❶ Che cos'è Slash?
Slash è la soluzione di Riot che protegge i vostri dipendenti dagli attacchi di phishing sofisticati e mirati che sfuggono ai filtri nativi di Google o Microsoft.
Slash si installa a complemento della vostra casella di posta (Gmail o Outlook) e si basa su modelli linguistici (LLM) per analizzare il contesto e l'intento di ogni e-mail in arrivo. Quando un'e-mail è ritenuta sospetta, un banner di rilevamento viene inserito direttamente nel corpo del messaggio per avvisare il dipendente.
👉 Le tre funzionalità chiave:
Protezione delle e-mail: analisi in tempo reale di tutte le e-mail in arrivo.
Avviso in loco: il banner compare direttamente nella casella di posta del dipendente, senza cambiare contesto.
Protezione dal furto d'identità: quando Slash sospetta che l'identità di un dipendente venga usurpata, Albert chiede automaticamente conferma alla persona interessata tramite un canale sicuro (Slack, Teams o Google Chat).
👍 Buono a sapersi: Slash completa le vostre difese esistenti senza interferire con esse. Funziona accanto a Microsoft Defender, Mimecast, Proofpoint o qualsiasi altro filtro a monte, perché si basa sulle API di Gmail e Outlook e agisce direttamente nella casella di posta dell'utente.
❷ Come funziona il rilevamento?
Slash si basa su un modello ibrido che combina due approcci complementari:
Analisi contestuale dei metadati: valutazione della sicurezza dei domini, degli URL e degli header, e stima dell'affidabilità dei mittenti esterni in base alla frequenza degli scambi passati.
Analisi semantica: basata su modelli linguistici (LLM), identifica gli scenari di phishing tipici a partire dal contesto e dal tono del messaggio.
👉 Gli scenari di phishing rilevati:
Furto d'identità di un dipendente: il mittente si spaccia per un dipendente interno per manipolare il destinatario e indurlo a compiere un'azione sensibile.
Imitazione di un servizio: l'e-mail imita un servizio online noto (DocuSign, Microsoft, ecc.) per rubare le credenziali.
Tentativo di estorsione: messaggio minaccioso che esige un pagamento, con il pretesto di possedere informazioni compromettenti.
Frode sui pagamenti a un partner (avvertimento): tentativo di spacciarsi per un partner commerciale per richiedere un pagamento o una modifica delle coordinate bancarie.
Indicatori sospetti (avvertimento): l'e-mail presenta segnali tecnici associati al phishing, senza corrispondere a uno scenario preciso.
👍 Buono a sapersi: a differenza di molte soluzioni, Slash non attiva un avviso automatico per ogni nuovo mittente. Solo le e-mail ritenute potenzialmente malevole generano un banner, il che evita di sommergere i dipendenti di avvisi inutili e preserva il valore del segnale.
❸ Il banner di rilevamento
Dal punto di vista del dipendente, gli avvisi di Slash compaiono direttamente nel corpo dell'e-mail sotto forma di banner interattivo.
Ogni banner contiene:
Una spiegazione contestuale: una breve descrizione del motivo dell'avviso (tono sospetto, senso di urgenza, incoerenza del dominio, URL dubbio, servizio imitato…). Aiuta il dipendente a comprendere il rischio e sviluppa progressivamente i suoi riflessi di sicurezza.
Tre azioni possibili direttamente dal banner.
❹ Le modalità di protezione e Inbox
La modalità di protezione di Slash si imposta in Inbox > Impostazioni > Slash. Determina che cosa fa Slash di un'e-mail rilevata:
Warning: in ogni e-mail rilevata, malevola o semplicemente sospetta, viene mostrato un banner. Nessuna e-mail viene bloccata automaticamente. È la modalità descritta nel resto di questo articolo.
Auto-remediation: le e-mail malevole evidenti vengono rimosse dalla casella del dipendente non appena rilevate, prima che le veda: nessun rischio di clic o di risposta. Slash blocca soltanto le e-mail di cui è estremamente sicuro, per evitare di bloccare per errore un'e-mail legittima. Le e-mail che richiedono solo cautela, come una richiesta di modifica delle coordinate bancarie, mantengono il loro banner. Su Microsoft 365, l'e-mail bloccata viene collocata in una cartella nascosta ai dipendenti; su Gmail, nello spam. Ogni e-mail bloccata compare in Inbox: ne mantenete il controllo.
Audit: Slash analizza tutte le e-mail in arrivo ma non intraprende alcuna azione: nessun banner, nessuna e-mail spostata, i vostri dipendenti non vedono nulla. Permette di testare Slash senza disturbarli. Per i dettagli, consultate l'articolo Slash: la modalità Audit.
👉 Le e-mail rilevate compaiono in Inbox
Ogni e-mail rilevata da Slash compare automaticamente in Inbox, senza attendere che un dipendente la segnali. Riceve lo stato Flagged: rilevata da Slash e non ancora esaminata da un amministratore. Il filtro Flagged by Slash permette di visualizzarle tutte, e un amministratore può intervenire su un'e-mail ancora prima che venga segnalata.
👍 Buono a sapersi: Inbox mostra solo le e-mail rilevate da Slash dall'attivazione di questa funzionalità: lo storico non viene recuperato.
❺ Le tre azioni disponibili dal banner
👉 Segnalare (Report)
L'e-mail viene rimossa immediatamente dalla posta in arrivo del dipendente che la segnala (cartella nascosta su Microsoft 365, spam su Gmail).
Viene creato un ticket in Inbox (o aggiornato se un altro dipendente ha già segnalato la stessa e-mail).
