La scorciatoia che crea un rischio a lungo termine
Quasi tutti i problemi di una casella condivisa cominciano con una frase che sembra innocua: «Dai, usiamo tutti la stessa password».
Per qualche giorno funziona. Tutti possono accedere alla casella. Nessuno deve configurare permessi. Il team risponde alle email dallo stesso posto.
Poi arriva la realtà. Qualcuno se ne va, e la password è ancora salvata sul suo telefono. Un volontario l’ha copiata in una nota. Il browser l’ha memorizzata sul computer di casa. Una persona del team risponde troppo in fretta e nessuno sa chi ha inviato l’email. L’account chiede una verifica, ma il numero di recupero è di qualcuno che è in ferie.
Il problema non è che il tuo team sia distratto. Il problema è che una password condivisa toglie le protezioni di base su cui la posta elettronica è stata costruita: l’identità di ciascuno, il controllo degli accessi e la responsabilità.
Rischio 1: nessuno sa chi ha fatto cosa
Quando tutti entrano con le stesse credenziali, ogni azione sembra fatta dalla stessa persona.
Se un’email viene eliminata, non sai chi l’ha eliminata. Se parte una risposta con il tono sbagliato, non sai chi l’ha scritta. Se un’email con una fattura viene modificata o inoltrata, non è facile ricostruire cosa è successo.
Per una piccola impresa, questo mette a rischio il rapporto con i clienti. Per una scuola o un’associazione, mette a rischio la continuità. Forse non ti serve un sistema di controllo complicato, ma ti serve sapere quale persona si è occupata di quale email.
Una vera casella condivisa mantiene l’accesso individuale. Il team continua a lavorare da un unico indirizzo, ma ognuno entra con il proprio account. È la differenza tra lavorare in squadra e avere un punto cieco.
Rischio 2: l’accesso resta aperto quando qualcuno se ne va
Le piccole realtà cambiano spesso. Un dipendente stagionale se ne va. Una segretaria cambia scuola. Un volontario smette di seguire le iscrizioni. Un membro del consiglio direttivo passa il testimone a qualcun altro.
Se la password della casella è stata condivisa, la cosa sicura è cambiarla ogni volta che qualcuno se ne va. In pratica i team rimandano, perché è una seccatura. Tutti gli altri devono aggiornarla sui propri dispositivi. Qualcuno resterà tagliato fuori. La nuova password finirà per girare su un altro canale altrettanto poco sicuro.
È così che i vecchi accessi sopravvivono.
Con l’accesso delegato o uno strumento di casella condivisa, togli una persona senza disturbare tutto il team. È più semplice e più sicuro.
Rischio 3: i controlli di sicurezza del servizio email possono bloccarti
I servizi email, sia personali sia aziendali, sorvegliano gli accessi sospetti. Se la stessa casella viene aperta da più dispositivi, città o reti, il servizio può considerare quel comportamento rischioso.
Questo può far scattare richieste di verifica. L’account può chiedere un codice inviato al numero di recupero. Se quel telefono è della persona sbagliata, tutto il team può restare bloccato nel momento peggiore.
Per i team piccoli fa particolarmente male, perché l’indirizzo condiviso riceve spesso richieste urgenti: genitori che segnalano un’assenza, clienti che chiedono un preventivo, soci che inviano un pagamento o un documento.
La soluzione più sicura è lasciare la casella protetta dal suo servizio email e far accedere ogni persona del team al lavoro comune con le proprie credenziali.
Rischio 4: phishing interno e frodi sulle fatture sono più difficili da individuare
È nell’email che cominciano molte operazioni delicate: fatture, coordinate bancarie, richieste dei fornitori, donazioni, iscrizioni, documenti personali.
Quando tutto il team condivide un solo account, è più difficile capire da chi viene un’attività strana. Quella regola di inoltro l’ha creata qualcuno del team o un malintenzionato? Qualcuno ha concesso un accesso in più di proposito? Perché una conversazione con un fornitore è sparita all’improvviso?
Le regole di rilevamento per la sicurezza di Microsoft 365 trattano una delega della casella o una modifica dei permessi inattesa come un segnale da tenere d’occhio. I team piccoli non hanno quasi mai il tempo di controllare questi dettagli a mano, ed è per questo che delle buone abitudini sugli accessi contano ancora di più.
Il modello più sicuro: un indirizzo condiviso, accessi individuali
Non devi abbandonare il tuo indirizzo email attuale. Il modello sicuro è semplice:
- Tieni l’indirizzo condiviso, come quello dei contatti o della segreteria.
- Smetti di distribuire la password della casella.
- Dai a ogni persona del team il proprio accesso.
- Fai in modo che ogni email sia riconducibile alla persona che se ne occupa.
- Togli l’accesso appena qualcuno se ne va.
Google Workspace e Microsoft 365 offrono entrambi i propri modelli di permessi. Trupeo va oltre con quello che serve ogni giorno: dire chi si occupa di ogni email («Me ne occupo io»), note per il team, etichette e un avviso quando un’altra persona sta già rispondendo.
Se stai ancora decidendo quale modello fa per te, leggi la guida completa alla casella condivisa e l’articolo su come condividere una casella senza condividere la password. Se sei pronto a chiudere con l’abitudine della password condivisa, guarda i nostri prezzi.
Un controllo rapido per il tuo team
Fatti cinque domande:
- Chi conosce oggi la password della casella?
- È salvata su dispositivi personali?
- Puoi togliere l’accesso a una persona senza cambiare nulla per le altre?
- Sapresti dire chi ha risposto a un’email delicata il mese scorso?
- Il team riceverebbe ancora le email se la persona che ha il numero di recupero non ci fosse?
Se anche una sola risposta non è chiara, il rischio c’è già. Sistemare le cose adesso è molto più facile che dover ricostruire, più avanti, cosa è successo alla casella dopo un incidente.
Fonti:
- Guida di Gmail: Delega e collabora con l’email: l’alternativa ufficiale alla password condivisa di Gmail; un delegato legge, invia ed elimina le email per conto del titolare e non può modificare la password.
- Microsoft Learn: Informazioni sulle cassette postali condivise in Microsoft 365: l’accesso alla cassetta postale condivisa si dà con autorizzazioni a ciascuna persona, e Microsoft raccomanda di bloccare l’accesso diretto all’account della cassetta e di non usarne la password.
- Elastic Security Docs: M365 Exchange Mailbox High-Risk Permission Delegated: una regola di rilevamento che tratta la concessione di diritti su una casella come segnale di un possibile malintenzionato che si mantiene nell’account.