A metà giugno la storica Demolizioni Rinaldi di Cengio, attiva da una quarantina d'anni nel settore dei ricambi auto, ha denunciato pubblicamente di essere finita nel mirino dei truffatori: ignoti avevano creato un sito web clone, quasi identico a quello ufficiale, riutilizzando logo, immagini e dati aziendali per vendere pezzi inesistenti. È un caso locale, ma il meccanismo che c'è dietro riguarda molte più aziende di quante si creda.
Come funziona il furto di identità di un'azienda
Clonare la vetrina di un'impresa è diventato relativamente semplice: logo e foto si copiano dal sito reale o dai social, il testo si replica, e in poche ore esiste una copia convincente su un indirizzo simile all'originale. A quel punto il finto negozio incassa ordini e dati delle carte da clienti che credono di rivolgersi all'azienda vera. Il danno è doppio: economico per chi paga e non riceve nulla, reputazionale per l'impresa che si vede associare a una truffa che non ha commesso.
Spesso, però, il punto di partenza non è la semplice copia della vetrina pubblica. È l'accesso a qualcosa che pubblico non dovrebbe essere: la casella di posta aziendale, il pannello di gestione del sito, l'account social o lo spazio hosting. Con quelle credenziali in mano, un truffatore non deve nemmeno imitare l'azienda dall'esterno: può scrivere ai clienti dal vero indirizzo, modificare le pagine reali o dirottare i pagamenti. Ed è qui che entrano in gioco le password.
Perché le credenziali sono l'anello debole
La maggior parte degli accessi non autorizzati non nasce da tecniche sofisticate, ma da password deboli, riutilizzate o già finite in qualche fuga di dati. In una piccola impresa è frequente trovare la stessa password per la posta, per il gestionale, per il social dell'attività e per l'hosting del sito. Basta che uno solo di questi servizi subisca una violazione perché quella chiave venga provata automaticamente su tutti gli altri: è il meccanismo che trasforma una fuga di dati altrui in un problema diretto per l'azienda.
A rendere il quadro più insidioso c'è il fatto che le stesse credenziali vengono spesso condivise tra più persone: il titolare, un collaboratore, l'agenzia che segue il sito. Più mani sulla stessa password, più occasioni perché finisca annotata in una chat, in una mail o su un foglietto, e quindi perché esca dal controllo di chi l'ha creata.
Cosa possono fare concretamente le aziende
Difendersi non richiede un reparto informatico né grandi budget. Bastano alcune abitudini, nell'ordine giusto. La prima è usare una password diversa e robusta per ogni servizio, in modo che la violazione di uno non apra la porta a tutti gli altri. Poiché nessuno riesce a ricordare decine di combinazioni diverse, in pratica ci si affida a un gestore che le genera e le custodisce.
In concreto, un generatore password crea in un istante chiavi lunghe e casuali, prive di riferimenti al nome dell'azienda o a date facili da indovinare, e le conserva dietro un'unica password principale. Non dovendo ricordarle, viene meno anche la tentazione di riutilizzarle o di annotarle in giro. Per gli account condivisi, molti di questi strumenti permettono inoltre di dare accesso a un collaboratore senza rivelargli la password in chiaro.
La seconda abitudine è attivare l'autenticazione a due fattori dove possibile — posta, social, hosting, gestionale — così che una credenziale rubata, da sola, non basti a entrare. La terza è monitorare periodicamente il proprio nome e il proprio marchio online, per accorgersi in fretta se è comparso un sito che imita l'attività, come hanno fatto i titolari di Demolizioni Rinaldi avvisando pubblicamente i clienti.
Se il clone è già online
Quando la copia esiste già, la rapidità conta. È utile avvisare subito i clienti attraverso i canali ufficiali, come nel caso savonese, segnalare il sito fraudolento al gestore del dominio e alle piattaforme social, e sporgere denuncia, che consente alle forze dell'ordine di intervenire e mette l'azienda al riparo sul piano della responsabilità. In parallelo conviene cambiare le password di tutti gli account aziendali, perché non sempre è chiaro fin dove sia arrivato l'attacco.
Il caso di Cengio è un promemoria utile: la reputazione digitale di un'impresa, costruita in decenni, può essere sfruttata da un estraneo nel giro di poche ore. Proteggere gli accessi non è una formalità tecnica, ma la parte meno visibile e più concreta della tutela del proprio nome.
Informazioni fornite in modo indipendente da un nostro partner nell’ambito di un accordo commerciale tra le parti. Contenuti riservati a un pubblico maggiorenne.
SU