Zimbra è il client di posta elettronica web implementato presso il CHU di Reims per tutto il personale ospedaliero. Accedere a questa posta elettronica da una postazione situata al di fuori della rete interna dell’istituzione richiede di rispettare diverse esigenze tecniche e di sicurezza, soprattutto da quando la doppia autenticazione si sta diffondendo nelle strutture sanitarie pubbliche francesi.
Vulnerabilità recenti di Zimbra e conseguenze per un accesso remoto
Prima ancora di parlare di configurazione, un punto merita l’attenzione di ogni agente che si connette da casa: la superficie di attacco di Zimbra è stata attivamente sfruttata negli ultimi mesi. Sono stati pubblicati correttivi a novembre 2025 per le versioni 10.1.13 e 10.0.18, e poi è stata raccomandata un’aggiornamento alla versione 10.1.20 o superiore per correggere una vulnerabilità di esecuzione di codice da remoto legata al pacchetto zimbra-snmp.
La NSA ha anche segnalato una campagna di phishing sostenuta da un attore statale, mirata specificamente agli utenti di Zimbra da luglio 2025. Per un agente del CHU, questo significa che ogni connessione esterna non sicura rappresenta un rischio reale, non teorico.
Questi avvisi spiegano perché le strutture ospedaliere stanno inasprendo le loro condizioni di accesso remoto. Una guida che dettaglia l’accesso a Zimbra del CHU di Reims dall’esterno consente di verificare che la procedura seguita rimanga conforme alle raccomandazioni attuali.
Doppia autenticazione per la posta elettronica ospedaliera: cosa cambia
Numerose strutture pubbliche francesi, tra cui l’AP-HP e gli HCL, hanno reso obbligatorio un secondo fattore di autenticazione per ogni accesso alla posta elettronica dall’esterno della rete. Questa tendenza, confermata tra il 2025 e il 2026, supera il semplice abbinamento nome utente/password ancora descritto nella maggior parte dei tutorial disponibili online.
Il principio si basa su un codice temporaneo (OTP) generato da un’app di autenticazione installata sullo smartphone dell’agente. Dopo aver inserito il proprio nome utente e la propria password nella pagina di accesso a Zimbra, l’utente deve inserire questo codice monouso prima di accedere alla propria casella di posta.
La CNIL è esplicitamente citata come riferimento normativo per giustificare questa doppia autenticazione nel contesto del telelavoro ospedaliero. Un agente che tentasse di eludere questo meccanismo (utilizzando un vecchio link di connessione diretta, ad esempio) si troverebbe di fronte a un blocco sistematico.
Preparare il proprio smartphone per il secondo fattore
L’app di autenticazione deve essere installata e configurata prima del primo tentativo di connessione remota. Aspettare di essere a casa una domenica sera per scoprire questo passaggio garantisce una frustrazione inutile.
- Installare un’app compatibile (il servizio informatico del CHU specifica quale) su un telefono personale o professionale
- Scansionare il codice QR fornito durante l’iscrizione, generalmente effettuata in loco nel servizio informatico
- Verificare che l’orologio del telefono sia sincronizzato automaticamente, poiché un ritardo di pochi minuti invalida i codici OTP
- Conservare i codici di emergenza forniti durante l’attivazione, in un luogo distinto dal telefono stesso
Configurazione IMAP e ActiveSync su un dispositivo personale
Il webmail Zimbra accessibile tramite browser copre la maggior parte degli usi. Per coloro che preferiscono un client di posta elettronica nativo (Outlook, Thunderbird, l’app Mail di iOS), entrano in gioco due protocolli: IMAP e ActiveSync.
IMAP sincronizza le email tra il server e il client. ActiveSync va oltre sincronizzando anche il calendario, i contatti e le attività. La scelta dipende dal bisogno: un agente che consulta solo le proprie email può accontentarsi di IMAP. Chi gestisce il proprio programma di turni dal telefono ha interesse a configurare ActiveSync.
Parametri del server da inserire
Le credenziali di accesso sono le stesse del webmail. Il server di posta in arrivo corrisponde all’indirizzo del server Zimbra del CHU (comunicato dalla DSI). La porta IMAP sicura utilizza la crittografia SSL/TLS, e il server SMTP in uscita segue la stessa logica di crittografia.
Un errore comune consiste nell’inserire un server SMTP generico (quello del proprio fornitore di accesso a Internet) invece del server SMTP del CHU. L’email parte quindi senza firma istituzionale, o addirittura viene bloccata dai filtri anti-spam del destinatario.
Mettere in sicurezza un dispositivo personale utilizzato per la posta del CHU di Reims
Connettersi da un computer personale non è banale quando i messaggi in transito contengono dati sanitari. Le raccomandazioni nazionali convergono verso un inasprimento del dispositivo di connessione, non solo del collegamento di rete.
- Mantenere il sistema operativo e il browser aggiornati, poiché le vulnerabilità sfruttate nelle campagne di phishing mirate a Zimbra si basano spesso su browser obsoleti
- Non registrare mai la password Zimbra nel gestore del browser su un dispositivo condiviso
- Utilizzare una sessione dedicata sul computer di famiglia, protetta da una password distinta, per evitare che un altro utente del nucleo familiare acceda alla posta professionale
- Chiudere la sessione Zimbra dopo ogni utilizzo piuttosto che semplicemente chiudere la scheda, poiché il cookie di sessione può rimanere attivo
La pagina di accesso del CHU (mail.chu-reims.fr) visualizza un messaggio di autenticazione richiesta quando la sessione è scaduta. Questo comportamento è normale e non significa che l’account sia bloccato. È sufficiente riconnettersi inserendo nuovamente le proprie credenziali e il codice OTP.
La scelta tra la versione Modern e la versione Classic dell’interfaccia Zimbra, proposta al momento della connessione, non ha impatto sulla sicurezza. La versione Modern offre un’interfaccia adatta agli schermi tattili, mentre la versione Classic è più adatta agli utenti abituati a un client pesante come Outlook. Questa preferenza può essere modificata nelle impostazioni generali di Zimbra, nella sezione “Versione Zimbra”.
Accedere alla propria posta professionale al di fuori delle mura del CHU si basa infine su tre pilastri: un’autenticazione rinforzata correttamente configurata in anticipo, parametri del server conformi alle indicazioni della DSI e un dispositivo personale mantenuto in uno stato di sicurezza accettabile. Trascurare uno di questi elementi espone non solo l’agente, ma anche i dati dei pazienti che transitano in questi scambi.