Chiedi a un fondatore cosa lo tiene sveglio la notte e sentirai parlare di passerella, assunzioni e adattamento del prodotto al mercato. Raramente la posta in arrivo. Eppure i dati su questo punto sono ostinati: secondo Rapporto IBM sul costo di una violazione dei dati 2025il phishing è stato ancora una volta il vettore di attacco iniziale più comune, responsabile del 16% delle violazioni analizzate, con un costo medio di 4,19 milioni di euro (4,8 milioni di dollari) per incidente.
UN Rapporto sulle indagini sulla violazione dei dati di Verizon (DBIR) aggiunge che un elemento umano come il phishing, il furto di credenziali o l’ingegneria sociale è coinvolto in circa il 60% di tutte le violazioni.
Per le aziende in fase iniziale, i conti sono ancora meno clementi. Un’azienda può assorbire un incidente a sette cifre; per una startup in fase iniziale, una casella di posta compromessa che perde i dati dei clienti o reindirizza il bonifico di un investitore può essere esistenziale.
E gli aggressori lo sanno: la compromissione della posta elettronica aziendale (BEC) da sola ha causato 2,42 miliardi di euro (2,77 miliardi di dollari) di perdite segnalate negli Stati Uniti nel 2024 attraverso 21.442 reclami, secondo l’ Rapporto sulla criminalità su Internet dell’FBI.
L’ecosistema della sicurezza informatica europea sta rispondendo, e ciò è dimostrato dall’ondata di startup che costruiscono difese proprio contro queste minacce, da tecnologia di inganno che induce gli aggressori a cedere credenziali rubate alla coorte più ampia di Startup europee nel campo della sicurezza informatica.
Ma la maggior parte delle violazioni non avviene perché l’azienda non dispone di strumenti all’avanguardia. Accadono perché i fondatori hanno sbagliato le basi.
Ecco i cinque errori che si ripetono ancora e ancora.
Trattare la sicurezza della posta elettronica come un problema IT per dopo
In una startup di cinque persone, “ESSO” è chiunque abbia configurato l’account Workspace nella prima settimana, di solito con le impostazioni predefinite e di solito in fretta. Il problema è che l’e-mail non è solo un canale di comunicazione; è la chiave principale per tutto il resto.
La reimpostazione della password per il tuo CRM, la tua console cloud e il tuo portale bancario avviene attraverso la posta in arrivo. Una volta che un utente malintenzionato controlla l’e-mail di un fondatore, controlla effettivamente l’azienda.
La soluzione non costa quasi nulla: impone l’autenticazione a due fattori (idealmente chiavi hardware o passkey anziché SMS), richiede un gestore di password fin dal primo giorno e sceglie un e-mail aziendale provider in cui la sicurezza è l’impostazione predefinita anziché un componente aggiuntivo.
I servizi incentrati sulla privacy realizzati in Europa sono dotati di crittografia end-to-end, protezione dal phishing e gestione dei dati in linea con il GDPR pronta all’uso, il che è importante quando il tuo “squadra di sicurezza” è un CTO oberato di lavoro.
Qualunque sia il fornitore che scegli, il punto è lo stesso: la decisione che prendi nella prima settimana è quella con cui vivrai quando avrai 50 persone.
Supponendo che la tua squadra possa individuare un phishing
La formazione di sensibilizzazione creata per il panorama delle minacce del 2015, con i suoi nomi di mittenti scritti in modo errato e la grammatica goffa, è ormai pericolosamente obsoleta. La ricerca di IBM ha scoperto che l’intelligenza artificiale generativa ha ridotto il tempo necessario per produrre un’e-mail di phishing convincente da circa 16 ore a circa 5 minuti.
I segnali rivelatori che i fondatori dicono ai loro team di cercare stanno scomparendo.
Le startup sono particolarmente esposte a causa di chi assumono e della velocità con cui vengono assunte. Ricerca della società di formazione sulla sicurezza Keepnet ha scoperto che i nuovi assunti hanno il 44% in più di probabilità di cadere vittime di phishing rispetto al personale di lunga durata e il 71% fa clic su un’e-mail di phishing entro i primi 90 giorni.
