Un cliente ti segnala una richiesta di pagamento che sembra arrivare dalla tua azienda, ma nessuno l’ha inviata.
Il nome visualizzato può essere stato copiato, il dominio imitato oppure la casella realmente compromessa. Distinguere queste situazioni permette di proteggere i contatti e intervenire nel punto giusto, senza attribuire tutto a una password rubata o affidarsi soltanto a un filtro antispam.
Indice della guida
Distingui nome copiato, dominio falsificato e account violato
Il nome che appare nella casella del cliente è un primo indizio, non una prova dell’origine. Un messaggio può chiamarsi “Amministrazione Aurora” e provenire da un indirizzo estraneo. Un altro può usare un dominio molto simile a quello aziendale. In altri casi l’indirizzo visibile è quello corretto, ma il messaggio è partito da un sistema non autorizzato: è una forma di spoofing.
Una casella violata è un caso diverso: qualcuno ha ottenuto un accesso o un’autorizzazione che permette di inviare messaggi o leggere conversazioni reali. La documentazione Microsoft sull’autenticazione email spiega perché il mittente visibile, da solo, non è sufficiente a verificare l’origine.
Immagina tre segnalazioni: stesso nome aziendale con indirizzo sconosciuto; indirizzo del dominio corretto con controlli di autenticazione falliti; conversazione reale continuata da un accesso non riconosciuto. Non hanno necessariamente la stessa causa. Chiedi una verifica tecnica prima di dichiarare al cliente che la casella è stata rubata o, al contrario, che è certamente integra.
Conserva il messaggio originale e le intestazioni
Chiedi a chi ha ricevuto l’email di conservare il messaggio, senza aprire allegati o usare i collegamenti sospetti. Uno screenshot mostra il testo, ma spesso nasconde il percorso di consegna e i risultati dei controlli automatici. Se deve essere esaminato dal tecnico, usa l’esportazione del messaggio originale o l’inoltro come allegato disponibile nel programma di posta.
In Gmail da computer apri il menu con i tre punti accanto a Rispondi e scegli “Mostra originale”, come descritto nella guida alle intestazioni complete. Altri programmi usano comandi come visualizzazione dell’origine o delle intestazioni Internet. Conserva il file in un luogo aziendale accessibile soltanto alle persone che gestiscono il caso.
- Annota destinatario, oggetto e momento di ricezione.
- Conserva l’indirizzo effettivo del mittente e quello previsto per le risposte.
- Registra eventuali richieste di denaro, accessi o cambio delle coordinate di pagamento.
- Fai esaminare l’originale al fornitore, evitando di pubblicarlo integralmente in forum o strumenti aperti.
Controlla accessi, invii e autorizzazioni della casella
Accedi alla posta da un indirizzo già conosciuto, non dal link dell’email. Controlla attività di sicurezza, dispositivi e sessioni disponibili; chiedi all’amministratore i registri pertinenti. Verifica inoltre inoltri, filtri, deleghe, applicazioni collegate e metodi di recupero. L’assenza del messaggio nella Posta inviata, da sola, non esclude un abuso.
Se trovi segnali di compromissione, segui la procedura del tuo fornitore. Per gli Account Google, la guida al recupero di un account compromesso indica i controlli su accessi e impostazioni. Cambia la password da un dispositivo affidabile, rimuovi accessi non autorizzati, revoca le sessioni sospette con l’amministratore e attiva o rafforza l’autenticazione a più fattori.
Ricostruisci quali servizi dipendono dalla casella: sito, dominio, gestionale e profili aziendali. Se lo stesso account gestisce anche Maps, verifica i permessi seguendo la guida all’Account Google compromesso e alla scheda dell’attività. Cambiare solo la password senza controllare deleghe e applicazioni può lasciare aperto un accesso alternativo.
Fai leggere i risultati di autenticazione del messaggio
Nelle intestazioni il tecnico può individuare il campo Authentication-Results aggiunto dal sistema ricevente e confrontare i risultati SPF, DKIM e DMARC. È necessario riconoscere le intestazioni prodotte da sistemi attendibili: non basta cercare la parola “pass” in qualunque riga dell’originale.
SPF controlla se il server di invio è autorizzato per il dominio usato nella trasmissione. DKIM verifica una firma associata a un dominio. DMARC collega il dominio del mittente visibile a un risultato SPF o DKIM valido e allineato. Un servizio esterno può autenticarsi con il proprio dominio senza essere allineato a quello che il cliente vede nel campo Da.
Un risultato negativo può riguardare anche un invio legittimo configurato male o modificato durante un inoltro. Un risultato positivo non dimostra che una richiesta di pagamento sia sicura: un account autorizzato può essere compromesso e un dominio imitativo può autenticare correttamente la propria posta. Serve il confronto con accessi, flussi autorizzati e contenuto della comunicazione.
Elenca tutti i servizi che inviano con il tuo dominio
Prima di cambiare il DNS prepara un inventario con chi gestisce posta e sito. La normale casella aziendale potrebbe essere soltanto uno dei mittenti: anche ecommerce, newsletter, CRM, fatturazione e moduli contatto possono inviare messaggi a nome dell’azienda.
Per ciascun servizio annota responsabile, indirizzo Da, tipo di messaggi, sistema di invio e modalità di autenticazione prevista dal fornitore. Un esempio di elenco comprende “preventivi dalla casella commerciale”, “conferme ordine dal negozio”, “promemoria dal gestionale”. Invia da ciascuno un messaggio di prova a una casella controllata e conserva il risultato.
Questa ricognizione permette di distinguere un servizio dimenticato da un mittente abusivo. È particolarmente utile dopo una migrazione della posta o un cambio del sito. Se le email autentiche finiscono già nello spam, affronta anche la consegnabilità della posta aziendale: protezione del dominio e recapito dei messaggi vanno collaudati insieme.
