1️⃣ A cosa serve il modulo Inbox?
Inbox è il modulo Riot che centralizza tutte le email segnalate dai tuoi dipendenti e permette al tuo team sicurezza di trattarle rapidamente, con o senza l'aiuto dell'IA.
👉 Tre obiettivi principali:
Facilitare e accelerare il trattamento delle email sospette segnalate dai dipendenti.
Inviare automaticamente una notifica di follow-up al dipendente dopo il trattamento del ticket (sicura, spam o fraudolenta).
Centralizzare tutte le email malevole in un unico posto, con una cronologia completa e indicatori di utilizzo.
Con l'opzione Block Threat attivata (vedi sezione 5), Inbox permette inoltre di neutralizzare un attacco su tutta l'organizzazione a partire da una sola segnalazione.
2️⃣ Come arriva un'email nella Inbox?
Esistono tre metodi perché un'email segnalata arrivi nella Inbox:
👉 1. Riot Phishing Reporter (consigliato)
Un add-in Outlook o un pulsante Gmail che permette ai tuoi dipendenti di segnalare un'email con un solo clic dalla loro casella di posta. Compatibile con Outlook desktop, web e mobile, e con Gmail web e mobile.
👉 2. Il pulsante nativo di Outlook
Se preferisci utilizzare il pulsante nativo «Report» di Microsoft, possiamo intercettarlo affinché le email segnalate arrivino automaticamente nella Inbox.
👉 3. L'inoltro delle email (forwarding)
Il dipendente inoltra l'email sospetta a un indirizzo di ricezione dedicato (o a un alias più facile da ricordare, per esempio [email protected]). Questo è l'unico metodo che funziona su tutti i client di posta, incluso Apple Mail.
👍 Buono a sapersi: a differenza di Outlook, Gmail non permette a strumenti terzi di intercettare le segnalazioni effettuate tramite il suo pulsante nativo «Segnala phishing». Le email segnalate in questo modo vengono inviate direttamente a Google e non arrivano mai nella Inbox. Per Gmail, utilizza obbligatoriamente il Riot Phishing Reporter o il metodo di inoltro.
👉 Cosa succede quando un dipendente segnala un'email?
Il dipendente riceve immediatamente una conferma (un messaggio in-product con il Phishing Reporter, o un'email di conferma con il pulsante nativo o l'inoltro).
Viene creato un ticket nella Inbox.
Se più dipendenti segnalano la stessa email, le loro segnalazioni vengono unite in un unico ticket — un solo ticket da trattare per l'amministratore.
Il ticket viene poi trattato secondo la modalità di trattamento configurata (vedi sezione 4).
Una volta trattato il ticket, il dipendente riceve una notifica di follow-up via email che gli indica l'esito (sicura, spam o fraudolenta).
3️⃣ La casella di posta e il trattamento di un ticket
Quando apri il modulo, accedi direttamente alla tua casella di posta.
👉 Navigare nella lista
Cercare un'email per parola chiave tramite la barra di ricerca.
Filtrare per ticket aperti o per ticket assegnati a te.
Ordinare per email segnalate più recenti o per ultima attività nella Inbox.
Ogni riga della lista mostra: l'oggetto dell'email, il numero di segnalazioni, le etichette applicate, il tempo trascorso dalla segnalazione e un indicatore di stato:
🔵 Pallino blu: l'email non è ancora stata trattata.
✅ Spunta blu: l'email è stata trattata («contrassegnata come»).
👉 Trattare un'email
Cliccando sull'anteprima, accedi al contenuto dell'email segnalata. Dal menu «…» in alto a destra, puoi:
Contrassegnare l'email come Sicura, Spam o Fraudolenta.
Visualizzare gli header cliccando sul testo blu.
Scaricare l'email in formato .eml.
Rimuovere l'email dalla vista Inbox.
Quando l'IA è attivata, le email contrassegnate come fraudolente vengono classificate in 3 tipi di minaccia:
Furto d'identità di un dipendente
Frode nei pagamenti da parte di un partner
Imitazione di un servizio
Se l'IA è disattivata, l'email viene semplicemente contrassegnata come fraudolenta, senza suddivisione per tipo di minaccia.
4️⃣ Scegliere la modalità di trattamento
Inbox propone tre modalità di trattamento, da configurare in Impostazioni > Analisi delle minacce:
👉 Manuale
Tutti i ticket devono essere esaminati e decisi dagli amministratori. L'IA non interviene.
👉 Manuale con suggerimenti dell'IA (modalità consigliata per iniziare)
I ticket continuano a essere trattati manualmente, ma l'IA propone una pre-etichetta (sicura, spam o fraudolenta). Mantieni il controllo per convalidare o modificare il suggerimento. Questa modalità permette all'IA di allenarsi sui tuoi casi reali prima di un eventuale passaggio alla modalità automatica.
👉 Automatica
Tutti i ticket vengono trattati automaticamente dall'IA. Non è richiesta alcuna azione umana, non hai mai ticket in attesa.
👍 Buono a sapersi: l'IA di Inbox è in grado di analizzare le email in tutte le lingue. Si basa su un modello linguistico di grandi dimensioni (LLM) tramite Azure OpenAI, il che rende l'analisi multilingue nativa e affidabile.
👉 Come analizza l'IA un'email?
Per etichettare un'email come sicura, spam o fraudolenta, l'IA combina diversi segnali:
Segni di phishing: errori ortografici, richieste di informazioni personali, inviti ad agire rapidamente.
