Circola una campagna che sfrutta account email aziendali già violati per inviare falsi avvisi di firma documento in stile DocuSign. Chi clicca e inserisce le credenziali diventa a sua volta un mittente "attendibile" usato per colpire i propri contatti.
📋 In questo articolo
- Come si presenta l'attacco
- Perché funziona anche con chi è attento
- Cosa succede tecnicamente dopo il click
- Perché il rischio non si ferma a te
- Come prevenire, per chi scambia documenti ogni giorno
- Cosa fare se hai cliccato o inserito le credenziali
- Checklist dei segnali
- Le domande correlate più cercate
- Domande frequenti
Chi lavora ogni giorno con contratti, proposte commerciali e documenti da firmare digitalmente riceve notifiche di questo tipo più volte a settimana, ed è proprio questa normalità a rendere l'attacco efficace. Il messaggio non arriva da un dominio sconosciuto o da un mittente improbabile: arriva da una casella email reale, spesso quella di un collega, di un fornitore o di un partner commerciale, perché quella casella è stata violata in precedenza e viene ora usata per colpire i suoi stessi contatti. È uno schema di phishing a cascataTecnica in cui un account email realmente compromesso viene usato per inviare il messaggio fraudolento successivo, spesso in combinazione con truffe di tipo Business Email Compromise (BEC) mirate a fornitori e partner commerciali. che si autoalimenta, ed è tra i più difficili da riconoscere perché il primo controllo che tutti facciamo, guardare chi ha scritto, in questo caso non aiuta.
1. Come si presenta l'attacco
Il messaggio riprende la grafica di una notifica di firma documento: un titolo che richiama una proposta di collaborazione o un contratto, tag che segnalano "Esterna" e "In arrivo", un mittente con nome e cognome reali, e un corpo email essenziale che annuncia l'invio di un documento con un pulsante di azione unico. Di seguito una ricostruzione anonimizzata, con dati di esempio, della struttura tipica di questi messaggi, utile per riconoscerne il pattern anche quando cambiano nome del mittente, azienda citata o nome del file.
- Mittente reale e noto, ma l'account risulta già compromesso: è questo che aggira la diffidenza istintiva.
- Nome del file costruito sul contesto lavorativo plausibile, spesso proposta, contratto o collaborazione.
- Un solo pulsante di azione, senza alternative, che porta a una pagina di raccolta credenziali identica a un vero login.
Ricostruzione illustrativa con dati fittizi, basata sullo schema ricorrente di queste campagne, non uno screenshot reale.
2. Perché funziona anche con chi è attento
La formazione standard sul phishing insegna a controllare il dominio del mittente, la coerenza del logo, gli errori grammaticali. Qui questi controlli non bastano, perché il messaggio parte davvero dall'infrastruttura del mittente reale: supera le verifiche SPF, DKIM e DMARCProtocolli di autenticazione email che verificano se un messaggio proviene realmente dal dominio dichiarato. Se l'account del mittente è compromesso, il messaggio li supera legittimamente, perché parte davvero da quell'infrastruttura., mantiene la reputazione del dominio del mittente, e in molti casi si inserisce persino in una conversazione o in uno scambio di documenti già in corso tra le due aziende, rendendolo ancora più credibile.
3. Cosa succede tecnicamente dopo il click
Il pulsante porta a una pagina di credential harvestingPagina fraudolenta che imita fedelmente una schermata di accesso reale (email aziendale, Microsoft 365, Google Workspace) allo scopo di raccogliere nome utente e password digitati dalla vittima. costruita per imitare la schermata di accesso della propria casella email aziendale o del proprio provider, spesso Microsoft 365 o Google Workspace. Le credenziali inserite vengono raccolte immediatamente, e l'account viene messo in uso quasi subito, non dopo settimane: gli attaccanti sanno che la finestra di validità della password, prima che qualcuno se ne accorga, è breve.
4. Perché il rischio non si ferma a te
Una volta ottenuto l'accesso, l'account compromesso viene usato per inviare lo stesso schema di attacco alla rubrica della vittima, colleghi, clienti, fornitori, partner, spesso riprendendo conversazioni reali già esistenti per aumentare la credibilità. Chi riceve il secondo messaggio si trova nella stessa condizione di fiducia iniziale, il mittente è una persona reale con cui intrattiene rapporti di lavoro, e il ciclo si ripete su un'altra azienda.
5. Come prevenire, per chi scambia documenti ogni giorno
- Attiva l'autenticazione a più fattori su tutte le caselle email aziendali, è la singola misura più efficace contro questo schema.
- Prima di aprire un documento inatteso, anche da un mittente noto, verifica con un canale diverso, un messaggio diretto o una chiamata, soprattutto se il tono o il contesto del messaggio è insolito.
- Passa il puntatore sul pulsante prima di cliccare e controlla la destinazione reale del link, non solo il testo visibile.
- Se un collega o un cliente ti scrive con un tono o un contenuto diverso dal solito, considera l'ipotesi che il suo account sia compromesso, e avvisalo con un canale alternativo.
- Imposta alert di accesso anomalo sugli account aziendali, così un accesso da un paese o un dispositivo insolito viene segnalato subito.
