Cos'è l'email spoofing? Definizione e come funziona

Ricevi un'email dalla tua banca che ti chiede di verificare urgentemente i dati del tuo conto. Il nome del mittente sembra corretto. L'indirizzo email ti sembra familiare. Clicchi sul link, inserisci la password e solo in seguito ti rendi conto che la pagina non era affatto il sito web della tua banca.

Tutto questo è possibile grazie all'email spoofing. È una delle tecniche più comuni alla base di attacchi di phishing, frodi e distribuzione di malware, e funziona perché le persone si fidano istintivamente delle email che sembrano provenire da fonti familiari. Ciò che rende l'email spoofing particolarmente pericoloso è che gli aggressori non hanno bisogno di hackerare l'account reale di nessuno. Manipolano i campi tecnici che controllano il modo in cui le informazioni del mittente vengono visualizzate nella posta in arrivo, facendo apparire un messaggio legittimo senza mai accedere al sistema reale che afferma di rappresentare.

Comprendere come funziona lo spoofing delle e-mail aiuta a individuare tempestivamente i segnali d'allarme e ad adottare misure pratiche per proteggere le e-mail personali e aziendali da eventuali attacchi.

Che cosa è l'email spoofing?

L'email spoofing è la falsificazione deliberata delle informazioni del mittente di un'email per far sembrare che un messaggio provenga da qualcuno o da un luogo in realtà non lo è. L'indirizzo "Da", il nome del mittente o il campo "Rispondi a" vengono manipolati per mostrare un'identità attendibile, come un collega, una banca, un'agenzia governativa o un marchio noto, mentre l'effettiva fonte del mittente è completamente diversa.

In che modo le email falsificate differiscono dalle email normali

Le informazioni tecniche di invio di un'email legittima e le informazioni visualizzate sul mittente corrispondono. Quando un tuo collega ti invia un'email, l'indirizzo visualizzato nella tua casella di posta corrisponde all'indirizzo che ha effettivamente trasmesso il messaggio tramite i server di posta.

In un'email falsificata, questi dati non corrispondono. Il nome o l'indirizzo visualizzato nel campo "Da" è fittizio, mentre la trasmissione effettiva avviene da un server diverso, spesso non correlato, controllato dall'aggressore. I destinatari vedono solo le informazioni visualizzate, non i dettagli tecnici di routing nascosti nelle intestazioni dell'email.

Perché gli aggressori falsificano le email

Lo spoofing ha diversi obiettivi a seconda dell'attacco:

• Furto di credenziali: Indirizzare i destinatari a pagine di accesso false che catturano nomi utente e password
• Frode finanziaria: Impersonare dirigenti o fornitori per autorizzare pagamenti fraudolenti
• Consegna malware: Indurre i destinatari ad aprire allegati o a cliccare su link che installano software dannoso
• Danni al marchio: Inviare spam o contenuti dannosi sotto l'identità di un'organizzazione legittima

I dati lo mostrano Il phishing rappresenta ancora oltre il 90% degli incidenti di ingegneria sociale segnalati e l'email spoofing è una tecnica fondamentale che consente la maggior parte di questi attacchi.

Come funziona lo spoofing della posta elettronica?

L'email spoofing sfrutta una debolezza del Simple Mail Transfer Protocol (SMTP), la tecnologia responsabile dell'invio delle email. Quando SMTP fu progettato per la prima volta, non includeva requisiti integrati per la verifica dell'identità del mittente.

Ogni email contiene intestazioni: campi di metadati tecnici che registrano dettagli di trasmissione come server di invio, timestamp e informazioni sul mittente. Le principali intestazioni prese di mira dagli aggressori sono:

• A partire da: L'indirizzo visualizzato dai destinatari nella loro casella di posta
• Rispondi a: Dove vengono indirizzate le risposte quando i destinatari rispondono
• Return-Path: Dove vanno le notifiche di rimbalzo (spesso rivelando il vero indirizzo di invio)

SMTP consente ai mittenti di impostare questi campi come preferiscono. Quando un client di posta elettronica visualizza un messaggio, mostra il valore del campo "Da", non i dettagli della trasmissione sottostante. Questa discrepanza tra ciò che gli utenti vedono e ciò che viene effettivamente trasmesso è la vulnerabilità sfruttata dallo spoofing.

