Password e un indirizzo di posta usato in modo improprio: violato o falsificato?

Modulo 3: Gestire la Sua casella di posta · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione saprà proteggere bene la Sua mailbox, riconoscere la differenza tra un mittente falsificato e una mailbox violata, e adottare i passi giusti in entrambi i casi.

Concetti chiave: password robusta, passphrase, gestore di password, riutilizzo, violazione di dati, brute force, blocco IP, verifica in due passaggi, password per app, phishing, spoofing (mittente falsificato), backscatter, mailbox violata, regole e inoltri sospetti, limite di invio

Due tipi di "dal mio indirizzo parte spam"

Quasi ogni amministratore se lo sente dire prima o poi: "dal mio indirizzo sta partendo spam". Ci sono due cause molto diverse, e l'approccio è diverso.

1. Falsificazione (spoofing): nessuno è entrato nella Sua mailbox

Un indirizzo del mittente è semplicemente testo. Chiunque può inviare una mail con Van: info@example.com, tramite il proprio server, senza mai entrare nella Sua mailbox. Questo si chiama spoofing.

Ecco come riconoscerlo:

• Riceve improvvisamente decine o centinaia di bounce relativi a mail che non ha mai inviato, spesso verso indirizzi sconosciuti. Questo è backscatter: i destinatari hanno rifiutato la mail falsificata e hanno inviato il messaggio di errore all'indirizzo indicato come mittente, cioè a Lei.
• Nella Sua cartella Inviati non c'è nulla.
• Nei log del Suo server di posta (in molti pannelli: una funzione come "tracciamento email") non vede questi messaggi come posta in uscita.
• Nelle intestazioni di una mail restituita in questo modo (lezione 1.5) compare una riga Received relativa a un server che non è il Suo.

Cambiare la password qui non serve: nessuno la conosceva. Ciò che aiuta è il DMARC (lezione 4.4). Con p=quarantine o p=reject comunica ai destinatari che la posta che non supera il Suo SPF o DKIM deve essere messa in quarantena o rifiutata. In questo modo la mail falsificata arriva meno spesso, e meno persone vengono truffate usando il Suo nome. I bounce di solito si fermano da soli dopo qualche giorno; può eliminarli.

2. Una mailbox violata: qualcuno ha la Sua password

Se qualcuno ha la Sua password, effettua l'accesso al Suo server e invia spam davvero tramite la Sua mailbox. Questo è molto più grave: lo spam parte da un server affidabile con il Suo SPF e DKIM validi, quindi arriva spesso a destinazione. E il server perde la sua buona reputazione (lezione 5.2).

Ecco come riconoscerlo:

• Nel log del server vede posta in uscita che non ha inviato Lei, spesso in grandi quantità.
• Il numero di messaggi inviati dalla Sua mailbox è molto più alto del solito, oppure raggiunge improvvisamente il limite di invio.
• Il Suo provider Le segnala il problema, oppure blocca l'invio.
• Nella Sua mailbox trova cose che non riconosce: una regola di inoltro verso un indirizzo sconosciuto, un filtro che sposta subito nel cestino determinata posta (ad esempio della Sua banca o del Suo provider), un indirizzo di risposta (Reply-To) diverso nelle impostazioni, oppure un messaggio di assenza.

Queste regole sono un trucco noto. Un aggressore che si impadronisce della Sua mailbox vuole spesso leggere la Sua posta a lungo senza essere scoperto, ad esempio per inviare al momento giusto una fattura falsa con un numero di conto diverso. Una regola di inoltro verso il proprio indirizzo continua a funzionare anche dopo che Lei ha cambiato la password.

Come fa qualcuno a ottenere la Sua password?

• Phishing: una mail falsa con un link a una pagina di accesso contraffatta ("la Sua mailbox è piena, acceda qui"). La causa più frequente.
• Riutilizzo: usa la stessa password anche per un negozio online o un forum, che viene violato. Le combinazioni rubate di indirizzo email e password vengono poi provate automaticamente sui server di posta. Con servizi come Have I Been Pwned può verificare se il Suo indirizzo compare in una violazione di dati nota.
• Indovinare: le password brevi o scontate (Welkom2026!, il nome dell'azienda) vengono indovinate con il brute force: migliaia di tentativi uno dopo l'altro.
• Malware sul Suo computer che intercetta le password o le preleva dal browser.

