Email aziendale hackerata con il finto avviso del provider: come funziona l’attacco al record SPF e come difendersi

Negli ultimi mesi abbiamo seguito diversi casi di email aziendali compromesse che hanno un punto in comune: tutto parte da una finta comunicazione del provider del dominio. Spesso imita Aruba, ma il meccanismo vale per qualsiasi fornitore.

Il cliente se ne accorge tardi, quando fornitori e clienti segnalano email strane ricevute “da lui”. A quel punto cambiare la password della casella non basta: l’attacco non è nella casella email, ma nelle impostazioni del dominio.

In questo articolo spieghiamo come funziona questo tipo di attacco, come capire se il tuo dominio è coinvolto e cosa fare per mettere in sicurezza la posta aziendale.

Come inizia: il finto avviso di “dominio sospeso”

Il primo contatto è quasi sempre un’email o un SMS molto credibile, con logo, indirizzo della sede e linguaggio da ufficio amministrativo. Il messaggio è sempre lo stesso:

• “Il tuo dominio è stato sospeso per mancato pagamento”
• “Il servizio email verrà disattivato entro 24 ore”
• “Clicca qui per effettuare il pagamento e ripristinare i servizi”

Il link porta a una pagina identica a quella del provider. Chi inserisce le credenziali le consegna direttamente all’attaccante, che così entra nell’area clienti, cioè nel pannello da cui si gestiscono dominio, DNS e caselle email.

Un’alternativa, altrettanto diffusa, è un malware sul computer (un cosiddetto infostealer) che raccoglie le password salvate nel browser.

Cosa fa l’attaccante una volta dentro: modifica il record SPF

Questa è la parte meno conosciuta. Spesso l’attaccante non usa la casella email per inviare spam: modifica i record DNS del dominio, in particolare il record SPF.

L’SPF è una riga di testo pubblicata nel DNS che dice al mondo: “queste sono le uniche macchine autorizzate a inviare email per il mio dominio”. I server di posta di chi riceve la controllano per capire se un messaggio è autentico.

L’attaccante fa due cose:

1. Aggiunge i propri server alla lista dei mittenti autorizzati.
2. Rimuove i server del provider legittimo.

Il risultato è doppiamente dannoso:

• le email dell’attaccante, inviate a nome del tuo dominio, superano i controlli e sembrano autentiche;
• le tue email vere non superano più il controllo e iniziano a finire nello spam.

Per sembrare ancora più credibile, l’attaccante può dare ai propri server nomi che richiamano il tuo dominio, così a un’occhiata veloce sembrano “di casa”.

Perché il tuo dominio fa gola

Un dominio aziendale attivo da anni ha una buona reputazione presso i filtri antispam. È proprio questo che cerca l’attaccante: un nome affidabile da cui spedire phishing che arrivi in posta in arrivo e non nello spam.

Spesso il circolo si chiude: dal dominio compromesso partono altri finti avvisi di “dominio sospeso” verso nuove aziende, che a loro volta cadono nella trappola. È una catena che si autoalimenta.

Le conseguenze per l’azienda colpita sono concrete:

• clienti e fornitori ricevono email fraudolente a tuo nome;
• il dominio rischia di finire nelle blacklist antispam;
• le tue comunicazioni legittime, come preventivi, fatture e conferme d’ordine, non arrivano più;
• danno di immagine e, nei casi peggiori, tentativi di truffa sui pagamenti verso i tuoi clienti.

I segnali da non sottovalutare

• Clienti o fornitori ti segnalano email strane ricevute “da te”.
• Ricevi risposte a messaggi che non hai mai inviato.
• Le tue email iniziano a finire nello spam dei destinatari.
• Ricevi notifiche di errore di consegna per email che non hai spedito.
• Nella casella compaiono regole, inoltri automatici o indirizzi di recupero che non hai impostato.
• Nel pannello del provider trovi caselle email che non hai creato.

