Spoofing delle email

Lo spoofing delle email è la falsificazione dell’indirizzo del mittente di un’email in modo che un messaggio sembri provenire da qualcuno che non l’ha inviato. Poiché il classico protocollo SMTP non ha mai verificato chi fosse autorizzato a usare un dominio nella riga From, un aggressore può inserire il tuo dominio in un’email che invia dal proprio server — e, senza i giusti record DNS configurati, i server riceventi non hanno modo affidabile di individuarlo. Lo spoofing è il motore alla base della maggior parte del phishing, delle compromissioni della posta aziendale (BEC) e delle frodi con fatture, e la difesa è sempre lo stesso trio di record DNS su cui è costruito questo sito: SPF, DKIM e DMARC.

Come funziona lo spoofing delle email

Ogni email in realtà trasporta due identità del mittente. C’è il mittente della busta (l’indirizzo MAIL FROM usato durante la conversazione SMTP) e il From dell’intestazione (l’indirizzo leggibile che il tuo client di posta mostra). Gli aggressori sfruttano il divario tra i due:

1. L’aggressore si connette a un server di posta e avvia una normale sessione SMTP.
2. Nelle intestazioni del messaggio semplicemente scrivono il tuo dominio nel campo From — nulla impedisce loro di digitare billing@yourcompany.com.
3. Il server ricevente recapita il messaggio. A meno che il tuo dominio non pubblichi record di autenticazione, il destinatario vede un mittente dall’aspetto affidabile e nessun avviso.

In un attacco di spoofing non viene “violato” nulla — nessuna password viene rubata e nessun server viene compromesso. L’aggressore sta abusando del fatto che, per impostazione predefinita, un dominio non dichiara quali server sono autorizzati a inviare per suo conto. Quella dichiarazione è esattamente ciò che forniscono SPF, DKIM e DMARC.

I principali tipi di spoofing delle email

Lo spoofing si presenta in diverse forme distinte, ciascuna con il proprio segnale rivelatore e la propria soluzione:

• Spoofing del dominio — l’aggressore falsifica il tuo esatto dominio nell’indirizzo From. È ciò che SPF, DKIM e DMARC prevengono direttamente.
• Spoofing del nome visualizzato — il nome visibile riporta “Il tuo CEO” mentre l’indirizzo reale dietro di esso è un account di webmail gratuito. DMARC non può bloccarlo da solo, perché il dominio mittente è realmente quello dell’aggressore.
• Domini simili / cugini — i messaggi provengono da yourcompany-support.com o yourcompanny.com, domini che l’aggressore possiede davvero e può autenticare. Per sconfiggerli servono monitoraggio e consapevolezza degli utenti, non solo SPF.
• Spoofing di risposta / catena di risposte — gli aggressori riutilizzano un thread reale, inviato in precedenza, per far sembrare legittima una risposta falsificata.

Sapere quale tipo stai affrontando ti dice se i record di autenticazione lo fermeranno del tutto o se hai bisogno anche di strumenti di protezione e monitoraggio.

Come SPF, DKIM e DMARC fermano lo spoofing

I tre record funzionano come un controllo a più livelli su ogni messaggio in arrivo:

• SPF pubblica l’elenco degli indirizzi IP autorizzati a inviare posta per il tuo dominio. Un ricevente verifica se il server mittente è in quell’elenco. Crea e verifica il tuo con lo SPF Checker.
• DKIM aggiunge una firma crittografica che dimostra che il messaggio non è stato alterato ed è davvero arrivato dal tuo dominio.
• DMARC lega SPF e DKIM all’indirizzo From visibile (allineamento) e indica ai riceventi cosa fare quando un messaggio fallisce — none, quarantine o reject.

Pubblicati insieme con una policy SPF -all e una policy DMARC p=reject, rendono praticamente impossibile per un aggressore inviare posta con spoofing del dominio che arrivi in una casella di posta. Questo è il problema che risolve AutoSPF: mantiene il tuo record SPF appiattito e sotto il limite automaticamente, così l’autenticazione che ferma lo spoofing rimane sana man mano che il tuo stack di invio cambia. Abbinalo a DKIM e a una policy DMARC p=reject e lo spoofing del dominio semplicemente smette di funzionare.

Nuovo ai record sottostanti? Inizia con come creare un record SPF e con il riferimento sulla sintassi dei record SPF, e assicurati che il tuo rimanga sotto il limite di 10 lookup.

Domande frequenti

Cos’è lo spoofing delle email?

Lo spoofing delle email è la falsificazione dell’indirizzo del mittente di un’email in modo che sembri provenire da una persona o da un dominio che in realtà non l’ha inviata. Si basa sul fatto che l’SMTP di base non verifica l’indirizzo From, ed è la tecnica principale alla base del phishing e della compromissione della posta aziendale. SPF, DKIM e DMARC sono i record DNS che consentono ai riceventi di rilevarlo e rifiutarlo.

SPF ferma lo spoofing delle email?

SPF impedisce agli aggressori di falsificare il tuo esatto dominio indicando ai riceventi quali server possono inviare per esso — ma solo quando è abbinato a DKIM e a una policy DMARC impostata su quarantine o reject, e solo finché il record SPF rimane valido sotto il limite di 10 lookup. SPF da solo, o un record SPF corrotto, lascia lacune che gli autori di spoofing sfruttano.

Lo spoofing delle email può essere completamente prevenuto?

Lo spoofing del dominio — la falsificazione del tuo esatto dominio — può essere efficacemente eliminato con SPF, DKIM e una policy DMARC p=reject. Lo spoofing del nome visualizzato e dei domini simili non può essere bloccato dai soli record DNS (l’aggressore non sta usando il tuo dominio), quindi questi richiedono anche consapevolezza dei destinatari e monitoraggio.

Lo spoofing delle email è la stessa cosa del phishing?

No. Lo spoofing è una tecnica — la falsificazione dell’indirizzo del mittente — mentre il phishing è l’obiettivo: ingannare qualcuno affinché riveli informazioni o denaro. La maggior parte del phishing usa lo spoofing, ma non tutto. Vedi email spoofing vs phishing per la distinzione completa.

Come faccio a sapere se il mio dominio è oggetto di spoofing?

I segnali includono messaggi di mancato recapito per email che non hai mai inviato (backscatter), destinatari che segnalano posta sospetta dal tuo dominio e — nel modo più affidabile — i report aggregati DMARC che mostrano posta che fallisce l’autenticazione da IP che non riconosci. La pubblicazione di DMARC (anche a p=none) attiva quel reporting.