Individuare e proteggere gli account compromessi

In qualità di amministratore, se sospetti che un account sia stato violato, puoi servirti di questo elenco di controllo per accertarti che gli account dei tuoi utenti (ad esempio quelli compromessi o violati) siano protetti. Collabora con gli utenti interessati al completamento della checklist per la sicurezza di Gmail per gli utenti finali.

Adotta le misure di sicurezza descritte nei seguenti passaggi

Passaggio 1: sospendi temporaneamente l'account utente violato

1. Sospendi l'utente per impedire gli accessi non autorizzati.

   Nota: la sospensione comporta la reimpostazione dei cookie di accesso e dei token OAuth dell'utente.

2. Analizza le attività potenzialmente sospette e ripristina l'account. Puoi anche registrare il dominio per la verifica in due passaggi (V2P).
3. Chiedi all'utente interessato di controllare l'indirizzo di recupero e di completare i passaggi dell'elenco di controllo per la sicurezza di Gmail.

Passaggio 2: esamina l'account per rilevare eventuali attività non autorizzate

1. Se l'utente il cui account è stato violato è un amministratore, esamina i log di controllo amministrativi per individuare eventuali modifiche alla configurazione apportate di recente dall'utente. Ignora questo passaggio se non è pertinente.
2. Esamina i dispositivi mobili associati all'account interessato e cancella tutti i dati dagli eventuali dispositivi sospetti.
3. Analizza le attività potenzialmente sospette:
   1. Utilizza gli Eventi dei log utente nella Console di amministrazione per visualizzare l'elenco completo degli accessi basati sul web riusciti e non riusciti per il tuo dominio nei sei mesi precedenti. Gli accessi sospetti sono contrassegnati da un'icona di avviso. Puoi anche recuperare le informazioni sugli accessi relative agli account del dominio attraverso l'API di reporting.
   2. Utilizza la funzione Ricerca nei log email per esaminare i log di recapito dei tuoi domini e valutare il traffico dei messaggi da e verso gli account potenzialmente compromessi. Se l'account è gestito da Vault, puoi utilizzare Ricerca nei log email per esaminare le attività relative alle email.
      Nota: se eseguono l'upgrade a una versione che include Vault, gli utenti possono recuperare le email e i documenti eliminati definitivamente.
   3. Utilizza il Rapporto sulla sicurezza per valutare l'esposizione del dominio a eventuali rischi per la sicurezza dei dati. Esamina inoltre i seguenti rapporti:
      • Eventi del log OAuth
      • Eventi dei log di Gruppi
      • Eventi del log di Drive 

        Versioni supportate per questa funzionalità: Frontline Starter e Frontline Standard; Business Starter, Business Standard, and Business Plus; Enterprise Standard ed Enterprise Plus; Education Fundamentals, Education Standard, Teaching and Learning Upgrade ed Education Plus; Essentials Starter, Essentials, Enterprise Essentials e Enterprise Essentials Plus; G Suite Business.  Confronta la tua versione

      • Eventi del log di Calendar
   4. Verifica se sono state create impostazioni dannose. Puoi recuperare le impostazioni dell'account dell'utente (ad esempio quelle relative all'inoltro dei messaggi) tramite l'API Gmail. Se sospetti che un account [e-mail] sia stato utilizzato nell'ambito di una violazione, inviaci una segnalazione.

Passaggio 3: revoca l'accesso all'account interessato

1. Segui la procedura illustrata nell'articolo Reimpostare la password di un utente.
2. Revoca i token OAuth 2.0 dell'utente. 
3. Una volta reimpostata la password dell'utente, alcune applicazioni che utilizzano il metodo di autenticazione OAuth 2.0 non potranno più accedere ai dati. L'utente dovrà accedere con il nome del proprio account e con la nuova password per ricevere un nuovo token OAuth 2.0.
4. Rimuovi le password per le app create dall'utente.

Passaggio 4: ripristina l'accesso per l'utente

1. Annulla la sospensione dell'account.
2. Comunica agli utenti le loro nuove password provvisorie e invitali a impostare nuove password univoche, scartando quelle già utilizzate in altri siti web o applicazioni.
3. Attiva la verifica in due passaggi per il dominio e registra gli utenti utilizzando i token di sicurezza (preferibili ai token V2P).
4. Aiuta gli utenti a completare la checklist per la sicurezza di Gmail per gli utenti finali. Ad esempio, assicurati che i filtri e le opzioni di inoltro di tutti gli utenti finali siano configurati in modo appropriato.
   1. Aggiorna le opzioni di recupero dell'account.
   2. Controlla se nell'account si verificano attività insolite.
   3. Verifica se vi sono messaggi sospetti o mancanti.
   4. Esamina i contatti per trovare eventuali errori.
   5. Controlla le impostazioni di Gmail. 

Adottare misure di sicurezza aggiuntive 

Ti consigliamo di adottare le seguenti misure aggiuntive per tutelare la sicurezza degli account degli utenti.

Passaggio 1: esegui la registrazione per la verifica in due passaggi con token di sicurezza

La registrazione per la verifica in due passaggi aggiunge un ulteriore livello di sicurezza agli account degli utenti. Quando accedono al loro account, oltre al nome utente e alla password, gli utenti dovranno inserire un codice di verifica. Per informazioni dettagliate, vedi Aggiungere la verifica in due passaggi. Ti consigliamo di usare i token di sicurezza anziché i token V2P per una maggiore protezione contro il phishing.

Passaggio 2: aggiungi, proteggi o aggiorna le opzioni di recupero

Vedi Aggiungere opzioni di recupero agli account amministratore per istruzioni su come aggiungere indirizzi email e numeri di telefono secondari. Consigliamo di proteggere gli indirizzi email secondari cambiando le password o di impostarne di nuovi.

Passaggio 3: abilita gli avvisi sull'attività degli account

In qualità di amministratore, puoi scegliere di ricevere avvisi sull'attività degli account quando si verificano eventi importanti come, ad esempio, accessi potenzialmente sospetti o modifiche alle impostazioni del servizio apportate da altri amministratori.

Per consigli di carattere generale su come proteggere il tuo account, visita il Centro per la sicurezza online di Google.