NarwhalRAT: Quando la Finta Notifica Microsoft

Executive Summary

Il gruppo nordcoreano APT37 (anche noto come ScarCruft) ha lanciato una campagna mirata di spear-phishing contro aziende europee, Italia inclusa. Il vettore? Email che simulano avvisi di sicurezza Microsoft. L'obiettivo? Installare NarwhalRAT, un trojan che consente agli hacker di esfiltrare dati, intercettare comunicazioni e muoversi lateralmente nella rete aziendale.

So what? Per una PMI italiana con 50 dipendenti, un attacco riuscito di questo tipo comporta costi diretti (ransom, recovery, consulenza forense) e indiretti (blocco operazioni, perdita clienti, danni reputazionali) che superano facilmente i 250.000 euro. La protezione? Costa circa 75-100 euro al mese per l'intera azienda. Il ritorno sull'investimento è superiore a 1:500.

---

Il Quadro: Numeri che Contano

Partiamo da una verità scomoda: il 90% degli attacchi informatici alle PMI italiane inizia da un'email. Non da un exploit sofisticato, non da un virus che si infiltra dalla rete. Da una mail che sembra legit.

Il gruppo APT37 non è un dilettante. È un attore statale nordcoreano che opera dal 2012, specializzato in spionaggio industriale e cybercriminalità finanziaria. Quando decide di colpire un settore, lo fa con risorse che una PMI non può permettersi di affrontare da sola.

I numeri del fenomeno:

• 67% delle PMI italiane ha ricevuto almeno un tentativo di phishing mirato negli ultimi 12 mesi (dato Clusit 2025)
• Tempo medio di rilevamento: 197 giorni per un attacco mirato (il ransomware tradizionale viene rilevato in 5-15 giorni)
• Costo medio di un data breach per PMI italiana: 180.000-350.000 euro (rapporto Ponemon)
• Settori più colpiti: manifatturiero, logistica, servizi finanziari — esattamente il tessuto imprenditoriale italiano

Confronta questi numeri con rischi che il CEO conosce bene:

La differenza? L'incendio è visibile, immediato, assicurabile. L'attacco email è silenzioso. Quando ti accorgi del problema, i dati sono già fuori.

---

Scenario A vs Scenario B

Scenario A: SENZA protezione email dedicata

Immaginiamo la tua azienda. Fifty dipendenti, un IT che gestisce tutto tra un caffè e l'altro, il filtro antispam di Microsoft 365 (quello base, incluso nella licenza).

Cosa succede:

1. Un dipendente riceve un'email che sembra proprio quella di Microsoft: "Rilevata attività sospetta sul tuo account. Fai clic qui per verificare."
2. Il filtro Microsoft non la blocca perché è una mail nuova, ben scritta, senza link sospetti visibili (il redirect avviene dopo il click)
3. Il dipendente inserisce le credenziali Microsoft
4. Gli hacker hanno ora accesso alla posta, ai file condivisi, potenzialmente a Teams e SharePoint
5. Nel giro di 48-72 ore, NarwhalRAT è installato e inizia a esfiltrare dati
6. Tre mesi dopo, un cliente ti chiama chiedendo perché i suoi preventivi sono finiti su un forum di hacker

Il costo:

Scenario B: CON protezione email dedicata

Stessa azienda, ma con un antispam di livello business che usa intelligenza semantica, sandboxing degli allegati e analisi URL real-time.

Cosa succede:

1. L'email arriva. L'antispam analizza il contenuto, confronta il tono con le comunicazioni Microsoft reali, nota che il dominio è "microsft-support.com" (con la t)
2. L'email viene bloccata PRIMA di raggiungere la inbox del dipendente
3. Il dipendente non vede mai la minaccia
4. Il sistema genera un alert per l'IT
5. Nessun dato compromesso, nessuna interruzione operativa

Il costo:

Il risparmio: 215.000-365.000 euro.

---

Il Costo del Non Fare Nulla

Facciamo due conti. Hai 50 dipendenti. Il tuo antispam attuale è quello gratuito di Microsoft o un vecchio filtro che non aggiorni da due anni.

Costi diretti di un attacco riuscito:

• Risanamento tecnico: servono tecnici specializzati che rimuovano il malware, reinstallino i sistemi, verifichino che non ci siano backdoor. Minimo 3-5 giorni di lavoro, 1.500-2.000 €/giorno
• Consulenza legale: se sono stati compromessi dati di clienti (GDPR), servono avvocati specializzati in privacy. Da 10.000 € in su
• Notifica al Garante: obbligatoria entro 72 ore dal data breach, con costi amministrativi e potenziali sanzioni

Costi indiretti:

• Downtime operativo: il tuo ERP non funziona, non puoi evadere ordini, non puoi fatturare. Per 10 giorni di blocco, stimiamo 30.000-50.000 € di fatturato perso
• Perdita di clienti: un cliente che subisce un ritardo di due settimane大概率 cerca un fornitore alternativo
• Danno reputazionale: il passaparola nel tuo settore è veloce. "Hanno avuto un breach" si sparge in fretta

Il rapporto costo-protezione:

Protezione antispam professionale: 75-150 €/mese per 50 dipendenti = 900-1.800 €/anno

Costo medio attacco riuscito: 250.000 €

Ritorno sull'investimento: 1:140 — 1:270

Per ogni euro speso in protezione, eviti 140-270 euro di danno potenziale. Qualsiasi CFO ti direbbe che è un investimento irrinunciabile.

---

Piano d'Azione in 3 Mosse

Non servono rivoluzioni. Servono tre mosse concrete, eseguibili in 30 giorni.

Mossa 1: Valutazione (Settimana 1)

Chiedi al tuo IT di fare un audit delle email degli ultimi 6 mesi. Quante email sospette sono state bloccate? Quante sono passate? C'è un log?

Se non hai risposte chiare, il tuo attuale sistema non sta funzionando come dovrebbe.

Budget: 0 € (è un check interno)

Mossa 2: Implementazione (Settimane 2-3)

Attiva un antispam cloud di livello business. Il mercato offre soluzioni a partire da 0,99 €/casella/mese per volumi aziendali. Per 50 dipendenti, parliamo di circa 60 €/mese.

Verifica che il sistema includa:

• Analisi semantica AI (capisce il contesto, non solo le parole sospette)
• Sandbox per allegati (apre i file in un ambiente isolato prima di recapitarli)
• Analisi URL in tempo reale (se il link cambia dopo il click, lo blocca comunque)

Budget: 500-1.000 € una tantum per setup + 60-100 €/mese

Mossa 3: Formazione e test (Settimana 4)

Fai un test di phishing simulato. Invia ai dipendenti un'email fasulla (esistono tool dedicati) e vedi chi clicca. Chi clicca deve fare un mini-corso di 15 minuti.

Ripeti il test ogni 6 mesi. Il tasso di click scende tipicamente dal 30% al 5% dopo 2-3 cicli.

Budget: 500-1.000 € una tantum per il tool di simulazione

---

Bottom Line

Un attacco come quello di APT37 non è questione di "se", ma di "quando". La differenza tra perdere 250.000 euro e non perdere nulla è una protezione email che costa meno di un caffè al mese per dipendente.

Il tuo IT ti dirà che Microsoft 365 basta. I numeri dicono il contrario.

Proteggi la tua azienda. Ora.

---

Per una valutazione gratuita della tua protezione email, dai unocchiata alle soluzioni disponibili su MailSniper a partire da €0,99/casella/mese.