Proteggere bene la Sua mailbox

1. Una password lunga e unica per ogni mailbox. La lunghezza conta più dei caratteri strani. Una passphrase di quattro o cinque parole separate è robusta e facile da ricordare. Non la usi altrove.
2. Un gestore di password. Così non deve ricordare tutte queste password e il riutilizzo non è più necessario.
3. Verifica in due passaggi dove possibile. Con la posta aziendale in cloud (Microsoft 365, Google Workspace) e nel pannello clienti del Suo provider questo è generalmente possibile. Con una normale mailbox IMAP spesso non è possibile per IMAP e SMTP stessi, poiché i programmi di posta inviano solo una password. Alcuni servizi funzionano allora con password per app: una password separata e lunga per ogni programma, che può revocare senza cambiare la password principale.
4. Sia prudente su dove effettua l'accesso. Inserisca la Sua password solo nel Suo programma di posta o sull'indirizzo autentico della Sua webmail. Un provider non chiede mai la password via email.
5. Conosca la sicurezza del Suo server. Molti server bloccano un indirizzo IP dopo un certo numero di tentativi di accesso falliti. Questo protegge dal brute force, ma significa anche che un vecchio dispositivo con una password sbagliata (un vecchio tablet, una stampante che effettua la scansione verso la posta) può far bloccare l'intera rete del Suo ufficio.

Cosa fare in caso di mailbox violata?

Faccia subito questo, in quest'ordine:

1. Cambi la password nel pannello del Suo provider (non tramite un link ricevuto per mail). Scelga una password nuova e unica.
2. Controlli regole di inoltro, filtri, alias e il messaggio di assenza, sia nella webmail sia nel pannello. Rimuova tutto ciò che non ha creato Lei stesso.
3. Verifichi quali dispositivi e programmi si collegano e inserisca ovunque la nuova password. Un dispositivo dimenticato con la vecchia password può far bloccare il Suo IP.
4. Scansioni il Suo computer alla ricerca di malware, soprattutto se non ha cliccato su un link di phishing.
5. Cambi la password anche altrove se la riutilizzava, e anche la password del Suo pannello clienti se era la stessa.
6. Lo segnali al Suo provider. Può verificare cosa è stato inviato, ripulire la coda e revocare un blocco.
7. Avvisi i Suoi contatti se è stata inviata loro posta, soprattutto in caso di fatture false. Una violazione di dati personali può, secondo il GDPR, richiedere anche una segnalazione all'autorità per la protezione dei dati del Suo paese; in caso di dubbio lo verifichi.

Una mailbox violata raramente è un caso isolato. Verifichi anche che il Suo sito web non invii spam: un modulo di contatto non protetto o un plugin violato possono anch'essi inviare posta a Suo nome (lezione 7.3).

Nella pratica: ecco come si presenta in un pannello

In DirectAdmin si cambia la password di una mailbox in Accounts E-mail, tramite i tre puntini e Modifica password / username; nella colonna Inviati vede quanta posta ha inviato oggi una mailbox. Con Tracciamento Email vede se un messaggio è stato effettivamente inviato tramite il server. Gli inoltri si trovano in Inoltri, i messaggi di assenza in Autorisponditori e nella webmail nelle Impostazioni. Altri pannelli hanno funzioni simili, spesso con nomi come "traccia messaggi", "message trace" o "regole della mailbox".

Riepilogo

• Bounce relativi a mail che non ha inviato, senza nulla nella cartella Inviati: falsificazione. In questo caso aiuta il DMARC, non una nuova password.
• Spam reale in uscita nel log del server: mailbox violata. Cambiare la password, controllare regole e inoltri, aggiornare i dispositivi, informare il provider.
• Gli aggressori spesso impostano una regola di inoltro o un filtro, in modo da continuare a leggere la posta.
• Usi una password lunga e unica per ogni mailbox, un gestore di password e, dove possibile, la verifica in due passaggi o le password per app.

Quiz

Esercizio

Esercizio O3.4: Controllo di sicurezza della Sua mailbox. Esamini la Sua mailbox. La password è unica e lunga, ed è conservata in un gestore di password? Cerchi il Suo indirizzo su un servizio per violazioni di dati (come Have I Been Pwned) e annoti se compare in una violazione. Controlli nella webmail o nel pannello tutte le regole di inoltro, i filtri, l'indirizzo di risposta e il messaggio di assenza. Annoti quali dispositivi usano la mailbox. Risponda poi: se domani riceve bounce relativi a mail che non ha inviato, come verifica se si tratta di spoofing o di una violazione?

Per approfondire

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 9.6: Cosa fare se il Suo indirizzo e-mail viene usato in modo improprio
• Guida DirectAdmin 7.2: Modificare la password di un indirizzo e-mail
• Guida DirectAdmin 9.3: Tracciamento Email: dove è finita la mia mail?
• Come modifico la password o i limiti del mio indirizzo e-mail?
• Casella di posta compromessa o spam inviato dal Suo indirizzo: ecco come risolvere
• NCSC, consigli su password e verifica in due passaggi (Paesi Bassi): https://www.ncsc.nl