Segnali di rischio PMI: un motivo per chiamare

Il commerciale che ha in mano la base PMI non ha un problema di prodotto. Ha un problema di apertura: non sa perché dovrebbe chiamare proprio quel cliente, proprio oggi. Senza un motivo la telefonata diventa un giro di cortesia sul contratto in scadenza, e la sicurezza non entra mai nella conversazione.

La superficie esposta di una PMI risolve esattamente quel problema, a patto di leggerla per quello che è. Non è una perizia. È l'elenco delle cose che chiunque, da internet, vede già di quell'azienda senza chiedere il permesso a nessuno: un indirizzo che risponde, un certificato, un dominio che manda email, l'indirizzo di un dipendente finito in un archivio pubblico. Il vantaggio sta tutto nel fatto che la leggi tu, prima che la legga qualcun altro.

Cosa si vede da fuori

Una porta aperta è semplicemente un servizio che risponde a chi bussa. La 445 è SMB, la condivisione di file e stampanti di Windows, nata per la rete interna dell'ufficio e non per affacciarsi su internet; quando la trovi esposta, dietro non c'è quasi mai una scelta, c'è una regola sul firewall scritta anni fa da qualcuno che in quell'azienda non lavora più. La 3389 è il desktop remoto, aperto "per due settimane" durante un trasloco o un periodo di lavoro da casa e mai più richiuso. Sono fra le porte più battute dalle scansioni automatiche che girano in continuazione su tutta la rete, e non serve che qualcuno ce l'abbia con la tua PMI: i bot passano da tutti, in ordine di indirizzo.

Poi c'è il software che risponde e dichiara la propria versione. Un server web, un CMS, un pannello di amministrazione rimasti indietro di qualche anno: le vulnerabilità di quelle versioni sono pubblicate, documentate e alla portata di chiunque sappia leggere. Il cliente non se ne accorge perché il sito funziona. Funzionare ed essere aggiornato sono due cose diverse, ed è una frase che un commerciale può dire senza sapere niente di sicurezza.

I certificati TLS raccontano la stessa storia in modo più visibile. Scaduto, emesso per un altro nome, oppure firmato da nessuno se non da se stesso: il browser mostra l'avviso rosso e il visitatore si ferma lì. Se capita sul portale dove i clienti di quella PMI caricano i documenti, il problema è commerciale prima ancora che tecnico.

L'email dice molto più di quanto sembri

SPF dichiara quali server possono spedire per conto di un dominio. DKIM firma i messaggi in uscita, così chi li riceve può verificare che nessuno li abbia toccati per strada. DMARC è la regola che dice al destinatario cosa farsene di un messaggio che non supera quei controlli, e fa arrivare i rapporti su chi ci ha provato. Se mancano, scrivere ai fornitori di quella PMI fingendosi quella PMI costa a un truffatore cinque minuti: stesso dominio nel mittente, una fattura allegata, un IBAN diverso. Il dettaglio che vale la chiamata capita spesso di trovarlo: DMARC pubblicato, ma impostato nella modalità di sola osservazione, quella che chiede i rapporti e non blocca niente. Sulla carta c'è. In pratica no.

Le credenziali che sono già uscite di casa

Un archivio pubblico di credenziali è il risultato di un furto avvenuto da un'altra parte: un negozio online, un gestionale, un forum dove il responsabile acquisti si era registrato con l'indirizzo di lavoro. Il sito violato non è il problema del tuo cliente. Il problema è la password riusata sulla posta aziendale o sulla VPN, perché era comoda. Quando trovi l'indirizzo di un dipendente in un archivio del genere hai in mano un fatto che nessuna slide generica può reggere.

C'è infine la parte che nessuna scansione vedrà mai: se i backup vengono davvero provati o soltanto fatti, e chi ha ancora le credenziali di amministratore mesi dopo essere andato via. Per quella parte servono i questionari, e anche un questionario mai compilato è un segnale, perché vuol dire che quelle domande a quel cliente non gliele ha ancora fatte nessuno.

Un segnale non è un report

Qui si gioca la differenza. Un report elenca i rilievi, li ordina per gravità e finisce in mano al cliente, che lo gira al suo informatico e ti risponde quando quello ha tempo, se ti risponde. Un segnale è una cosa sola: un fatto, con una data, e la conseguenza di quel fatto detta con le parole che userebbe il titolare. Il report viene dopo, con il tuo brand sopra, quando la conversazione è già aperta.

Immagina il brief che il tuo commerciale apre il lunedì mattina. Non legge vulnerabilità, legge motivi per chiamare:

• porta 3389 raggiungibile dall'esterno, vista il 2 settembre: il desktop remoto di quel cliente è aperto al mondo e probabilmente nessuno lì dentro se lo ricorda
• nessun DMARC sul dominio principale, verificato il 4 settembre: chiunque può scrivere ai loro clienti usando il loro nome
• due indirizzi aziendali comparsi in un archivio di credenziali pubblicato ad agosto
• questionario di sicurezza inviato a giugno e mai aperto, mentre il loro cliente più grosso ha appena iniziato a girare il questionario fornitori

Ognuna di queste righe apre una telefonata con "ti chiamo per una cosa precisa" invece che con "passavo a sentire come va".

La data fa metà del lavoro

Una data trasforma un'opinione in un fatto verificabile. Cambia anche la domanda che ti fa il cliente: non più "secondo chi?", ma "da quando?". E ti protegge, perché non stai dicendo che quell'azienda è insicura per sempre, stai dicendo cos'era vero il 2 settembre; se nel frattempo hanno chiuso la porta, meglio così, e la chiamata è comunque servita a scoprirlo.

La data serve anche dopo. Una postura senza data invecchia in silenzio e ti fa arrivare in riunione con una fotografia di sei mesi prima. Con la data sopra, il quadro si marca da solo come vecchio quando l'account cambia, e il lead generation co-worker lo riaggiorna senza che nessuno debba ricordarsi di rifare il giro.

Dove si rompe, di solito

Il segnale da solo non basta, e chi ha venduto sa perché. Il commerciale apre bene, il cliente risponde "ci pensa il nostro sistemista" oppure "quella porta ci serve", e a quel punto arriva la frase che spegne il deal: "ti faccio richiamare dal tecnico". Il tecnico è uno, ha la coda piena, e la proposta parte due settimane dopo, quando l'urgenza è evaporata.

Per questo i segnali e le risposte viaggiano insieme. Il lead generation co-worker dice chi chiamare e perché; il sales co-worker prepara il brief in quattro fasi (Prepare, Discovery, Objections, Close) con le obiezioni che quel cliente farà, le risposte costruite sui suoi dati e la chiusura su un servizio del tuo catalogo, al tuo prezzo, con il tuo brand. Dove il dato non c'è, il co-worker lo dice invece di inventarselo, ed è l'unica ragione per cui un commerciale può leggere quelle righe ad alta voce senza rischiare la faccia.

Una porta aperta non vende niente. Una porta aperta, con la data in cui l'hai vista e la frase giusta da dire subito dopo, è il motivo per cui quel cliente ti risponde al telefono.