Gli aggressori utilizzano server SMTP (propri, server compromessi o relay aperti) per inviare messaggi con intestazioni manipolate. Impostano il campo "Da" su un indirizzo attendibile (la tua banca, il tuo CEO, un fornitore noto), mentre il server mittente effettivo non ha alcuna relazione con quell'organizzazione. La maggior parte dei destinatari non guarda oltre il nome e l'indirizzo visualizzati, rendendo la contraffazione a livello di visualizzazione altamente efficace.

Il ruolo delle lacune di autenticazione

I protocolli di autenticazione correttamente configurati (SPF, DKIM, DMARC) sono progettati per rilevare lo spoofing verificando che i server di invio siano autorizzati a inviare per conto dei domini rivendicati. Tuttavia, Microsoft Research ha scoperto nel 2025 che le infrastrutture di posta elettronica condivise amplificano significativamente le vulnerabilità di spoofing e che le tecniche di contrabbando SMTP consentono agli aggressori di aggirare le protezioni SPF e DMARC in determinate configurazioni, evidenziando perché l'autenticazione da sola non è una soluzione completa.

Migliori percorso di ritorno e-mail Il campo spesso rivela il vero indirizzo di invio, ma la maggior parte dei destinatari e persino molti strumenti di sicurezza non lo esaminano con sufficiente attenzione durante la valutazione iniziale della consegna.

Tipi comuni di attacchi di spoofing via e-mail

Lo spoofing assume diverse forme e ciascuna sfrutta aspetti diversi del modo in cui le informazioni del mittente dell'e-mail vengono visualizzate ed elaborate.

Falsificazione del nome visualizzato

Lo spoofing del nome visualizzato modifica solo il nome del mittente visibile, utilizzando un indirizzo email completamente diverso, spesso palesemente non correlato. La posta in arrivo mostra "Sarah Chen, CEO", ma l'indirizzo di invio effettivo è simile a [email protected] o un dominio chiaramente non correlato.

Questa tecnica funziona perché molti client di posta elettronica mostrano in evidenza il nome del mittente, mentre l'indirizzo viene visualizzato in caratteri più piccoli o nascosto completamente sui dispositivi mobili. Gli aggressori fanno affidamento sul fatto che i destinatari si concentrino sul nome anziché esaminare l'indirizzo completo. Tra i bersagli più comuni figurano dirigenti, personale di supporto IT e istituti finanziari, i cui nomi sono noti e di cui i destinatari si fidano.

Spoofing del dominio

Lo spoofing di dominio utilizza domini falsi o simili per far apparire legittimi a prima vista gli indirizzi di invio. Invece di inviare da company.com, gli aggressori registrano company-inc.com, cornpany.com o c0mpany.com, spesso superando un'ispezione visiva superficiale.

Questo approccio è particolarmente dannoso per le aziende, perché gli aggressori possono impersonare intere organizzazioni, non solo singoli individui. I clienti che ricevono email da un dominio contraffatto potrebbero effettuare pagamenti, rivelare informazioni sull'account o scaricare malware, credendo di interagire con un'azienda legittima.

Controllo più record SPF e assicurandoti che l'autenticazione sia configurata correttamente impedisci che il tuo dominio venga utilizzato in questo modo contro i tuoi clienti e partner.

Spoofing diretto dell'indirizzo

Lo spoofing diretto dell'indirizzo falsifica il campo "Da" per visualizzare un indirizzo email reale e legittimo, non controllato dall'aggressore. Questa è tecnicamente la forma più convincente, perché i destinatari vedono un indirizzo reale e riconoscibile (non un sosia) nella loro casella di posta.

Ciò si basa sull'assenza di una rigida applicazione del DMARC sul dominio falsificato. Quando le organizzazioni non hanno configurato il DMARC per rifiutare o mettere in quarantena i messaggi non autenticati, gli aggressori possono utilizzare i loro indirizzi reali nel campo "Da" con ragionevole certezza che i messaggi raggiungeranno i destinatari. Lo spoofing diretto dell'indirizzo è comunemente utilizzato negli attacchi di compromissione della posta elettronica aziendale e di impersonificazione dirigenziale.

Segnali di un'e-mail falsificata

I messaggi falsificati sono concepiti per apparire legittimi, ma un'analisi più attenta rivela delle incongruenze.