Se raddoppi il personale ogni anno, gran parte della tua azienda si troverà permanentemente in quella finestra ad alto rischio. La formazione è ancora importante, ma deve essere continua e basata sulla simulazione, non su una diapositiva di onboarding una tantum.
Ignorare il problema del movimento del denaro
Gli attacchi BEC non necessitano di malware. Hanno bisogno di un’e-mail plausibile, presumibilmente proveniente dall’amministratore delegato che è in viaggio e richiede urgentemente un trasferimento, e da un dipendente che vuole essere d’aiuto.
Il rapporto di Verizon stima che la perdita media derivante da un singolo incidente BEC sia pari a circa 43.675 euro (50.000 dollari), che per molte aziende in fase iniziale equivale a un mese o più di implementazione. I periodi di raccolta fondi sono l’alta stagione: istruzioni via bonifico, nuove controparti e pressione temporale sono esattamente le condizioni sfruttate dagli aggressori.
La difesa è procedurale, non tecnica: qualsiasi modifica ai dati di pagamento o qualsiasi trasferimento superiore a una soglia prestabilita viene verificata attraverso un secondo canale, ovvero una telefonata a un numero noto, mai una risposta all’e-mail. Scrivilo e fallo applicare anche ai fondatori. Le truffe BEC di maggior successo funzionano proprio perché il “CEO“Le istruzioni non dovevano essere messe in discussione.
Saltando i noiosi standard di autenticazione
SPF, DKIM e DMARC sono tre record di autenticazione e-mail basati su DNS che indicano ai server di posta di tutto il mondo quali messaggi provengono realmente dal tuo dominio. Senza di essi, chiunque può inviare email che sembrano provenire da te, rivolte ai tuoi clienti, ai tuoi investitori o ai tuoi fornitori.
DMARC, un protocollo di autenticazione, policy e reporting e-mail, mantiene la documentazione accessibile e la configurazione di tutti e tre richiede in genere un pomeriggio. Saltarlo significa che il tuo marchio può essere utilizzato come arma nella campagna di phishing di qualcun altro e potresti scoprirlo solo quando un cliente arrabbiato ti inoltra il “fattura” non hai mai inviato.
Dimenticare che la sicurezza della posta elettronica è ora un problema di conformità
Secondo il GDPR, una violazione dei dati personali che circolano attraverso le caselle di posta può comportare obblighi di notifica entro 72 ore e multe fino a 20 milioni di euro o al 4% del fatturato globale, e la direttiva NIS2 estende gli obblighi di sicurezza a un insieme molto più ampio di aziende e dei loro fornitori.
Le startup UE in precedenza coprivano a guida di sopravvivenza alla conformità che copre ISO 27001, GDPR e NIS 2 per i fondatori che navigano esattamente in questo. A chiederselo non sono solo gli enti regolatori: i clienti aziendali e gli investitori ora esaminano regolarmente le pratiche di sicurezza durante la due diligence.
Dove è ospitata la tua posta elettronica, come è crittografata e chi può accedervi sono domande a cui risponderai nelle data room, non solo nelle revisioni della sicurezza. L’ENISA, l’agenzia per la sicurezza informatica dell’UE, pubblica una guida gratuita rivolta alle PMI che costituisce un solido punto di partenza.
L’asporto
Le startup che riescono a farlo bene non spendono di più, decidono prima. Una configurazione e-mail rafforzata, una regola di verifica dei pagamenti, tre record DNS e una formazione realistica neutralizzeranno il vettore di attacco dietro la maggior parte delle violazioni e ognuna di queste misure è accessibile a un team di due persone.
I fondatori dell’Europa stanno costruendo una generazione di società di sicurezza per gestire la parte sofisticata del panorama delle minacce. Il minimo che tutti noi possiamo fare è smettere di lasciare la porta d’ingresso aperta.
Nota del redattore: questo articolo è stato creato grazie alle intuizioni del team di Proton.
