Ci hanno hackerato la mail aziendale, ci hanno detto che serve un'indagine sull'incidente: chi se ne occupa e cosa va registrato?

Riavviando il server avete quasi sicuramente già cancellato i socket di rete attivi sulla RAM e le tracce temporanee delle sessioni dell'attaccante. I primi interventi dettati dal panico dei sysadmin spesso distruggono proprio le prove di cui gli analisti forensi hanno più bisogno. Da adesso in poi non installate né cancellate nulla sul sistema; fate subito un'immagine forense del disco attuale.

Controllate assolutamente le regole di inoltro nella casella di posta. Di solito gli hacker creano regole che inoltrano di nascosto a un indirizzo esterno le mail che contengono parole come fattura, pagamento, contabile, oppure spostano direttamente le risposte ricevute nel cestino. Inoltre, archiviate subito i log di audit dell'amministratore dalla console di gestione delle mail.

Cosa da fare SUBITO: lanciare il comando di disconnessione da tutti i dispositivi dal pannello di gestione delle email e rendere obbligatoria l'autenticazione a due fattori per tutti i dipendenti senza eccezioni. Anche se la password viene cambiata, i token di sessione rimasti aperti possono permettere all'attaccante di restare dentro.

L'anno scorso nel nostro ufficio logistico di Mosca è successa esattamente la stessa cosa con la manomissione di una fattura. Abbiamo pagato 450.000 RUB a una società di cybersecurity locale per l'indagine sull'incidente. Dall'analisi è emerso che l'attaccante, tramite una mail di phishing sul PC della contabile, monitorava le conversazioni in silenzio da 43 giorni.

che la banca se ne sia accorta all'ultimo è stata una botta di culo assurda cmq, 3.8 milioni di rubli nn sono pochi. ma il consulente ha ragione probabilmente nn sono entrati solo su quell'account ma forse pure su qualche altro pc della rete. non rimandate l'indagine secondo me.

Ai sensi della legislazione della Federazione Russa, avete precise responsabilità legali in merito alla protezione dei dati personali e dei segreti commerciali. Se l'incidente ha risvolti che coinvolgono terzi e intendete sporgere denuncia alle autorità competenti, una perizia tecnica asseverata che certifichi l'integrità della catena di custodia sarà l'unico elemento probatorio valido in sede giudiziaria.

Questo genere di truffe sulle fatture non avviene a caso. L'attaccante ha studiato in anticipo i vostri flussi contabili, il tono di voce usato con il fornitore e le scadenze delle fatture. Questo dimostra che vi hanno spiato dall'interno per giorni se non per settimane. Il vostro team interno può solo spegnere l'incendio visibile; per un'analisi approfondita della causa principale serve per forza un occhio esperto esterno.

Sono una piccola impresa, vi parlo dal mio punto di vista. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Buon lavoro.

Preso nota, grazie.

Racconto cosa mi è successo, magari vi è utile. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Questa è la mia opinione, non la scrivo come verità assoluta.

C'è un punto che mi incuriosisce. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Io seguirei questa strada.

Bisogna fare una distinzione qui. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Secondo me è difficile essere così netti sul lato indagine sull'incidente. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Lascio una nota, potrebbe servire.

Grazie mille, era la risposta che cercavo. L'errore commesso da indagine sull'incidente è generalmente reversibile ma costoso.

Io seguirei questa strada.

Breve riassunto per i nuovi arrivati: Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Correggetemi se sbaglio.

Può approfondire un po'? Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione. Correggetemi se sbaglio.

Racconto cosa mi è successo, magari vi è utile. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Confermato dall'esperienza.

In generale è corretto ma manca un pezzo. Chiunque abbia fretta su indagine sull'incidente si blocca nello stesso punto.