Problemi con l'indirizzo del mittente:

• Il nome visualizzato e l'indirizzo email effettivo non corrispondono
• Il dominio contiene errori di ortografia sottili (paypa1.com, arnazon.com, company-support.com)
• L'indirizzo utilizza un provider gratuito (Gmail, Yahoo) per quella che dovrebbe essere una comunicazione aziendale
• L'indirizzo di risposta è diverso dall'indirizzo del mittente, reindirizzando le risposte agli account controllati dall'aggressore

Urgenza inaspettata e richieste insolite:

• Tattiche di pressione del tipo "Azione immediata richiesta" o "Rispondere prima della fine della giornata"
• Richieste di trasferimento di fondi, modifica dei dettagli di pagamento o condivisione di credenziali inaspettate
• Istruzioni per bypassare le normali procedure ("Non seguire il consueto processo di approvazione")
• Richieste di carte regalo, bonifici bancari su nuovi conti o informazioni riservate

Incongruenze linguistiche e di formattazione:

• Tono o stile di scrittura che non corrispondono alla normale comunicazione del presunto mittente
• Saluti generici ("Gentile Cliente", "Gentile Utente") al posto del tuo nome effettivo
• Errori grammaticali o ortografici non coerenti con un'organizzazione professionale
• Formattazione leggermente diversa dai messaggi legittimi ricevuti in precedenza

Rischi di collegamento e di attaccamento:

• Passa il mouse sui link prima di fare clic; il testo dell'URL visualizzato indica un dominio, l'URL di destinazione effettivo ne indica un altro
• Allegati inaspettati, in particolare file eseguibili o documenti di Office che richiedono l'attivazione di macro
• Link che indirizzano a pagine HTTP (non HTTPS) o domini con estensioni sospette

Pulizia della posta elettronica abitudini, tra cui fermarsi prima di rispondere a richieste urgenti e verificare tramite canali separati, riducono il rischio di cadere nella trappola di messaggi falsificati ben formulati.

Spoofing e-mail vs. phishing

Lo spoofing e il phishing tramite e-mail sono concetti strettamente correlati ma distinti, che spesso vengono confusi. Phishing è una strategia di attacco volta a indurre i destinatari a rivelare informazioni sensibili, cliccare su link dannosi o scaricare software dannoso. Il phishing è l'obiettivo, la truffa stessa.

Spoofing e-mail, d'altra parte, è una tecnica utilizzata per rendere gli attacchi di phishing più convincenti. Lo spoofing fa sembrare il messaggio proveniente da una fonte attendibile, aumentando la probabilità che i destinatari si fidino del contenuto di phishing e agiscano di conseguenza.

Non tutto il phishing utilizza lo spoofing: alcune email di phishing provengono da indirizzi reali controllati dagli aggressori. E non tutto lo spoofing è phishing: alcuni spoofing vengono utilizzati semplicemente per recapitare spam nascondendo il vero mittente. Ma la combinazione di spoofing e phishing è particolarmente efficace e rappresenta la maggior parte delle frodi basate su email.

Comprendere entrambi i concetti aiuta a chiarire perché le difese devono funzionare a due livelli: controlli tecnici che individuano i messaggi falsificati prima della consegna e consapevolezza dell'utente che individua i contenuti ingannevoli che riescono a passare.

Come proteggersi dallo spoofing delle email

Una protezione efficace richiede abitudini diverse a livello individuale e controlli tecnici più rigorosi a livello organizzativo.

Per Privati

Per rimanere al sicuro, spesso è necessario rallentare e verificare prima di rispondere a messaggi inaspettati. I passaggi seguenti riducono il rischio di reagire a un'email contraffatta.

