda. Se la regola era sua, la elimina e impara qualcosa che nessuna campagna generale le avrebbe insegnato in tempo. Se non lo era, il team di sicurezza lo viene a sapere dall’unica persona che poteva saperlo.

Se vuoi vedere come si collega Microsoft Defender ai Nudge e ai Playbook nella tua organizzazione, puoi contattarci per una demo della piattaforma.