Account email compromesso
Accessi sconosciuti, email inviate senza autorizzazione, regole di inoltro, cambio dei recapiti, download o cancellazione di messaggi.
Account forensics e log analysis · Roma
Analisi di accessi abusivi, log e account a Roma
Analisi tecnico-forense di account email e social, servizi cloud, sessioni, indirizzi IP, autenticazione a più fattori, firewall, VPN e log aziendali.
Lo Studio Quaranta Digital Forensics ricostruisce gli eventi disponibili distinguendo account, dispositivo, sessione e persona fisica, senza trasformare automaticamente un indirizzo IP o un login in un’attribuzione personale certa.
Che cos’è l’analisi forense di un account compromesso?
L’analisi forense di un account consiste nella raccolta e nella correlazione delle informazioni tecniche disponibili su accessi, sessioni, dispositivi e attività. Può interessare account email, social, cloud e sistemi aziendali.
account coinvolto
→ evento registrato
→ data e ora
→ sessione o dispositivo
→ attività successive
→ ipotesi alternative
→ conclusioni sostenibili
Lo Studio opera esclusivamente su account legittimamente accessibili, dispositivi consegnati dal titolare, sistemi aziendali autorizzati, log messi a disposizione o materiale acquisito nell’ambito di un incarico.
Limite essenziale: un log può associare un evento a un account, a una sessione, a un dispositivo o a un IP. Non identifica automaticamente la persona fisica che ha materialmente eseguito l’operazione.
Quando può essere utile il servizio?
Profilo social violato
Modifica della password, pubblicazione di contenuti, invio di messaggi, campagne, rimozione degli amministratori o applicazioni collegate.
Account cloud
Login, download, upload, condivisioni, cancellazioni, versioni, sincronizzazioni e modifiche dei permessi.
Sistemi aziendali
Accessi VPN, account condivisi, attività fuori orario, sottrazione di dati, modifiche amministrative e trasferimenti verso cloud.
Frodi e BEC
Business email compromise, modifica dell’IBAN, richieste di pagamento, impersonificazione e sottrazione di documenti.
Consulenza tecnica di parte
Verifica di log, query, retention, timezone, IP, sessioni, MFA, dispositivi e conclusioni di relazioni tecniche.
Quali account e fonti possono essere analizzati?
Gmail e OutlookMicrosoft 365Google WorkspaceSocial networkOneDrive e SharePointGoogle Drive e DropboxActive DirectoryEntra IDFirewall e VPNEDR e SIEM
Notifiche di sicurezza
Nuovi accessi, cambi password, nuovi dispositivi, applicazioni autorizzate e attività considerate anomale dal provider.
Cronologia degli accessi
Data, ora, IP, browser, dispositivo, posizione indicativa, esito e tipo di autenticazione.
Sessioni e MFA
Sessioni attive, token, dispositivi attendibili, applicazioni di autenticazione, push, SMS e chiavi di sicurezza.
Audit e log di rete
Login, modifiche amministrative, download, cancellazioni, condivisioni, firewall, VPN, proxy, DNS, DHCP e SIEM.
Un indirizzo IP identifica una persona?
No. Un indirizzo IP identifica una connessione osservata in un determinato momento. Può essere dinamico, condiviso, associato a NAT, VPN, proxy, rete mobile, rete aziendale o servizio cloud.
indirizzo IP
+ data e ora
+ timezone
+ porta sorgente
+ protocollo
+ account
+ sessione
+ dispositivo
+ log del provider
Account, dispositivo e persona devono essere distinti
Un’attività associata a un account può derivare da credenziali condivise, password sottratta, accesso remoto, sessione persistente, dispositivo lasciato sbloccato, malware, amministratore o sincronizzazione automatica.
Formula prudente: “L’attività risulta associata all’account indicato.” Non: “Il titolare dell’account ha certamente eseguito l’attività.”
Analisi di log aziendali, cloud e rete
Active Directory ed Entra ID
Login, autenticazioni, modifiche dei gruppi, reset password, dispositivi e attività amministrative.
VPN e firewall
Account, IP, durata, gateway, indirizzi interni, origine, destinazione, porte, protocolli e regole.
Endpoint ed EDR
Processi, file, connessioni, malware, account, attività sospette e risposte automatiche.
SIEM
Correlazione di eventi da più fonti. Un alert è una segnalazione da verificare sui dati grezzi, non un incidente confermato.
L’assenza di un log dimostra che l’evento non è avvenuto?
