SPF
Verifica che il server che ha inviato il messaggio sia fra quelli autorizzati a spedire per quel dominio.
Un esito negativo su un'email che dichiara di provenire da un'azienda strutturata è un segnale molto forte.
Comunicazioni digitali
Posta elettronica
Come capire se un'email è falsa o è stata contraffatta
Il mittente che leggi nel messaggio è un'etichetta, e chiunque può scriverci quello che vuole. Le informazioni che contano davvero sono altrove, e uno screenshot non le contiene.
Risposta breve
Il testo di un'email non dimostra niente, e nemmeno il nome del mittente che compare in cima: quel campo è un'etichetta compilabile a piacere, esattamente come il mittente scritto a mano sul retro di una busta.
Le informazioni utili stanno negli header, le intestazioni tecniche che il programma di posta non mostra. Contengono il percorso reale del messaggio, i server che lo hanno trasportato, gli orari di ogni passaggio e soprattutto l'esito dei controlli di autenticazione SPF, DKIM e DMARC.
Ne discende una conseguenza molto pratica: uno screenshot dell'email è inutile per questa verifica, e anche inoltrarla può bastare a rovinare tutto. Quello che serve è il messaggio originale esportato dalla casella, tipicamente in formato .eml o .msg.
Cosa sono gli header e perché contano
La parte del messaggio che nessuno guarda mai
Ogni email trasporta con sé un blocco di intestazioni tecniche che il programma di posta nasconde perché sarebbero illeggibili per l'utente. Lì dentro c'è la storia reale del messaggio: da quale server è partito, attraverso quali sistemi è transitato, in quale momento ogni passaggio è avvenuto, con quale indirizzo di ritorno e con quali esiti di verifica.
La distinzione decisiva è fra il mittente visualizzato — quello che leggi, che chiunque può scrivere come vuole — e il mittente reale, cioè il server che ha effettivamente consegnato il messaggio. Nelle email fraudolente questi due valori quasi sempre non coincidono, e la discrepanza è visibile solo negli header.
È per questo che il primo passo di ogni analisi è recuperare il messaggio originale. Senza header non c'è verifica: c'è solo la lettura di un testo che chiunque avrebbe potuto scrivere.
I tre controlli di autenticazione
Sono meccanismi standard che i server di posta applicano automaticamente. I loro esiti restano scritti negli header e sono difficili da falsificare in modo coerente.
DKIM
Applica una firma crittografica al messaggio in partenza. Se il contenuto viene alterato lungo il percorso, la verifica fallisce.
È l'elemento che permette di sostenere che il testo ricevuto è quello effettivamente spedito.
DMARC
Definisce la politica del dominio quando SPF o DKIM falliscono, e richiede coerenza fra il mittente visualizzato e quello autenticato.
È il controllo che rende difficile far apparire un messaggio come proveniente da un dominio altrui.
I segnali che ricorrono nelle email fraudolente
Alcuni sono visibili anche senza strumenti. Nessuno è decisivo da solo, ma insieme orientano parecchio.
Dominio quasi identico
Un carattere aggiunto, uno mancante, un'estensione diversa. La lettura distratta di un indirizzo è il punto debole su cui si regge quasi tutto il phishing.
Indirizzo di risposta diverso
Il messaggio sembra provenire da un contatto noto, ma la risposta è indirizzata altrove. È il meccanismo classico delle frodi sui pagamenti.
Urgenza e minaccia di conseguenze
Scadenze immediate, blocchi imminenti, richieste di riservatezza. Servono a impedire la verifica con un secondo canale.
Coordinate bancarie cambiate
La richiesta di aggiornare un IBAN su una fattura è lo schema più costoso in ambito aziendale. Va sempre verificata con una telefonata a un numero già noto.
Allegati o link inattesi
Documenti che si presentano come fatture o ricevute e chiedono di abilitare contenuti, oppure collegamenti verso pagine di accesso molto somiglianti a quelle originali.
Percorso incoerente negli header
Server di transito in paesi che non hanno relazione con il presunto mittente, o passaggi temporali impossibili. Emerge solo dall'analisi tecnica.