Verifica SPF e DKIM con i fornitori effettivi
Fai controllare i record DNS pubblicati per il dominio e la configurazione del sistema che invia. Per SPF occorre includere i mittenti effettivamente autorizzati senza creare record SPF multipli per lo stesso nome DNS. La configurazione deve rispettare anche i limiti di interrogazione previsti dal protocollo.
Per DKIM segui le istruzioni del servizio: la pubblicazione del record da sola potrebbe non attivare la firma. Verifica un messaggio inviato realmente e il dominio con cui viene firmato. Se usi più piattaforme, ciascuna può richiedere una configurazione dedicata; non sostituire una chiave attiva soltanto perché un altro fornitore richiede un nuovo record.
La documentazione Microsoft sui problemi di autenticazione aiuta a interpretare errori, record multipli e disallineamenti. Evita valori copiati da guide generiche: un record corretto per un’altra azienda può escludere i tuoi invii o autorizzare un servizio che non utilizzi.
Introduci una politica DMARC dopo avere verificato gli invii
DMARC consente di pubblicare nel DNS una politica per i messaggi che non superano i controlli richiesti e di richiedere report ai destinatari che li supportano. La guida Microsoft alla configurazione DMARC distingue monitoraggio, quarantena e rifiuto.
p=none: non richiede quarantena o rifiuto in base alla politica DMARC; è utile per osservare i risultati.p=quarantine: chiede al ricevente di trattare come sospetti i messaggi non conformi.p=reject: chiede al ricevente di rifiutare i messaggi non conformi.
La gestione concreta dipende anche dal sistema destinatario. Prima di rafforzare la politica, confronta i report con l’inventario e correggi gli invii legittimi non allineati. In un negozio, per esempio, le email del personale potrebbero funzionare mentre le conferme d’ordine del sito falliscono. Passare al rifiuto senza questo controllo può interrompere comunicazioni utili.
Concorda con il tecnico chi riceve e interpreta i report, come controllare i sottodomini e come gestire un eventuale problema. DMARC sul tuo dominio non impedisce a un’altra persona di registrare un dominio simile o copiare il nome visualizzato dell’azienda.
Proteggi i clienti con istruzioni concrete e verificabili
Se un cliente ha ricevuto un messaggio falso, contattalo tramite un recapito già presente nei tuoi archivi. Spiega quale comunicazione state verificando e chiedi di non utilizzare i riferimenti contenuti in quell’email. Evita formule assolute come “nessun dato è stato esposto” finché gli accertamenti non lo permettono.
Prepara una regola semplice per il personale: una variazione delle coordinate di pagamento o una richiesta insolita va confermata con un secondo canale noto. La conferma deve partire da un contatto già verificato, non dal nuovo numero indicato nello stesso messaggio. Questa prassi è utile anche quando l’email supera i controlli tecnici.
Conserva una cronologia essenziale di segnalazioni, controlli e comunicazioni. Se sono coinvolti pagamenti o informazioni riservate, coinvolgi subito i responsabili competenti e il fornitore della posta per la gestione del caso. La segnalazione come phishing aiuta il sistema destinatario, ma non sostituisce il controllo degli account e del dominio.
Collauda la posta e mantieni aggiornato l’inventario
Dopo gli interventi, ripeti gli invii dai servizi censiti: casella commerciale, sito, newsletter e gestionale. Controlla consegna, indirizzo visibile, risposta e risultati di autenticazione presso destinatari di prova diversi. Non considerare conclusa la verifica solo perché una singola email è arrivata.
Registra quale servizio è stato provato e quale problema è stato corretto. Se un nuovo strumento deve inviare con il dominio aziendale, includi la configurazione della posta nella sua attivazione. Quando dismetti un servizio, verifica con il tecnico quali autorizzazioni e record siano ancora necessari prima di rimuoverli.
Monitora le segnalazioni dei clienti e i report disponibili. Una protezione utile combina autenticazione del dominio, accessi controllati e procedure interne. Nessuna di queste misure elimina da sola tutte le email ingannevoli; insieme rendono più semplice riconoscerle e limitarne gli effetti.
Domande frequenti
Se un cliente riceve un’email con il mio nome, la casella è stata violata?
Non necessariamente. Possono essere stati copiati il nome visualizzato o il dominio del mittente, oppure usato un dominio simile. Servono messaggio originale, intestazioni e controlli su accessi e invii per distinguere questi casi da una compromissione.
Cambiare la password basta a fermare lo spoofing?
No. La password protegge l’accesso alla casella, mentre la falsificazione del mittente può avvenire senza entrarvi. Se sospetti una compromissione controlla anche sessioni, deleghe e applicazioni; per il dominio verifica SPF, DKIM e DMARC.
Un risultato DMARC positivo rende sicuro il messaggio?
No. Indica che il dominio ha superato il controllo previsto, non che il contenuto sia affidabile. Una casella autorizzata può essere compromessa e un dominio imitativo può autenticare i propri messaggi.
Posso impostare subito DMARC su reject?
Prima censisci tutti i servizi che inviano con il dominio e verifica che la posta legittima sia autenticata e allineata. Una politica restrittiva applicata senza controlli può far rifiutare anche conferme ordine, preventivi o altri messaggi reali.
SPF, DKIM e DMARC impediscono ogni email falsa a nome dell’azienda?
No. Aiutano a proteggere il dominio e a valutare l’origine dei messaggi, ma non impediscono ogni imitazione del nome, uso di domini simili o abuso di account autorizzati. Servono anche controlli sugli accessi e procedure interne.