Che cosa viene esaminato in un allegato
- Antivirus: confronto con programmi malevoli noti. Efficace su ciò che circola già, meno su un file creato per una sola campagna.
- Macro di Office: un documento Word o Excel che contiene codice e che chiede di «abilitare il contenuto» per eseguirlo. È uno schema vecchio, ancora utilizzato.
- PDF: script, link nascosti, moduli che rimandano a una falsa pagina di accesso.
- File HTML: un allegato che si apre nel browser e imita una pagina di accesso, senza passare da un sito che si potrebbe bloccare.
- Immagini: un QR code che contiene un link, o un testo nascosto nell’immagine per sfuggire all’analisi del testo.
Quando un allegato è giudicato pericoloso, due esiti sono ragionevoli: rimuovere l’allegato e consegnare il messaggio con una nota che lo spiega, oppure mettere l’intero messaggio in quarantena. In entrambi i casi, il file non arriva sulla postazione.
I link: alla consegna, poi al clic
Un link viene analizzato nel messaggio: reputazione dell’indirizzo e del dominio, somiglianza con un marchio noto, dominio creato di recente. Il QR code pone un problema particolare: sposta il link dal computer, protetto, al telefono personale, che spesso lo è meno. Leggerlo nell’immagine riporta quel link sotto controllo.
Ma un link sicuro alle 9 può diventare malevolo alle 14. I truffatori inviano prima un link verso una pagina innocua, poi cambiano la pagina una volta consegnato il messaggio. È il motivo della protezione al clic: il link viene riscritto per passare da una verifica nel momento in cui l’utente fa clic. Se la pagina è diventata pericolosa, il clic viene bloccato, anche se il messaggio è stato consegnato.
Il caso dei link di condivisione
Sempre più messaggi malevoli non contengono alcun allegato: rimandano a un documento depositato su un noto servizio di condivisione di file. Il dominio del link ha allora un’ottima reputazione, perché è quello di un grande servizio. L’analisi deve riguardare il resto: il mittente è abituale, il messaggio somiglia a una campagna, la pagina aperta chiede una password? È qui che la verifica al clic e il rilevamento dei comportamenti insoliti contano più dell’elenco dei domini pericolosi.
Ransomware: che cosa può fare il gateway e che cosa non può fare
Cybermalveillance.gouv.fr, il dispositivo nazionale francese di assistenza alle vittime, descrive il ransomware come un attacco che blocca l’accesso a un sistema o cifra i dati, e talvolta minaccia di divulgarli, in cambio di un riscatto. Il dispositivo osserva che l’intrusione avviene generalmente tramite una vulnerabilità o un accesso remoto mal protetto, oppure tramite la compromissione di un account o di una macchina con un phishing o un programma malevolo.
La posta elettronica non è l’unico punto di ingresso, ma l’ANSSI la indica come «il principale vettore di infezione della postazione di lavoro» (traduzione). Lo stesso ente cita «l’invio di allegati malevoli per sfruttare le vulnerabilità di una postazione di lavoro a fini di estorsione o di spionaggio» (traduzione). È anche un ingresso che si può filtrare prima che raggiunga la casella. Lo svolgimento tipico via e-mail:
- un messaggio con un allegato o un link;
- una macro abilitata, o una password inserita su una pagina falsa;
- un accesso alla rete o agli account;
- più tardi, talvolta settimane dopo, la cifratura dei file.
Un esempio, a titolo illustrativo. Un dipendente riceve una «fattura non pagata» in formato Word. Il documento mostra un banner sfocato e chiede di abilitare il contenuto per leggerlo. Se lo fa, la macro scarica un programma che dà accesso alla postazione. I file del server verranno cifrati solo più tardi. Se l’allegato viene rimosso all’arrivo, questa catena non inizia; se passa, tutto si gioca sul riflesso di non abilitare la macro, poi sul backup.
Il gateway agisce sulla prima fase. Non vede un’intrusione tramite un accesso remoto, né un account già aperto con una password rubata altrove. Non ripristina nulla.
Cybermalveillance.gouv.fr raccomanda backup regolari, copie scollegate, ripristini verificati e aggiornamenti applicati senza indugio. Raccomanda anche di non pagare il riscatto. Per i suoi file, la questione è trattata in ransomware: proteggere e ripristinare la gestione documentale.
Che cosa resta un gesto umano
- Non abilitare le macro di un documento ricevuto via e-mail, anche se lo chiede gentilmente.
- Non inserire una password su una pagina aperta da un link ricevuto; passare dall’indirizzo abituale o da un segnalibro. Cybermalveillance.gouv.fr consiglia anche di verificare l’indirizzo del sito, in cui può cambiare un solo carattere.
- Non scansionare un QR code ricevuto via e-mail per «accedere».