6. Cosa fare se hai cliccato o inserito le credenziali
Se hai cliccato ma non hai inserito nulla
- Chiudi la pagina senza procedere e non riaprirla dallo stesso link.
- Segnala il messaggio come phishing dal tuo client di posta.
- Avvisa comunque il reparto IT o il tuo referente tecnico, per verificare eventuali tracce.
Se hai inserito username e password
- Cambia immediatamente la password da un dispositivo diverso, non da quello potenzialmente esposto.
- Attiva o verifica l'autenticazione a più fattori sull'account.
- Controlla la cronologia degli accessi e le regole di inoltro della posta, gli attaccanti spesso creano regole automatiche nascoste per continuare a ricevere copia della corrispondenza anche dopo il cambio password.
- Avvisa i tuoi contatti più stretti che il tuo account potrebbe aver inviato messaggi non autorizzati.
- Valuta un'acquisizione forense dell'account per ricostruire cosa è stato inviato, a chi, e quando, elemento importante sia per la tutela legale sia per informare correttamente clienti e fornitori coinvolti. Periti Digitali può occuparsene →
7. Checklist dei segnali
| Segnale | Cosa significa |
|---|---|
| Mittente noto ma tono o formattazione insoliti | Possibile indizio che l'account del mittente sia compromesso, non che il messaggio sia comunque autentico |
| Un solo pulsante di azione, nessun testo descrittivo del contenuto | Pattern tipico delle pagine costruite per portare a un solo obiettivo, il click, senza dare altre informazioni da verificare |
| Nome file generico ma plausibile nel contesto lavorativo | Costruito apposta per sembrare atteso da chi scambia contratti o proposte regolarmente |
| Richiesta di inserire di nuovo le credenziali email | Un vero documento condiviso non richiede quasi mai una nuova autenticazione alla casella di posta |
| Il messaggio arriva mentre è in corso uno scambio reale con quel contatto | Aumenta la credibilità ma è anche coerente con un account già violato che monitora la posta in arrivo |
8. Le domande correlate più cercate
DocuSign può essere usato davvero per inviare phishing?
Nella maggior parte dei casi non è la piattaforma DocuSign a essere violata, ma l'account email di chi la usa: l'aspetto grafico DocuSign viene semplicemente imitato, oppure l'account email compromesso genera una notifica che ne riprende lo stile.
Come faccio a sapere se il mio account ha già inviato phishing ai miei contatti?
Controlla la cartella "Posta inviata" per messaggi che non ricordi di aver scritto, e verifica le regole di inoltro automatico della posta, spesso il primo elemento che rivela una compromissione in corso.
Il doppio fattore di autenticazione basta a fermare questo attacco?
Riduce fortemente il rischio, perché anche con la password rubata l'accesso resta bloccato senza il secondo fattore, ma non annulla il rischio se l'attaccante riesce anche a intercettare o forzare la conferma del secondo fattore stesso.
9. Domande frequenti
Cos'è il phishing a cascata tramite account compromessi?
È uno schema in cui un account email realmente violato viene usato per inviare il messaggio fraudolento successivo ai contatti della vittima, sfruttando la fiducia riposta in un mittente reale e superando i normali controlli di autenticazione email.
Perché un'email di questo tipo sembra così credibile?
Perché arriva davvero dall'infrastruttura del mittente dichiarato, non da un dominio falsificato, e spesso si inserisce in uno scambio di documenti plausibile o già in corso tra le due parti.
Ho cliccato e inserito la password della mail aziendale, cosa devo fare subito?
Cambia la password da un altro dispositivo, attiva il doppio fattore, controlla cronologia accessi e regole di inoltro sospette, e avvisa i tuoi contatti più stretti che l'account potrebbe aver inviato messaggi non autorizzati.
Serve un perito informatico forense anche se ho già cambiato la password?
Sì, se vuoi ricostruire con certezza cosa è stato inviato, a chi e quando, un elemento utile sia per la tutela legale dell'azienda sia per informare correttamente i contatti coinvolti, cosa che il solo cambio password non documenta.
Ha senso controllare anche lo smartphone dopo un caso simile?
Sì, soprattutto se hai letto e aperto il messaggio dal telefono: un controllo tecnico del dispositivo puo verificare che non ci siano ulteriori segnali di compromissione oltre a quella dell'account email.
Sospetti un account email compromesso o un caso simile in azienda?
I nostri periti informatici forensi ricostruiscono accessi, invii e catena degli eventi con metodo documentato e utilizzabile in sede legale. Se il dubbio riguarda anche il telefono da cui hai letto il messaggio, verifichiamo anche quello.
Informatica forense e account compromessi → Controllo smartphone, il drago nel cellulare →Potrebbe interessarti anche:
- Truffa SMS BRT: come funziona lo smishing con falso avviso di consegna
- Hai un drago nel cellulare? Scopri se il tuo smartphone è sotto controllo
- Qualcuno sta cercando di entrare nel tuo account Facebook: come riconoscerlo
- Informatica forense e perizie digitali a Modena →
- Tutti gli articoli e approfondimenti di Periti Digitali →