Se l'opzione Block Threat è attivata in Inbox e il ticket è confermato come malevolo, l'e-mail viene rimossa dalla casella di posta di tutti i dipendenti che l'hanno ricevuta, e le future e-mail provenienti dallo stesso attacco vengono bloccate all'arrivo.
👍 Buono a sapersi: su Microsoft 365, le e-mail rimosse vengono collocate in una cartella nascosta ai vostri dipendenti, che non possono più accedervi dalla loro casella di posta. Su Gmail questo non è possibile: le e-mail rimosse vengono collocate nello spam. Fanno eccezione le e-mail di simulazione Riot, che vengono sempre spostate nel cestino.
👉 Mi fido di questo mittente (Looks safe)
Il banner scompare e il dipendente può rispondere normalmente all'e-mail.
Slash memorizza che il dominio del mittente è considerato sicuro solo per questo dipendente: gli altri dipendenti continuano a vedere il banner se il mittente li contatta.
👉 Saperne di più (Ask Albert)
Il dipendente apre l'e-mail segnalata, con Albert al suo fianco.
Gli elementi individuati da Slash sono evidenziati nell'e-mail: il mittente, un link, una frase. Cliccando su uno di essi, il dipendente chiede ad Albert che cosa non va, e Albert glielo spiega.
Il dipendente può continuare a fare domande, scegliendo tra le domande suggerite o scrivendo le proprie.
La conversazione viene salvata: il dipendente può riprenderla più tardi.
👍 Buono a sapersi: il dipendente non vede più soltanto che cosa Slash ha rilevato: può indicare la parte sospetta e chiedere perché. È questo che trasforma ogni avviso in un momento di apprendimento.
❻ Il workflow di protezione dal furto d'identità interno
Slash propone un workflow di verifica automatica quando viene rilevato un furto d'identità di un dipendente interno. Questa funzionalità si attiva nelle impostazioni di Slash (opzione Auto Impersonation Protection).
👉 Come funziona?
Quando si sospetta un furto d'identità interno, Albert contatta automaticamente il dipendente la cui identità è stata usurpata tramite un canale sicuro (Slack, Teams o Google Chat) per verificare la legittimità dell'e-mail:
Se il dipendente conferma il furto d'identità («No, I'm being impersonated»): l'e-mail viene immediatamente rimossa da tutte le caselle di posta interessate (cartella nascosta su Microsoft 365, spam su Gmail), e in Inbox viene creato un ticket chiuso per il monitoraggio.
Se il dipendente conferma la legittimità («Yep, that was me»): il banner viene rimosso e l'e-mail resta nella posta in arrivo. Non viene creato alcun ticket.
👍 Buono a sapersi: a differenza degli altri scenari, in cui il dipendente deve segnalare manualmente l'e-mail dal banner, il workflow di furto d'identità è completamente automatico. Albert avvia la verifica senza attendere alcuna azione da parte dell'utente.
❼ L'analisi dei link e dei QR code
Una parte del rilevamento riguarda ciò che l'e-mail contiene piuttosto che il modo in cui è scritta.
👉 I link vengono confrontati con le banche dati di minacce note
Ogni link presente in un'e-mail viene verificato tramite Google Safe Browsing, la banca dati di siti di phishing e malware che conoscete già per gli avvisi mostrati da Chrome sui siti pericolosi.
In caso di corrispondenza, l'e-mail viene segnalata da un banner Slash o classificata come malevola da Inbox.
👍 Buono a sapersi: questa verifica si applica a tutte le e-mail, compresi gli scambi con i vostri colleghi o con i vostri partner di fiducia. È proprio questo che permette di rilevare una casella di posta compromessa: un mittente legittimo il cui account è stato violato invia veri link malevoli da un indirizzo di cui nessuno diffida.
👉 I QR code vengono decodificati
Slash estrae l'URL nascosto dietro un QR code, che si trovi nel corpo dell'e-mail o in un allegato di tipo immagine, poi gli applica la stessa analisi di qualsiasi altro link.
È una risposta diretta al quishing: questa tecnica consiste nel sostituire il link con un'immagine, proprio per sfuggire ai filtri che analizzano solo il testo.
👍 Buono a sapersi: potete passare il cursore su ogni spiegazione mostrata in un banner per vedere l'estratto esatto dell'e-mail che l'ha attivata. Utile quando un dipendente vi chiede perché il suo messaggio è stato segnalato.
❽ Compatibilità
Slash richiede che la casella di posta sia ospitata da Gmail o Outlook, perché utilizza le loro API per inserire i banner. Una volta inserito, il banner viene visualizzato correttamente su tutti i client di posta, tra cui:
Apple Mail (macOS, iOS);
Outlook desktop, web e mobile;
Gmail web e mobile (Android, iOS);
qualsiasi altro client desktop o mobile.
L'analisi di Slash non aggiunge alcun ritardo alla ricezione dell'e-mail.
Da ricordare
Slash è un livello complementare che si aggiunge alle vostre difese esistenti (Defender, Mimecast, Proofpoint, ecc.).
L'analisi si basa su un modello ibrido: metadati e analisi semantica (LLM).
La modalità di protezione si imposta in Inbox > Impostazioni > Slash: Warning (banner), Auto-remediation (blocco delle e-mail malevole evidenti) o Audit (analisi senza alcuna azione visibile ai dipendenti).
Tutte le e-mail rilevate compaiono in Inbox con lo stato Flagged.
Il banner propone tre azioni: Segnalare, Fidarsi, Saperne di più.
«Saperne di più» apre l'e-mail con gli elementi sospetti evidenziati: il dipendente può interrogare Albert su ciascuno di essi.
Il workflow di furto d'identità interno è automatico e avvia una verifica tramite Slack, Teams o Google Chat.