Può capitare che un dipendente risulti compromesso in una campagna di Simulation anche se non è caduto nella trappola. Il caso più frequente: il dipendente ha riconosciuto l'e-mail e l'ha inoltrata al vostro team di sicurezza, che l'ha poi analizzata con uno strumento automatico. È stato questo strumento a cliccare sul link e a inserire le credenziali, e Riot ha attribuito queste azioni al dipendente.
Questo articolo spiega perché questo stato non può essere modificato e come rimuovere l'attacco dai risultati della vostra campagna.
1️⃣ Perché lo stato «compromesso» non può essere modificato
Non appena un dipendente viene segnato come compromesso su un attacco, questo stato è definitivo. Non è possibile rimuoverlo, né trasformare l'attacco in una segnalazione:
una segnalazione effettuata dopo la compromissione non modifica lo stato;
l'azione «Mark as reported» viene rifiutata su un attacco già compromesso.
Questa regola garantisce che le vostre statistiche riflettano ciò che è realmente accaduto al momento dell'attacco.
👍 Buono a sapersi: un'e-mail inoltrata al vostro team di sicurezza tramite un canale diverso da Riot (un indirizzo interno, un ticket…) non viene conteggiata come segnalazione. Affinché il buon riflesso del dipendente venga riconosciuto, la segnalazione deve passare da Riot.
2️⃣ Rimuovere l'attacco dai risultati della campagna
Se siete certi che non sia stato il dipendente ad agire, potete ignorare il risultato del suo attacco. L'attacco viene quindi escluso dalle statistiche della campagna e dal calcolo degli Smart Groups.
👉 Passaggio 1: aprite la campagna interessata, poi cliccate sul dipendente: il dettaglio del suo attacco si apre in un pannello a destra.
👉 Passaggio 2: cliccate sul menu «…» in alto a destra di questo pannello.
👉 Passaggio 3: selezionate «Ignore attack result».
⚠️ Importante: un attacco ignorato non viene conteggiato né come compromesso, né come segnalato. Scompare semplicemente dai risultati. Resta invece visibile nell'export CSV della campagna, il che spiega un'eventuale differenza tra l'export e la dashboard.
👉 Prima di ignorare un attacco, verificate cosa è successo
Aprite il dettaglio dell'attività del dipendente: la cronologia con data e ora e la localizzazione delle azioni permettono spesso di riconoscere uno strumento automatico (azioni in pochi secondi, da un paese o una rete insoliti). I segnali da individuare sono descritti in L'attività dei dipendenti sulle e-mail di phishing non sembra corretta: perché?
In caso di dubbio, contattateci via chat indicando la campagna e il dipendente interessati: possiamo aiutarvi a verificare l'origine delle azioni.
3️⃣ Evitare che si ripeta
Riot riconosce e ignora automaticamente gli scanner di sicurezza più comuni, ma alcuni strumenti si comportano esattamente come un vero browser e non possono essere distinti da un dipendente. È il caso, in particolare, delle sandbox di analisi, che aprono la pagina e compilano i moduli.
Chiedete ai vostri dipendenti di segnalare tramite Riot (pulsante di segnalazione o inoltro all'indirizzo dedicato) anziché tramite un canale interno: in questo modo la segnalazione viene riconosciuta.
Avvisate il vostro SOC o il vostro team di sicurezza: un'e-mail di simulazione non ha bisogno di essere analizzata in una sandbox. Se lo strumento apre il link o inserisce delle credenziali, è il dipendente preso di mira a essere segnato come compromesso.
Autorizzate Riot nei vostri strumenti di sicurezza. Per Microsoft 365, seguite Configurare Microsoft 365.
Da ricordare
Lo stato compromesso è definitivo: non può essere né rimosso né sostituito da una segnalazione.
Se non è stato il dipendente ad agire, ignorate il risultato dell'attacco dal menu «…»: l'attacco esce dalle statistiche della campagna.
Un attacco ignorato non conta né come compromesso, né come segnalato.
Affinché il buon riflesso venga riconosciuto, la segnalazione deve passare da Riot e le e-mail di simulazione non devono essere analizzate in una sandbox.