Il caso di una receptionist che ha concesso accesso remoto al PC
Nella maggior parte degli incidenti informatici non è un firewall bucato o una patch mancante a mettere in crisi l’azienda, ma l’essere umano. I criminali informatici lo sanno bene e sfruttano la leva della fiducia, dell’urgenza e dell’inganno.
Un esempio concreto: una receptionist di hotel riceve una telefonata da un presunto operatore di un OTA (Online Travel Agency, es. Booking.com). L’interlocutore si presenta come un tecnico che deve effettuare un aggiornamento urgente al sistema di prenotazione. Con tono sicuro e professionale, chiede all’utente di consentire l’accesso remoto al PC.
La receptionist, convinta di parlare con un partner legittimo, concede l’accesso. Dopo pochi minuti si accorge che il “tecnico” non sta installando aggiornamenti, ma naviga tra i file e i dati delle virtual card dei clienti. A quel punto interrompe la sessione, ma il danno potenziale è già alto.
Quali sono i rischi?
- Furto di dati di pagamento
Le virtual card emesse dalle OTA possono contenere fondi reali. Un accesso non autorizzato può consentire di copiare numeri, date di scadenza o CVV e tentare transazioni fraudolente. - Compromissione delle credenziali
L’attaccante potrebbe aver installato keylogger, backdoor o copiato file con credenziali di accesso a PMS, posta elettronica o portali OTA. - Data breach
Oltre ai dati di pagamento, potrebbero essere stati visualizzati o copiati dati personali dei clienti (GDPR). Anche un accesso parziale può configurare violazione dei dati. - Reputazione
Un incidente che coinvolge i dati dei clienti può minare la fiducia verso la struttura, con impatto immediato sul business.
Cosa fare subito per moderare i danni
- Isolare il PC compromesso
- Disconnettere il computer da Internet e dalla rete interna.
- Segnalare immediatamente l’incidente all’IT/security aziendale.
- Verifica e bonifica
- Eseguire una scansione approfondita per malware, RAT o backdoor.
- Se possibile, ripristinare l’intero sistema da un’immagine pulita.
- Controllo degli accessi
- Cambiare tutte le password salvate o utilizzate sul PC (posta, PMS, OTA, gestionali).
- Verificare eventuali accessi sospetti nei log degli applicativi.
- Monitoraggio delle virtual card
- Segnalare l’incidente al partner OTA (es. Booking) per bloccare le card potenzialmente compromesse.
- Attivare alert per transazioni sospette.
- Notifica legale e compliance
- Se c’è stato effettivo accesso a dati personali o di pagamento, valutare obblighi di notifica al Garante Privacy e agli interessati (GDPR).
Come prevenire episodi simili
- Formazione continua del personale: simulazioni di phishing e social engineering per insegnare a riconoscere truffe telefoniche.
- Policy chiare: nessun partner legittimo chiede mai accesso remoto senza un canale ufficiale e tracciato.
- Procedure di verifica: prima di consentire un accesso, l’utente deve poter chiamare un numero ufficiale o aprire ticket interno.
- Accesso remoto controllato: usare strumenti centralizzati (es. RMM, VPN) gestiti dall’IT, mai soluzioni ad hoc su richiesta telefonica.
- Principio del minimo privilegio: l’utente receptionist non dovrebbe avere accesso a dati sensibili o possibilità di installare software senza autorizzazione.
Conclusione
La tecnologia può essere robusta, aggiornata e monitorata, ma il punto debole rimane l’utente. Un attacco ben congegnato di social engineering può bypassare in pochi minuti anche le migliori difese.
Investire in consapevolezza e procedure è fondamentale tanto quanto in firewall o antivirus: il primo “firewall” è la persona che risponde al telefono.