• Verificare prima di agire: Qualsiasi richiesta inaspettata che riguardi credenziali, pagamenti o dati sensibili merita conferma tramite un canale separato. Chiama il presunto mittente utilizzando un numero che trovi autonomamente, non uno fornito nel messaggio.
• Controllare attentamente gli indirizzi dei mittenti: Non fare affidamento solo sul nome visualizzato. Fai clic o passa il mouse sopra il nome del mittente per visualizzare l'indirizzo email completo e verifica che il dominio corrisponda all'organizzazione che il messaggio afferma di rappresentare.
• Abilita l'autenticazione a più fattori (MFA): Anche se gli aggressori ottengono le credenziali tramite un tentativo di spoofing o phishing, MFA blocca l'accesso a meno che non abbiano anche il secondo fattore di verifica.
• Segnala messaggi sospetti: Utilizza la funzione "Segnala phishing" o "Segnala spam" del tuo client di posta elettronica. La segnalazione migliora il filtraggio della tua casella di posta e rafforza i sistemi di rilevamento per gli altri utenti.
• Mantieni aggiornato il software: Le patch di sicurezza nei client di posta elettronica e nei sistemi operativi eliminano le vulnerabilità sfruttate dagli aggressori, comprese quelle legate a contenuti dannosi trasmessi tramite e-mail contraffatte.

Per le aziende

Le organizzazioni devono combinare autenticazione, monitoraggio e consapevolezza dei dipendenti per ridurre sia i rischi tecnici che quelli umani.

• Configurare i protocolli di autenticazione e-mail: Impostare SPF, DKIM e DMARC record per tutti i domini di invio, inclusi sottodomini e servizi di terze parti. Una policy di applicazione DMARC, come p=reject o p=quarantine, impedisce ai messaggi non autenticati che dichiarano di provenire dal tuo dominio di raggiungere i destinatari. La configurazione errata rimane una delle principali ragioni per cui lo spoofing continua ad avere successo.
• Monitora l'abuso del dominio: Controlla se il tuo dominio viene utilizzato in campagne di spoofing tramite i report DMARC, che mostrano tutte le email che dichiarano di provenire dal tuo dominio, inclusi i tentativi non autorizzati.
• Formare regolarmente i dipendenti: Le sessioni di sensibilizzazione sulla sicurezza dovrebbero includere scenari specifici di spoofing. I dipendenti devono riconoscere lo spoofing del nome visualizzato, i domini simili, le richieste di pagamento insolite e i tentativi di aggiramento dei processi.
• Convalidare e gestire gli elenchi di posta elettronica: Le organizzazioni con dati email puliti e convalidati presentano una minore superficie di attacco per la ricognizione. Gli aggressori raccolgono informazioni di contatto da database compromessi o mal gestiti per creare campagne di spoofing mirate e convincenti. Intelligenza artificiale per l'email marketing e il mantenimento di elenchi verificati riduce i dati disponibili per la ricerca degli aggressori.
• Implementare controlli tecnici aggiuntivi: Le funzionalità anti-spoofing nelle piattaforme di sicurezza della posta elettronica, i servizi di monitoraggio della protezione del marchio e gli strumenti di reporting DMARC forniscono visibilità sui tentativi di spoofing contro il tuo dominio prima che raggiungano clienti e partner.

Avvolgere Up

L'email spoofing falsifica le informazioni del mittente per far apparire attendibili i messaggi dannosi, sfruttando il divario fondamentale tra ciò che l'email mostra e ciò che tecnicamente accade sotto la superficie. Gli aggressori utilizzano lo spoofing del nome visualizzato, domini simili e la contraffazione diretta dell'indirizzo per indurre i destinatari a rivelare credenziali, approvare pagamenti o scaricare malware.

Nessuna misura elimina completamente lo spoofing, ma le organizzazioni e gli individui che combinano controlli tecnici con procedure di consapevolezza e verifica riducono significativamente il rischio di attacchi di spoofing riusciti.

Verifica se il dominio della tua organizzazione ha configurato DMARC e a quale livello di applicazione. Se DMARC non è attivo o è impostato su p=none (solo monitoraggio), passare a p=quarantine o p=reject è la misura più efficace per impedire agli aggressori di impersonare il tuo dominio in attacchi di spoofing mirati a clienti e partner.

Mantenere elenchi di posta elettronica puliti e convalidati fa parte di una sicurezza email responsabile. DeBounce rimuove gli indirizzi non validi, eliminabili e rischiosi dal database dei contatti, garantendo che l'infrastruttura di posta elettronica rimanga efficiente, la reputazione del mittente rimanga solida e i dati della tua organizzazione non diventino materia prima per gli aggressori che progettano la prossima campagna di spoofing.

Inizia a verificare le tue liste oggi stesso per ridurre sia la recapitabilità che i rischi per la sicurezza di tutte le tue comunicazioni e-mail.