Esame tecnico: mittente, destinatario, oggetto, contenuto, DKIM, DMARC, SPF, SCL.
Indirizzo IP e dominio del mittente, confrontati con elenchi noti di IP e domini malevoli.
Attività sospetta: indirizzo del mittente falsificato, indirizzo di risposta (reply-to) diverso, ecc.
Intestazioni dell'email confrontate con quelle di email fraudolente note.
Piattaforma di intelligence sulle minacce per gli IP malevoli associati.
Corpo dell'email e link: linguaggio sospetto, richieste urgenti, link dubbi e certificati di sicurezza.
5️⃣ Amplificare la protezione: Block Threat, allowlist e blocklist
Tre impostazioni permettono di andare oltre il semplice trattamento ticket per ticket.
👉 Block Threat
Quando questa opzione è attivata, una sola segnalazione protegge tutta l'organizzazione:
L'email segnalata viene immediatamente spostata nello spam del dipendente che l'ha segnalata.
Una volta confermato il ticket come malevolo (manualmente o dall'IA), l'email viene spostata nello spam di tutti i dipendenti che l'hanno ricevuta.
Le email future provenienti dallo stesso attacco vengono spostate automaticamente nello spam all'arrivo, in tempo reale.
Se un amministratore riclassifica l'email come sicura, le email vengono ripristinate nelle caselle di posta.
👍 Buono a sapersi: un attacco viene identificato dalla combinazione indirizzo del mittente + oggetto. Il sistema gestisce le variazioni casuali (nomi, identificativi, stringhe casuali) che gli attaccanti inseriscono nell'oggetto per aggirare i filtri tradizionali. L'attivazione di Block Threat richiede i permessi di lettura/scrittura sulle caselle di posta.
👉 Mittenti autorizzati (allowlist)
I mittenti o i domini aggiunti a questa lista sono sempre considerati sicuri. Se un dipendente segnala un'email di un mittente autorizzato, il Phishing Reporter gli indica immediatamente che il mittente è considerato affidabile dalla tua organizzazione.
👉 Mittenti bloccati (blocklist)
I mittenti o i domini aggiunti a questa lista sono sempre considerati malevoli. Se un dipendente segnala un'email di un mittente bloccato, il Phishing Reporter gli indica immediatamente che il mittente è noto come malevolo. Con Block Threat attivato, le email dei mittenti bloccati vengono spostate automaticamente nello spam al momento della ricezione, senza creazione di ticket né revisione manuale.
6️⃣ Dettagli e attività di un ticket
Il pannello situato a destra dello schermo ti offre tutto il contesto relativo al ticket.
👉 Dettagli
Il o i dipendenti che hanno segnalato l'email.
👉 Attività
La cronologia completa del trattamento dell'email, particolarmente utile per fornire un secondo parere o per monitorarne l'evoluzione dal momento della segnalazione. Vi ritrovi inoltre il commento lasciato dal dipendente al momento della segnalazione.
7️⃣ Configurare le proprie notifiche amministratore
Ogni amministratore può configurare le proprie notifiche nel suo profilo:
Invio immediato : un'email appena viene creato un ticket, appena un ticket gli viene assegnato o (secondo la configurazione) quando c'è un'attività di segnalazione significativa su un'email.
Invio raggruppato : un'email di riepilogo mensile.
👉 Distribuzione automatica (opzione aggiuntiva)
Se il tuo team non ha un processo interno definito, i ticket possono essere assegnati automaticamente e in modo casuale a un gruppo di amministratori (per esempio, tutti gli amministratori sicurezza). Ogni amministratore può poi scegliere di ricevere notifiche solo quando un ticket gli viene effettivamente assegnato — utile per distribuire il carico di lavoro senza saturare tutti.
👍 Buono a sapersi: attualmente, le notifiche amministratore sono disponibili unicamente via email. Slack, Teams e Google Chat non sono ancora disponibili come canali di notifica per gli amministratori.
8️⃣ Insights
Dalla scheda Insights, puoi visualizzare i dati chiave estratti dal trattamento delle email segnalate:
Periodo di riferimento: i dati si aggiornano automaticamente in base al periodo selezionato.
Ticket aperti: numero di ticket non ancora trattati.
Utilizzo: percentuale di dipendenti che hanno utilizzato il Phishing Reporter e/o l'inoltro delle email nel periodo selezionato.
Precisione delle segnalazioni: percentuale di email segnalate effettivamente considerate come una minaccia (contrassegnate come fraudolente da un amministratore o dall'IA).
Ripartizione per tipo di minaccia: per le email fraudolente, visibilità sulla ripartizione percentuale delle minacce.
Top reporters: i dipendenti che hanno segnalato il maggior numero di email effettivamente identificate come malevole.
Le statistiche possono essere scaricate in formato CSV direttamente dalla Inbox e sono accessibili tramite la nostra API pubblica.
👍 Da ricordare
Inbox centralizza tutte le email segnalate dai tuoi dipendenti, indipendentemente dal metodo di segnalazione utilizzato (Phishing Reporter, pulsante nativo di Outlook o inoltro).
Sono disponibili tre modalità di trattamento: Manuale, Manuale con suggerimenti dell'IA o Automatica.
L'IA analizza le email in tutte le lingue e classifica le email fraudolente in 3 tipi di minaccia.
Block Threat amplifica la protezione: a partire da una sola segnalazione, l'attacco viene neutralizzato su tutta l'organizzazione.
Le allowlist/blocklist permettono di rendere più affidabile e più rapido il trattamento di alcuni mittenti.