Cosa deve succedere nei minuti dopo un clic

Secondo il Data Breach Investigations Report 2024 di Verizon, il tempo mediano tra l’apertura di un’email di phishing e il clic sul link è di 21 secondi. Da lì servono altri 28 secondi per inserire i propri dati. Cadere in un phishing richiede meno di un minuto. Lo stesso report, con i dati di esercitazioni di Cybersecurity awareness, ha rilevato che l’11% di chi ha cliccato ha anche segnalato l’email.

Con questi tempi, quello che definisce un programma di Cybersecurity awareness è ciò che accade dopo il clic. In molti programmi è una riga del report con scritto “ha cliccato” e un corso assegnato per qualche settimana dopo, quando la persona non ricorda più quale email fosse né perché l’abbia aperta.

Questo articolo descrive come funziona la risposta automatica a un comportamento a rischio: che cosa può succedere nei minuti successivi, a chi parla ciascuna parte e che cosa resta registrato.

Che cos’è la risposta automatica a un comportamento a rischio?

È l’insieme di azioni che una piattaforma di Cybersecurity awareness esegue da sola quando registra un comportamento non sicuro, rivolte alla persona che lo ha avuto e ai team che devono saperlo, nel momento stesso dell’evento. Non aspetta la campagna successiva né che qualcuno apra un report.

In SMARTFENSE questa risposta ha tre parti, e ognuna parla a qualcuno di diverso. Il Momento Educativo e il Nudge parlano alla persona. Il Playbook parla ai sistemi e a chi deve intervenire.

Risposta	A chi parla	Che cosa la attiva	Canale	Disponibile dalla
Momento Educativo	Alla persona che ha compiuto l’azione in una simulazione	Il clic o la scansione di un codice QR, l’inserimento dei dati o un’altra azione scelta nella campagna	Browser e, facoltativamente, email	Versione 1.19
Nudge	Alla persona coinvolta nell’evento	Eventi di qualsiasi componente, segnalazioni comprese, e alert di Microsoft Defender	Email, Slack o Microsoft Teams	Versione 4.18 (alert di Defender, 4.25)
Playbook	Ad altri sistemi, al centro operativo di sicurezza o ai responsabili	Gli stessi eventi dei Nudge	Webhook, email, Slack o Microsoft Teams	Versione 4.17

Che cosa vede la persona nell’istante in cui clicca?

La prima cosa che può vedere è un Momento Educativo, un contenuto breve che compare solo a chi ha appena compiuto l’azione non sicura, nello stesso browser in cui l’ha compiuta.

Quei secondi sono quelli di massima ricettività. La persona ha capito di aver sbagliato e vuole sapere dove, quindi il contenuto indica sull’inganno stesso gli indizi che permettevano di riconoscerlo. Può chiudersi con una domanda di verifica per confermare che sia stato letto. Ho già scritto sul perché quello sia il momento migliore per imparare, e l’idea resta valida.

L’azione che lo attiva si sceglie in ogni campagna. Nel phishing può essere il clic sul link o l’inserimento dei dati nella pagina di destinazione. Se la simulazione usa un codice QR, scansionarlo vale come un clic, perché ogni persona riceve un codice proprio che equivale al suo link, così anche il qrishing attiva la stessa risposta. Nel ransomware, il download, l’apertura del file simulato o la cifratura simulata nella cartella della persona. La consegna può essere immediata nel browser, immediata e anche via email per rileggerla passata la sorpresa, oppure solo via email alla scadenza della campagna.

Chi non ha compiuto l’azione non lo riceve, così il programma non aggiunge contenuti a chi ha fatto le cose per bene.

Che cosa succede quando il comportamento avviene fuori dal browser?

Molti comportamenti a rischio non lasciano un browser aperto in cui mostrare qualcosa. Qui entra in gioco il Nudge, un messaggio breve che raggiunge la persona coinvolta via email, Slack o Microsoft Teams, nel canale in cui lavora già.

I trigger coprono tutti i componenti della piattaforma: Moduli Interattivi, Video, Videogiochi, Newsletter, Esami, Sondaggi, Phishing e Ransomware. E non tutti sono errori. Anche segnalare una simulazione attiva un Nudge, così come segnalare un’email reale. Quell’11% che ha cliccato e ha comunque segnalato merita una risposta quanto il clic, perché l’abitudine a segnalare si spegne quando nessuno risponde.

