Email Spoofing: come smascherare i falsi mittenti analizzando i log

L’email spoofing è una delle tecniche più insidiose utilizzate nel phishing e nelle truffe BEC (Business Email Compromise). Consiste nel contraffare l’intestazione di un messaggio in modo che l’email sembri provenire da un mittente legittimo o interno all’azienda. Sebbene a colpo d’occhio possa sembrare autentica, la verità è scritta nei log del server e negli header tecnici.

In questo articolo vedremo come identificare lo spoofing analizzando le tracce digitali che gli attaccanti non possono nascondere.

I tre pilastri dell’autenticazione email

Per riconoscere un’email contraffatta nei log, dobbiamo prima capire quali sono i meccanismi di difesa che l’attaccante sta cercando di aggirare o sfruttare:

• SPF (Sender Policy Framework): Verifica se l’indirizzo IP che ha inviato l’email è autorizzato a spedire per quel dominio.
• DKIM (DomainKeys Identified Mail): Aggiunge una firma digitale che garantisce che il contenuto del messaggio non sia stato alterato.
• DMARC: Istruisce il server ricevente su cosa fare se SPF o DKIM falliscono (es. scarta il messaggio o mettilo in quarantena).

Cosa cercare nei log del server (Mail Gateway)

Quando un’email sospetta colpisce la tua infrastruttura, i log di ricezione mostrano chiaramente l’anomalia. Ecco i parametri critici da monitorare:

1. La discrepanza tra “Mail From” e “From” header

Nello spoofing, il mittente visualizzato dall’utente (Header From) è spesso diverso dal mittente reale utilizzato per la trasmissione SMTP (Envelope From). Nei log di Wazuh o del tuo gateway email, cerca discrepanze tra questi due campi.

2. Analisi dei risultati SPF/DKIM

Un’email spoofata restituirà quasi sempre un risultato di SPF=fail o SPF=softfail. Se nei log vedi un’email che dichiara di provenire dal tuo dominio ma ha un indirizzo IP sorgente che non appartiene alla tua rete o a servizi autorizzati (come Microsoft 365 o Google Workspace), sei di fronte a un tentativo di spoofing.

3. Header “Received” incoerenti

Gli header Received tracciano il percorso dell’email. Se un’email interna sembra provenire da un server situato in una zona geografica insolita o tramite un provider sconosciuto, è un chiaro segnale di compromissione o impersonificazione.

Automatizzare il rilevamento con un SOC

Analizzare manualmente ogni header è impossibile. Un sistema di monitoraggio avanzato centralizza questi log e attiva alert immediati quando:

• Un’email fallisce il controllo DMARC con policy di rifiuto.
• Vengono rilevati volumi anomali di email provenienti da domini “look-alike” (es. cyberdef.it vs cyb3rdef.it).
• Un utente interno riceve un’email che sembra provenire da se stesso ma da un IP esterno non autorizzato.

Conclusione

Lo spoofing vive nell’ombra della disattenzione. Formare il personale è importante, ma solo la visibilità tecnica garantita dai log permette di fermare gli attacchi prima che la trappola scatti. La sicurezza delle email non è una questione di fiducia, ma di verifica matematica.

Vuoi mettere in sicurezza il tuo dominio e smettere di ricevere email contraffatte? Contatta gli esperti di Cyberdef.it per implementare correttamente i protocolli SPF, DKIM e DMARC con monitoraggio SOC attivo.