No. Occorre verificare che il sistema avrebbe dovuto registrarlo, che il logging fosse attivo, che la retention copra il periodo, che l’export sia completo, che la query sia corretta e che il parser supporti il record.
Formula prudente: “Il record non è stato individuato nelle fonti analizzate.”
Come si svolge il servizio?
Valutazione preliminare
Raccolta delle informazioni su account o sistema, attività sospetta, data, notifiche, dispositivi, provider e urgenza.
Verifica dell’autorizzazione
Controllo del titolo legittimo per analizzare account, dispositivi, sistemi e log.
Preservazione delle fonti
Conservazione di log, notifiche, email, dispositivi, sessioni, esportazioni e configurazioni.
Acquisizione dei dati
Esportazione documentata di audit, log, email, dati cloud, copie dei dispositivi e configurazioni.
Verifica dell’integrità
Controllo di hash, dimensioni, formati, originali, copie e archivi.
Normalizzazione temporale
Allineamento degli eventi considerando timezone, clock, precisione e significato dei timestamp.
Analisi e correlazione
Correlazione tra account, sessione, IP, MFA, dispositivo, email, file e attività successive.
Valutazione delle ipotesi alternative
Considerazione di accessi autorizzati, sessioni persistenti, sincronizzazioni, applicazioni, malware ed errori.
Relazione tecnica
Documentazione di fonti, acquisizione, timeline, eventi, correlazioni, limiti e conclusioni.
L’acquisizione deve documentare query, filtri, intervallo, paginazione, errori, ruolo utilizzato, licenza e retention. La timeline deve distinguere event time, ingest time, timezone e precisione della fonte.
Quali materiali preparare?
Materiale utile
- Account o sistema coinvolto.
- Provider o piattaforma.
- Email e notifiche di sicurezza.
- Data e ora degli eventi.
- Dispositivi conosciuti.
- Cronologia accessi e sessioni.
- Notifiche MFA.
- Log, report e configurazioni.
- File modificati o sottratti.
- Procedimento o scadenza.
Cosa non fare
- Non cancellare notifiche ed email di sicurezza.
- Non eliminare log o account.
- Non formattare i dispositivi.
- Non condividere password o token.
- Non accedere ad account di terzi.
- Non attribuire automaticamente l’accesso a una persona.
- Non modificare configurazioni senza annotarle.
- Non pubblicare IP o dati personali.
Domande frequenti
No. Identifica una connessione osservata in un certo momento e deve essere correlato con account, porta, sessione, dispositivo e log.
No. Fornisce normalmente un’indicazione approssimativa che può riferirsi al provider, al nodo o alla rete.
Non automaticamente. Possono esistere approvazioni involontarie, token sottratti, sessioni persistenti o dispositivi compromessi.
Sì, nei limiti dei log, delle notifiche, delle sessioni, dei dispositivi e delle informazioni ancora disponibili.
Sì, utilizzando fonti e accessi autorizzati, notifiche, cronologia, sessioni e contenuti pubblicati.
In alcuni casi è possibile associare l’evento a un account o a una sessione. L’attribuzione personale può richiedere ulteriori elementi.
No. Occorre verificare configurazione, retention, completezza, query e capacità del sistema di registrare l’evento.
No. È una segnalazione prodotta da una regola e deve essere verificata sui dati grezzi e sul contesto.
La sicurezza dell’account ha priorità. Prima o durante l’intervento è opportuno documentare notifiche, sessioni e configurazioni, quando ciò può essere fatto senza aumentare il rischio.
No. Può documentare eventi, account, sessioni e dispositivi. L’identificazione personale può rimanere non determinabile.
Approfondimenti e risorse tecniche
Servizi correlati
Hai bisogno di analizzare un account compromesso o un accesso abusivo a Roma?
Lo Studio Quaranta può valutare account, notifiche, sessioni, dispositivi, MFA, indirizzi IP, VPN, firewall, cloud, log e attività successive.
Non vengono garantiti identificazione certa della persona, geolocalizzazione precisa, disponibilità completa dei log o attribuzione automatica tramite IP.
Contatto riservato
Descrivi l’accesso o l’account sospetto
Indica account o sistema, provider, data e ora, notifiche, dispositivi, modifiche rilevate, log disponibili e interventi già effettuati. Non inviare password o token.
Telefono: +39 393 020 9776
Email: info@periziainformatica.legal
Sede: Via Gregorio Ricci Curbastro, 43, 00149 Roma RM