Una fattura falsa può fermare una PMI: proteggere email, accessi e backup

Una fattura arriva nella conversazione giusta, con il nome di un fornitore conosciuto e una richiesta plausibile: “Da questo mese usate il nuovo IBAN”. Bastano fretta e abitudine per trasformare una normale giornata in un problema serio. È uno scenario illustrativo, ma mostra perché la sicurezza di una PMI comincia anche dalle procedure amministrative.

Non serve partire da un progetto enorme. Serve sapere quali attività non puoi permetterti di perdere e mettere controlli chiari nei punti in cui una decisione produce conseguenze.

Il cambio di coordinate bancarie va verificato fuori dall’email

Definisci una regola interna: ogni variazione delle coordinate di un fornitore richiede una verifica usando un recapito già noto, non quello inserito nel messaggio ricevuto. Per i pagamenti più rilevanti, prevedi un secondo controllo. L’importo che lo rende necessario dipende dall’azienda: deve essere stabilito prima dell’urgenza.

Questa procedura deve valere anche quando la richiesta sembra arrivare dal titolare. Il controllo funziona se chi lo applica non teme di essere rimproverato perché rallenta una richiesta apparentemente importante.

Proteggi prima gli account che aprono tutte le altre porte

Email principale, gestione del dominio, amministrazione del sito e backup meritano attenzione prioritaria. Usa password diverse e un gestore di password; attiva l’autenticazione a più fattori dove disponibile. Le indicazioni dell’UFCS sul phishing aiutano a riconoscere le richieste ingannevoli e a ridurre l’esposizione degli accessi.

Evita credenziali amministrative condivise fra tutti. Quando una persona cambia ruolo o lascia l’azienda, rivedi gli accessi e i metodi di recupero. Un account dimenticato resta una responsabilità anche se nessuno lo usa più.

Un backup vale quando riesci a ripristinarlo

La cartella sincronizzata sul computer non dimostra, da sola, che puoi recuperare una versione precedente dopo un incidente. Se i backup sono raggiungibili con le stesse credenziali compromesse, possono essere colpiti insieme ai dati operativi. L’UFCS richiama questo rischio nelle indicazioni sul ransomware.

Individua i dati indispensabili, chi gestisce le copie e quali copie sono separate dall’ambiente di lavoro. Poi prova il ripristino di un insieme limitato di documenti in un ambiente adatto: misura il tempo necessario e verifica che i file si aprano davvero. Non aspettare l’incidente per scoprire che manca una password o una licenza.

Prepara una pagina di istruzioni per il giorno difficile

• Chi deve essere avvisato subito?
• Chi può sospendere un pagamento sospetto?
• Chi contatta il fornitore informatico?
• Dove sono conservati i riferimenti necessari se l’email non funziona?
• Chi decide come riprendere il lavoro dopo le verifiche?

Conserva questa procedura anche fuori dai sistemi che potrebbe riguardare. Simula una situazione semplice con il team: un’email sospetta, un account bloccato, un documento da recuperare. Cerca i passaggi confusi e correggili.

Comincia da tre verifiche concrete

Questa settimana controlla la procedura per gli IBAN, la protezione dell’email e l’esito dell’ultimo ripristino provato. Se non sai rispondere, hai già individuato una priorità utile. Contatta ElaraTeq per discutere il perimetro della tua infrastruttura e degli interventi necessari: strumenti e responsabilità devono essere definiti in base a ciò che usi davvero.