Come controllare il record SPF del tuo dominio

Non serve essere tecnici. Puoi usare uno dei tanti strumenti gratuiti online di verifica SPF/DMARC (basta cercare “SPF checker”) e inserire il tuo dominio. Chi ha dimestichezza con il terminale può usare:

dig +short TXT tuodominio.it
dig +short TXT _dmarc.tuodominio.it

Cosa guardare:

• il record che inizia con v=spf1 deve contenere il provider della tua posta, per esempio un include: con il suo nome;
• se trovi indirizzi IP che non sai spiegare, o se il tuo provider non compare più, è un campanello d’allarme serio;
• ogni servizio che invia email per tuo conto (e-commerce, newsletter, gestionale) deve essere presente, e nient’altro.

SPF, DKIM e DMARC: i tre livelli di protezione

Sono tre record DNS che lavorano insieme. Ne basta uno configurato male per lasciare spazio agli attacchi.

Record	A cosa serve	Errore tipico
SPF	Elenca i server autorizzati a inviare email per il dominio	Server mancanti, o server estranei aggiunti
DKIM	Aggiunge una firma digitale che prova che il messaggio non è stato alterato	Non attivato: molti domini non lo hanno affatto
DMARC	Dice ai destinatari cosa fare con le email che non superano SPF/DKIM e invia report periodici	Lasciato su p=none per sempre, o con i report indirizzati a una casella che nessuno legge

Un DMARC configurato bene, con politica quarantine o reject e report letti davvero, è ciò che permette di accorgersi in tempo se qualcuno sta usando il tuo dominio.

Cosa fare se il tuo dominio è stato compromesso

L’ordine delle operazioni conta. Ecco la procedura che applichiamo nei nostri interventi:

1. Metti in sicurezza l’area clienti del provider: nuova password unica e verifica in due passaggi. Controlla email e cellulare di recupero e lo storico degli accessi.
2. Ripristina i record DNS: SPF con solo i servizi legittimi, DMARC con i report verso una casella che leggi davvero. Controlla anche l’intera zona DNS alla ricerca di altri record aggiunti.
3. Metti in sicurezza la casella email: nuova password, rimozione di inoltri, regole e risponditori non autorizzati.
4. Controlla i dispositivi: scansione antimalware completa di computer e smartphone. Se trovi un’infezione, cambia di nuovo tutte le password da un dispositivo pulito.
5. Attiva il DKIM e porta gradualmente il DMARC a quarantine e poi a reject.
6. Proteggi gli altri accessi collegati, come e-commerce, CMS e social: password diverse e verifica in due passaggi ovunque.
7. Segnala l’abuso al provider e chiedi la rimozione dalle eventuali blacklist.

Un consiglio importante: finché non sei certo che computer e casella siano puliti, non usare quella stessa email per parlare dell’incidente. Usa un canale alternativo, come il telefono o un’app di messaggistica cifrata.

Come prevenire: le regole d’oro

• Nessun provider serio ti chiede di pagare o di fare login tramite un link in un’email. Accedi sempre digitando tu l’indirizzo del pannello.
• Attiva la verifica in due passaggi sull’area clienti del dominio: è la singola misura più efficace.
• Usa password diverse per pannello del dominio, email, e-commerce e social, gestite con un password manager.
• Configura SPF, DKIM e DMARC e fai controllare periodicamente i report DMARC.
• Tieni aggiornati sistema operativo, browser e antivirus su tutti i dispositivi aziendali.
• Controlla ogni tanto il record SPF del tuo dominio: bastano 30 secondi.

In sintesi

Quando un’email aziendale viene “hackerata”, la reazione istintiva è cambiare la password della casella. Ma se l’attaccante è entrato nel pannello del dominio e ha modificato i record DNS, il problema resta, invisibile, e il tuo dominio continua a essere usato per truffare altre persone.

Per questo, quando interveniamo su un caso di posta compromessa, analizziamo sempre DNS, record di autenticazione, blacklist e sito web, e non solo la casella email.

Hai notato email sospette partite dal tuo dominio, o vuoi semplicemente verificare che SPF, DKIM e DMARC siano configurati correttamente? Contatta Chirurgia Digitale: analizziamo il tuo dominio e ti diciamo esattamente cosa sistemare.