Quando la questione finisce in causa
La contestazione tipica: «quell'email non l'ho mai mandata»
Nelle controversie l'email compare in due ruoli opposti. A volte è la prova di un accordo, di un ordine, di una comunicazione ricevuta; altre volte è il messaggio fraudolento che ha causato il danno, e occorre stabilire da dove sia realmente arrivato.
In entrambi i casi il ragionamento probatorio è lo stesso che vale per le chat: nel processo civile l'email rientra fra le riproduzioni informatiche dell'art. 2712 c.c. e fa piena prova finché la controparte non ne disconosce la conformità. Approfondisco questa dinamica nella pagina su valore probatorio degli screenshot di WhatsApp, e vale identica per la posta elettronica.
Ciò che sposta l'ago è la disponibilità del messaggio originale con i suoi header, e possibilmente dei log del server di posta, che conservano registrazioni indipendenti dalla casella dell'utente. Quando questi elementi ci sono, la contestazione ha vita breve. Quando c'è solo uno screenshot, la contestazione è quasi gratuita.
Da evitare
Se l'email dovrà essere verificata
Poche cose, ma nessuna recuperabile a posteriori.
- Non cancellarla, nemmeno dopo aver capito che è una truffa: dalla cartella cestino sparisce comunque da sola dopo un certo periodo.
- Conservala come messaggio, non come immagine. Uno screenshot contiene solo la parte che non serve; l'inoltro semplice altera o perde le intestazioni originali.
- Non cliccare sui link, nemmeno per capire. È il consiglio più banale che esista, ed è anche quello che viene ignorato più spesso.
Devi far verificare un'email?
Che si tratti di dimostrare l'autenticità di un messaggio o di ricostruire l'origine di una comunicazione fraudolenta, l'analisi parte sempre dal file originale. Nella valutazione preliminare vediamo cosa hai a disposizione e se è sufficiente per un accertamento utile.
Domande correlate
Come esporto il messaggio originale?
Quasi tutti i programmi di posta permettono di salvare un messaggio su disco come file, tipicamente con estensione .eml o .msg, oppure di visualizzarne l'origine e copiarla integralmente. Se non sai come procedere con il tuo client, chiedimelo: sono due passaggi.
L'azienda mi contesta un'email che dice di avermi mandato
Si verifica sia la presenza del messaggio nei sistemi sia i log di consegna del server. Un'email che risulti spedita ma mai consegnata, o consegnata a un indirizzo diverso, cambia completamente il quadro.
Ho ricevuto una fattura con IBAN cambiato
È lo schema fraudolento più costoso per le aziende. Oltre all'analisi del messaggio va verificato se la casella di una delle parti sia stata compromessa: spesso il messaggio è autentico, ma è partito da una casella controllata da altri.
Si può risalire a chi ha mandato l'email?
L'analisi tecnica arriva fino ai server e agli indirizzi di rete coinvolti. L'identificazione della persona fisica richiede dati in possesso dei fornitori di servizi, ottenibili solo tramite l'autorità giudiziaria.
Quanto costa l'analisi?
L'analisi di email e comunicazioni digitali parte da 800 euro in base al volume del materiale. Le fasce sono nella pagina dei prezzi; la valutazione preliminare non ha costo.
Vale anche per la posta certificata?
La PEC ha garanzie proprie, con ricevute firmate dal gestore che documentano invio e consegna. L'analisi si concentra allora su altri profili, ad esempio su chi abbia materialmente avuto accesso alla casella.
Parliamone
Sono Cristian Federiconi, ingegnere informatico e Consulente Tecnico di Parte in informatica forense ad Ancona. Analizzo messaggi di posta elettronica, header e log dei server per stabilire origine, integrità e percorso delle comunicazioni.
Questa pagina ha finalità informative e descrive tecniche di verifica applicabili a messaggi di cui si ha legittima disponibilità. Non costituisce consulenza legale e non sostituisce il parere di un avvocato. L'accesso non autorizzato a caselle di posta altrui è vietato dalla legge.