- Segnalare un messaggio dubbio anziché eliminarlo: la segnalazione aiuta il filtro e avvisa i colleghi.
- Non rilasciare dalla quarantena un messaggio che non si aspettava, solo per vedere.
I limiti di ogni analisi
- Il file cifrato dal mittente: un archivio protetto da una password indicata nel messaggio è illeggibile per il filtro. È una tecnica di elusione nota; si gestisce con una regola (quarantena, avviso) piuttosto che con l’analisi del contenuto.
- Il documento malevolo inedito, senza firma nota, può superare l’antivirus. Gli altri segnali (mittente, contesto, macro) subentrano allora, senza garanzia.
- L’account legittimo compromesso che invia una vera fattura malevola beneficia della fiducia accordata al mittente.
- Il link reso malevolo in un secondo momento passa se nessuno lo ricontrolla al momento del clic.
- Il messaggio interno scambiato tra due caselle dello stesso sistema di posta, senza uscirne, non passa da un gateway posto davanti: lo vede il filtro del sistema di posta, oppure nessuno.
La quarantena esiste per i casi dubbi: il messaggio non è né consegnato né perso. Veda Quarantena, falsi positivi e segnalazioni.
Domande frequenti
Un allegato rimosso è perso?
Il messaggio arriva con una nota che spiega la rimozione. Se l’allegato era legittimo, l’amministratore o il destinatario passa dalla quarantena: veda Quarantena, falsi positivi e segnalazioni.
Un PDF può essere davvero pericoloso?
Sì: può contenere script o rimandare a una falsa pagina di accesso. È per questo che viene ispezionato come un documento Office.
Perché un link verificato ieri viene bloccato oggi?
La pagina è cambiata dopo la consegna. La protezione al clic valuta la pagina nel momento in cui lei la apre.
Un gateway basta contro i ransomware?
No. Riduce l’ingresso tramite la posta elettronica. Gli aggiornamenti, gli accessi remoti e il backup fanno il resto. Veda ransomware: proteggere e ripristinare la gestione documentale.
Dove si colloca Klytic
La ripartizione di Klytic MTA tra le sue due offerte, così come è pubblicata:
| Analisi | Essential | Advanced |
|---|
| Antivirus e quarantena cifrata | Sì | Sì |
| Macro di Office e PDF malevoli | Sì | Sì |
| Anti-phishing, usurpazione di marchio, QR code | Sì | Sì |
| Allegati pericolosi rimossi, con un messaggio informativo | Sì | Sì |
| Rilascio sicuro dalla quarantena e notifiche | Sì | Sì |
| File HTML malevoli e testo nascosto nelle immagini | No | Sì |
| Link rianalizzati al momento del clic | No | Sì |
Klytic MTA funziona davanti a qualsiasi sistema di posta, senza Klytic Mail. Non sostituisce il backup dei suoi file e delle sue caselle: presso Klytic, si tratta dei backup dei servizi stessi, descritti nella pagina sicurezza e backup.
Fonti
Consultate a ottobre 2026.
- Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?» (Ransomware: che cosa fare se la sua organizzazione è vittima di un attacco): definizione, modalità di intrusione (vulnerabilità, accessi remoti, phishing, programma malevolo), backup scollegati e testati, aggiornamenti, non pagare. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?» (Che cosa fare in caso di phishing): verificare l’indirizzo di un link e del sito prima di inserire informazioni. cybermalveillance.gouv.fr
- Klytic, pagina Klytic MTA: analisi degli allegati e dei link nelle offerte Essential e Advanced, opzioni, modalità di installazione, attivazione tramite il record MX. klytic.com
- ANSSI, «Guide d’hygiène informatique» (Guida all’igiene informatica), versione 2.0, settembre 2017, misura 24 «Protéger sa messagerie professionnelle» (Proteggere la propria posta aziendale): «La posta elettronica è il principale vettore di infezione della postazione di lavoro» (traduzione). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, repertorio di misure, misura «Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage» (Adottare una soluzione antispam e anti-phishing): «I sistemi di posta sono uno dei principali vettori di attacco, poiché ampiamente utilizzati ed esposti su Internet» (traduzione). monservicesecurise.cyber.gouv.fr
- ANSSI, «Recommandations relatives à l’interconnexion d’un système d’information à Internet» (Raccomandazioni relative all’interconnessione di un sistema informativo a Internet), ANSSI-PA-066, versione 3.0, 19 giugno 2020, capitolo 5 «Sécurisation du service de messagerie électronique» (Messa in sicurezza del servizio di posta elettronica): la posta elettronica «è diventata uno dei principali vettori di attacco informatico» (traduzione) (phishing, allegati malevoli); § 5.2.3, meccanismi antispam e di ricerca di contenuti malevoli «devono essere attuati». messervices.cyber.gouv.fr