L’email reale segnalata, inoltre, arriva alla console delle segnalazioni. Lì Smart Triage la classifica in automatico come phishing o falso allarme e mostra ciò che ha trovato nel mittente, nei link e negli allegati. L’ultima parola spetta a una persona del team di sicurezza, e ho raccontato in un altro articolo come cambia il lavoro quando quel triage smette di essere manuale.

La differenza più grande arriva con l’integrazione con Microsoft Defender. Con questa, i trigger includono alert reali dell’ambiente dell’organizzazione, come il clic su un URL potenzialmente dannoso o la creazione di una regola di inoltro in una casella. Così il Nudge parla alla persona di qualcosa che le è successo davvero. Per questo l’integrazione deve essere attiva e le persone devono essere sincronizzate da Microsoft Entra ID, che è il modo in cui la piattaforma sa a chi appartiene ogni alert.

La piattaforma offre una galleria di Nudge pronti da attivare, e ogni organizzazione può crearne di propri in ogni lingua. Se devi scriverne uno da zero, questa guida per scrivere un nudge è un buon punto di partenza.

Chi altro deve saperlo?

Un errore raramente riguarda solo chi l’ha commesso. A volte bisogna aprire un caso, avvisare il centro operativo di sicurezza o informare il responsabile dell’area. Questo lo fa un Playbook, che associa un evento scatenante a una o più azioni.

Le azioni possibili sono una notifica via email, Slack o Microsoft Teams e una chiamata a un webhook verso un altro sistema, per esempio il service desk. Il webhook supporta l’autenticazione di base o OAuth 2.0. Prima di ogni chiamata la piattaforma richiede che l’indirizzo sia HTTPS e che risolva a un indirizzo pubblico, così nessuno può puntarlo contro un servizio interno.

I trigger sono gli stessi dei Nudge, alert di Defender compresi. Per questo uno stesso evento può avere entrambe le risposte insieme. Il Nudge spiega alla persona che cosa è successo e che cosa fare, e il Playbook apre il caso perché il team di sicurezza non dipenda dal notarlo su una dashboard. La piattaforma include Playbook predefiniti, che ogni organizzazione attiva o disattiva.

Avvisare un responsabile ha senso davanti a comportamenti ad alto rischio. Per un primo clic in una simulazione, quasi sempre basta ciò che riceve la persona.

E se il clic non l’ha fatto una persona?

I filtri di posta e gli antivirus aprono i link per analizzarli, e una simulazione può registrare quel clic come se fosse umano. Se la risposta partisse all’istante, la persona riceverebbe un messaggio per qualcosa che non ha fatto e il team di sicurezza aprirebbe un caso che non esiste.

In Phishing, Ransomware e Newsletter, quando l’organizzazione ha configurato la finestra di rilevamento dei falsi positivi, Nudge e Playbook aspettano che si chiuda. Se in quel tempo l’interazione viene riclassificata come generata da un software, non parte nulla. L’origine di queste interazioni automatiche è spiegata in questo articolo sui falsi positivi nelle simulazioni.

Resta traccia di ciò che è partito?

Sì. Ogni esecuzione di un Nudge o di un Playbook viene registrata, con che cosa è partito, su chi e con quale risultato. Dalla versione 4.38 i Nudge hanno anche un pannello dedicato, con la consegna e il suo andamento giornaliero, l’apertura per canale, i comportamenti che attivano più messaggi e gli invii non riusciti, esportabile in CSV.

È questa traccia che permette di fare aggiustamenti. Se un Nudge viene consegnato ma quasi non si apre via email, forse deve passare per Teams. Se un Playbook apre troppi casi, il trigger è scelto male.

Che cosa cambia nel report

Con questa catena, ogni clic apre un percorso che si può rivedere in seguito, dall’evento all’azione e dall’azione alla registrazione. Se stai valutando delle piattaforme, “Che cosa succede dopo che qualcuno ci casca?” è una delle sette domande per valutare una piattaforma di Cybersecurity awareness, insieme a ciò che conviene chiedere di vedere in una demo.