Quando una PMI subisce una violazione su Microsoft 365, la causa quasi mai è un bug nella piattaforma. È quasi sempre un'impostazione sbagliata o dimenticata. La distinzione è importante: non si tratta di aspettare che Microsoft rilasci una patch. Si tratta di configurare correttamente quello che si ha già.

Secondo i dati raccolti da chi fa audit su tenant M365, la quota di violazioni cloud riconducibili a errori di configurazione — permessi troppo ampi, MFA assente, condivisioni pubbliche lasciate aperte — è molto alta. Non è una questione di dimensioni aziendali: le PMI sono anzi più esposte, perché hanno meno risorse dedicate a monitorare queste impostazioni nel tempo.

Di seguito i cinque errori che ricorrono più spesso.

1. MFA non attivata (o attivata solo in parte)

L'autenticazione a più fattori è la misura singola più efficace contro i furti di account. Microsoft stima che blocchi il 99,9% degli attacchi automatizzati di compromissione. Eppure molte PMI la lasciano disattivata, spesso per non "complicare la vita" ai dipendenti.

Il problema non è solo che l'MFA manca del tutto. È che viene attivata in modo parziale: per alcuni utenti sì, per altri no. Gli account trascurati diventano il punto d'ingresso.

C'è un caso specifico che aggrava tutto: la legacy authentication. Si tratta di protocolli vecchi (come SMTP base o IMAP senza autenticazione moderna) che bypassano completamente l'MFA anche quando è attiva. Nei tenant migrati prima del 2023, questo tipo di autenticazione è ancora presente in una quota rilevante di installazioni, secondo i dati raccolti da chi opera su scala nazionale su PMI italiane.

La correzione è tecnica ma non complicata: attivare le impostazioni predefinite di sicurezza di Microsoft Entra ID (ex Azure AD), oppure configurare policy di accesso condizionale se si ha un piano che le supporta.

2. Troppi Global Administrator

In molte PMI il tenant M365 è stato configurato una volta sola — spesso dal titolare o da un consulente esterno — e da allora nessuno ha più rivisto chi ha quali permessi.

Il risultato tipico: tre, quattro, a volte cinque account con ruolo di Global Administrator. Ogni account con quel ruolo può fare qualsiasi cosa sul tenant: cancellare utenti, modificare policy, accedere a tutte le caselle di posta. Se uno di quegli account viene compromesso, l'attaccante ha controllo totale.

La regola pratica è semplice:

  • Massimo due o tre Global Admin, preferibilmente con account dedicati (non quelli usati quotidianamente).
  • Per le attività ordinarie, usare ruoli limitati: amministratore Exchange, amministratore SharePoint, amministratore helpdesk.
  • Abilitare l'MFA obbligatoria su tutti gli account amministrativi, senza eccezioni.

Questo vale anche per gli account dei fornitori IT esterni. Se un partner ha accesso al tuo tenant, verifica che usi credenziali dedicate e non il proprio account personale.

3. SharePoint e OneDrive con condivisioni anonime aperte

SharePoint e OneDrive permettono di generare link di condivisione di tre tipi: solo utenti interni, utenti specifici con credenziali, oppure chiunque abbia il link — senza autenticazione.

L'opzione "chiunque" è comoda per mandare un file a un cliente in fretta. Il problema è che quei link non scadono per default, non vengono revocati quando il progetto finisce, e spesso nessuno sa più quanti ne circolano.

Immagina di aver condiviso un preventivo riservato o un documento con dati di fornitori usando un link anonimo due anni fa. Quel link potrebbe essere ancora attivo oggi.

La configurazione corretta prevede:

  • Impostare il tipo di condivisione predefinito su "Solo persone nell'organizzazione" o "Persone specifiche".
  • Disabilitare i link anonimi a livello di tenant, salvo eccezioni motivate.
  • Impostare una scadenza automatica per i link di condivisione esterni (es. 30 giorni).

4. Nessun backup esterno dei dati

Questo è probabilmente l'errore più sottovalutato. Molte PMI credono che Microsoft 365 salvi automaticamente tutto e che i dati siano al sicuro per sempre. Non è così.

Microsoft garantisce la disponibilità del servizio, non il ripristino dei tuoi dati. La responsabilità della conservazione è tua.

Microsoft 365 offre funzioni come il recupero degli elementi eliminati, la conservazione legale e l'archiviazione. Ma queste non equivalgono a un backup. I limiti concreti:

  • Gli elementi eliminati restano nel cestino per un periodo limitato (di default 30 giorni per gli utenti, 93 giorni per le cassette postali).
  • Se un account viene cancellato per errore o per dimissioni, i dati possono andare persi se non si agisce in tempo.
  • Le email cancellate da un attacco ransomware o da un errore umano potrebbero non essere recuperabili senza un backup esterno.

Le soluzioni di backup di terze parti più diffuse per M365 includono Veeam Backup for Microsoft 365, Acronis Cyber Protect, Druva e AvePoint. Non sono gratuite, ma il costo è basso rispetto al rischio di perdere mesi di email o documenti aziendali.

5. Protezione email assente o incompleta (SPF, DKIM, DMARC)

SPF, DKIM e DMARC sono tre record DNS che servono a certificare che le email inviate dal tuo dominio siano davvero tue. Senza di loro, chiunque può inviare email spacciandosi per la tua azienda — un attacco chiamato spoofing.

In molte PMI, SPF è configurato (spesso in modo parziale), DKIM non è mai stato abilitato su Microsoft 365, e DMARC non esiste. Il risultato: il dominio aziendale è tecnicamente aperto allo spoofing, e le email legittime rischiano di finire in spam.

Configurare questi tre record richiede accesso al pannello DNS del dominio e qualche ora di lavoro tecnico. Una volta fatto, il dominio è protetto e la deliverability delle email migliora.

Vale la pena verificare anche le policy anti-phishing all'interno di Microsoft Defender for Office 365: le impostazioni di default non sono sempre sufficienti, e in molti tenant vengono lasciate invariate dall'attivazione.

Come evitare che la configurazione si degradi nel tempo

Un tenant M365 configurato bene oggi può diventare vulnerabile in sei mesi, senza che nessuno se ne accorga. Cambiano gli utenti, si aggiungono app, Microsoft introduce nuove funzioni (non sempre attive di default), i permessi si accumulano.

Questo fenomeno si chiama configuration drift: la configurazione deriva lentamente dalla baseline sicura senza che ci sia un evento specifico che lo segnali.

Alcune misure pratiche per tenerlo sotto controllo:

  • Pianificare una revisione del tenant almeno ogni sei mesi.
  • Usare il Microsoft Secure Score nell'interfaccia di amministrazione: è uno strumento gratuito che segnala le impostazioni più rischiose con un punteggio e suggerimenti concreti.
  • Tenere un registro degli account amministrativi e aggiornarlo a ogni cambio di personale o fornitore.
  • Verificare periodicamente i log di accesso per individuare accessi anomali o da paesi insoliti.

Non serve un team IT interno dedicato per fare queste cose. Serve un consulente che conosca M365 in profondità e che faccia questa verifica con regolarità — non solo al momento dell'attivazione.

Se non sai da dove partire, il Microsoft Secure Score è il primo posto dove guardare. Apri l'interfaccia di amministrazione M365, cerca "Secure Score" e controlla il punteggio attuale. Se è sotto 50%, hai lavoro da fare.