Una sessione di accesso rubata

Cosa è successo

L’account è stato usato da un server affittato o da due paesi nella stessa sessione. I siti di phishing copiano la sessione dopo l’accesso, aggirando anche la verifica in due passaggi.

Quanto è grave

Critico: agisca entro un’ora.

Passi: Microsoft 365

La disconnetta ovunque: interfaccia di amministrazione di Microsoft Entra → Utenti (Users) → la persona → Revoca sessioni (Revoke sessions). Disconnette anche un aggressore che ha copiato la sessione.
Apri la pagina: entra.microsoft.com
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.
Reimposti la password: interfaccia di amministrazione di Microsoft 365 → Utenti → Utenti attivi → la persona → Reimposta password (Reset password). Comunichi la nuova a voce o di persona.
Apri la pagina: admin.microsoft.com/#/users
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.
Chiami la persona (niente e-mail: la sua casella potrebbe essere in mano ad altri) e chieda se è stata lei.
Controlli i suoi metodi di verifica: interfaccia di amministrazione di Microsoft Entra → Utenti (Users) → la persona → Metodi di autenticazione (Authentication methods). Elimini ogni telefono o app che non riconosce.
Apri la pagina: entra.microsoft.com
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.
Controlli le regole della casella: con la persona su outlook.office.com → Impostazioni → Posta → Regole. Elimini le regole che inoltrano, eliminano o spostano e-mail e che non ha creato lei.
Apri la pagina: outlook.office.com/mail/options/mail/rules
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.
Rimuova l’app: interfaccia di amministrazione di Microsoft Entra → Applicazioni aziendali (Enterprise applications) → l’app → Proprietà (Properties) → Elimina (Delete) (oppure Autorizzazioni (Permissions) → Revoca).
Apri la pagina: entra.microsoft.com
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.

Passi: Google Workspace

La disconnetta ovunque: pagina dell’utente → Sicurezza → Cookie di accesso → Reimposta. Chiude anche una sessione copiata da un aggressore.
Apri la pagina: admin.google.com/ac/users
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.
Reimposti la password: Console di amministrazione Google → Directory → Utenti → la persona → Reimposta password. Comunichi la nuova a voce o di persona.
Apri la pagina: admin.google.com/ac/users
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.
Chiami la persona (niente e-mail: la sua casella potrebbe essere in mano ad altri) e chieda se è stata lei.
Controlli le impostazioni di verifica: pagina dell’utente → Sicurezza → Verifica in due passaggi e Informazioni di recupero. Tolga telefoni o chiavi che non riconosce.
Apri la pagina: admin.google.com/ac/users
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.
Controlli inoltro e filtri del suo Gmail: Impostazioni → Visualizza tutte le impostazioni → Inoltro e POP/IMAP, poi Filtri e indirizzi bloccati. Elimini ciò che non ha creato.
Apri la pagina: mail.google.com/mail/u/0/#settings/fwdandpop
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.
Rimuova l’app: pagina dell’utente → Sicurezza → Applicazioni connesse → l’app → Rimuovi. Per bloccarla per tutti: Sicurezza → Controllo dell’accesso e dei dati → Controlli API → Gestisci l’accesso delle app di terze parti.
Apri la pagina: admin.google.com/ac/owl/list?tab=apps
Digiti l’indirizzo o usi il segnalibro: non segua mai un link di un’e-mail inattesa.

Verificare che sia risolto

È risolto quando la persona conferma l’attività, oppure quando la password è nuova, tutte le sessioni sono chiuse e non resta nessun metodo, regola o app sconosciuta. Ojava non segnala più nulla per lei.

Quando chiamare il fornitore IT

Chiami subito il suo fornitore IT se la persona non ha fatto questo, o se ha dubbi.