Cybersecurity per studi professionali: 3 errori che vediamo sempre

Gli studi professionali italiani - avvocati, commercialisti, notai, consulenti del lavoro - condividono una caratteristica che li rende un target particolarmente interessante per i cybercriminali: gestiscono ogni giorno dati estremamente sensibili (bilanci, contratti, atti, dichiarazioni fiscali, dati personali di clienti) con risorse IT spesso minime.

Negli ultimi 18 mesi abbiamo lavorato con decine di studi e abbiamo notato tre errori ricorrenti, tutti facilmente prevenibili.

Errore 1: PEC e SPID gestiti senza MFA

È il classico errore da 1.000€ di danno potenziale per evitare 30 minuti di setup. La PEC professionale e gli SPID dello studio sono i veri "gioielli della corona": consentono di firmare digitalmente atti, presentare dichiarazioni fiscali, depositare ricorsi. Se vengono compromessi, l'attaccante può letteralmente operare al posto tuo.

Eppure, in molti studi questi account hanno ancora solo password, senza autenticazione a due fattori. Spesso la password è anche la stessa di altri servizi, esposta in qualche data breach passato.

Soluzione: attivare l'autenticazione multi-fattore su PEC, SPID, gestionali e portale Agenzia delle Entrate. Sono operazioni gratuite, supportate da tutti i provider, che si fanno in meno di un'ora.

Errore 2: Backup affidato solo al gestionale cloud

"I dati sono nel cloud, quindi sono al sicuro." Lo sentiamo continuamente. Il problema è che la maggior parte dei gestionali (per commercialisti, avvocati, consulenti) sincronizza i dati ma non li versiona in modo robusto. Se un ransomware cifra i file in locale durante una sincronizzazione, anche i dati nel cloud finiscono cifrati.

Inoltre, molti servizi cloud business hanno politiche di retention limitate (30-90 giorni). Se ti accorgi del problema dopo 4 mesi, i backup puliti potrebbero non esistere più.

Soluzione: regola del 3-2-1 (tre copie, due tipi di supporto diversi, una offline o air-gapped). Per uno studio piccolo è sufficiente un NAS in ufficio più un servizio di backup cloud terzo dedicato (non quello del gestionale).

Errore 3: Email di studio gestite come account personali

L'email professionale di uno studio è uno strumento di lavoro critico, ma viene spesso configurata come un account personale: nessun filtro anti-phishing avanzato, nessun controllo SPF/DKIM/DMARC sul dominio, nessuna policy di archiviazione.

Il risultato? Lo studio diventa un veicolo perfetto per attacchi BEC (Business Email Compromise): l'attaccante intercetta un'email di pagamento fattura, ne crea una versione modificata con IBAN diverso, e il cliente paga al criminale invece che allo studio.

Soluzione: configurare correttamente SPF, DKIM e DMARC sul dominio email (operazione tecnica ma una tantum), attivare i filtri anti-phishing premium del provider email, e introdurre una policy operativa per cui ogni modifica di IBAN viene verificata telefonicamente prima del pagamento.

L'ordine di intervento

Se hai uno studio professionale e parti da zero, l'ordine di priorità è: MFA prima, backup poi, configurazione email infine. Sono tre interventi che insieme costano poche centinaia di euro all'anno e che eliminano il 70-80% del rischio reale di compromissione. Il restante 20-30% richiede monitoraggio e formazione del personale, ma quello è il passo successivo, non il primo.