Spam: il volume
Lo spam è posta non richiesta, inviata in massa. È fastidioso e fa perdere tempo, ma raramente cerca una vittima precisa.
Che cosa lo tradisce: la reputazione del server o del dominio che lo invia, un dominio creato pochi giorni prima, un contenuto pubblicitario ripetuto in modo identico presso migliaia di destinatari. Un filtro basato su reputazione e contenuto lo ferma bene, e una messa in attesa mirata dei mittenti sconosciuti scarta una parte degli invii automatizzati.
Da distinguere: la posta grigia. Una newsletter a cui qualcuno si è iscritto o una promozione di un fornitore noto non sono spam. Classificarle a parte evita di sommergere la casella senza bloccare un messaggio atteso.
Phishing: la credibilità
Il dispositivo nazionale francese di assistenza alle vittime, cybermalveillance.gouv.fr, descrive il phishing come un falso messaggio che si spaccia per un soggetto di fiducia (banca, amministrazione, fornitore, social network) per sottrarre credenziali, password o dati bancari. Le forme più comuni in azienda:
- una falsa pagina di accesso alla posta o alla condivisione di file;
- un marchio noto imitato: corriere, banca, produttore di software;
- un QR code in un’immagine, che sposta il link dal computer al telefono;
- un messaggio che invita a richiamare un falso numero di assistenza.
L’autenticazione del dominio qui non basta. Un truffatore che acquista un dominio simile al suo può configurare perfettamente SPF, DKIM e DMARC per quel dominio: il suo messaggio è autentico… per un dominio che non è il suo. Ciò che lo tradisce è la somiglianza con un marchio o un dominio noto, l’età del dominio, la reputazione dei link, il contenuto.
Quando il phishing prende di mira una persona precisa per ottenere un bonifico, diventa una frode del CEO: veda usurpazione d’identità e frode del CEO. Ciò che SPF, DKIM e DMARC bloccano realmente è spiegato in SPF, DKIM e DMARC.
Malware: l’allegato o il link
Il programma malevolo arriva in un allegato o dietro un link: documento Office che chiede di attivare le macro, PDF malevolo, file HTML che imita una pagina di accesso, archivio, immagine contenente un QR code. Il messaggio in sé può essere banale («la sua fattura», «documento condiviso»).
La risposta riguarda il file e il link: antivirus, ispezione delle macro e dei PDF, lettura dei QR code, reputazione degli indirizzi, poi verifica al momento del clic. La guida allegati, link e ransomware spiega che cosa viene esaminato e che cosa resta un gesto umano.
Account compromesso: la casella vera
Qui il messaggio parte da una casella vera, quella di un fornitore, di un cliente o di un collega a cui è stata rubata la password. SPF è superato, la firma DKIM è valida, il mittente è noto. Un filtro che guarda solo «il mittente è sconosciuto o mal autenticato?» non vede nulla.
I segnali sono nel comportamento:
- un interlocutore abituale che scrive improvvisamente a destinatari insoliti, o in gran numero;
- un tono, una lingua o un orario che non gli somigliano;
- una richiesta nuova: cambio di coordinate bancarie, link di condivisione inatteso, documento «da firmare con urgenza»;
- una risposta inserita in una vecchia conversazione, per sfruttarne la credibilità.
Due situazioni da distinguere. Quando è l’account di un terzo a scriverle, il filtro in entrata può individuare l’anomalia. Quando è il suo stesso account, il tema riguarda anzitutto il suo sistema di posta: password, autenticazione a due fattori, avvisi di accesso, regole di inoltro aggiunte dall’attaccante. Non è lo stesso progetto del phishing esterno, anche se spesso inizia con un phishing.
Quattro minacce, quattro risposte
| Minaccia | Che cosa la tradisce | Risposta principale | Che cosa non basta |
|---|
| Spam | Volume, reputazione, dominio recente | Reputazione e contenuto, messa in attesa mirata | Eliminare a mano |
| Phishing | Marchio o dominio imitato, link dubbio | Rilevamento dell’usurpazione, analisi dei link e dei QR code | SPF, DKIM e DMARC da soli |
| Malware | Allegato o link | Analisi dei file, protezione al clic | Un antispam basato sulla reputazione |
| Account compromesso | Cambio di abitudini di un mittente noto | Rilevamento delle anomalie, poi sicurezza dell’account | Una blacklist di mittenti |
Un esempio, a titolo illustrativo. Lo stesso lunedì, una PMI riceve un’ondata di pubblicità di stampanti, un falso avviso di consegna con un QR code, una «fattura» in formato HTML e un messaggio del contabile di un cliente abituale che annuncia un nuovo IBAN. I primi tre riguardano il filtro. Il quarto proviene da una casella vera: il filtro può segnalare l’anomalia, ma è una telefonata al numero già noto del cliente a decidere.
Come funziona un filtraggio moderno
Un filtro recente non prende la sua decisione su un solo criterio. Calcola un punteggio a partire da più segnali:
- l’autenticità del mittente: SPF, DKIM, DMARC, reputazione del server e del dominio, età del dominio;
- il messaggio: link, testo, scenari di truffa noti, somiglianza con un marchio o un nome interno;
- gli allegati: antivirus, macro, PDF, immagini;
- il contesto: lo stesso messaggio inviato a molti destinatari (una campagna), oppure un mittente abituale che cambia comportamento.
Il punteggio porta a una decisione graduata: consegnare, mettere in quarantena, rifiutare o rinviare un mittente sconosciuto. La quarantena conta quanto il rifiuto: un messaggio legittimo messo da parte per errore deve poter essere ritrovato e rilasciato, veda Quarantena, falsi positivi e segnalazioni.
Le segnalazioni degli utenti, «questo è spam» o «questo è legittimo», aggiustano poi la reputazione dei mittenti. Un filtro che impara dai propri errori produce meno falsi positivi.
Domande frequenti
Perché si riceve ancora spam con un buon filtro?
Perché un filtro deve trovare un equilibrio tra bloccare troppo e lasciar passare. Un’impostazione che non lascia passare nulla mette da parte anche messaggi attesi.
Un messaggio che supera DMARC è sicuro?
No. Dimostra che il dominio visualizzato ha autorizzato l’invio, non che il contenuto sia onesto. Veda SPF, DKIM e DMARC.
Che cosa fare di un messaggio sospetto già ricevuto?
Non cliccare, non rispondere, segnalarlo all’amministratore anziché eliminarlo. Cybermalveillance.gouv.fr raccomanda inoltre, in caso di dubbio, di contattare l’ente con un mezzo che si conosce.
L’account di un collega invia messaggi strani: che cosa fare?
Avvisare l’amministratore della posta, che cambia la password, verifica l’autenticazione a due fattori e le regole di inoltro. Non è un’impostazione del filtro.
Dove si colloca Klytic
Klytic MTA analizza ogni messaggio a livelli, prima della casella, davanti a qualsiasi sistema di posta.
- Autenticità (Essential e Advanced): SPF, DKIM, DMARC anche per i messaggi inoltrati, reputazione dei server e dei domini, età dei domini, messa in attesa mirata dei mittenti sconosciuti.
- Messaggio (Essential e Advanced): anti-phishing, usurpazione di marchio, domini sosia e nome visualizzato, QR code, rilevamento delle campagne e dei comportamenti insoliti di un mittente, smistamento delle newsletter.
- Allegati (Essential e Advanced): antivirus, macro di Office, PDF; allegati pericolosi rimossi con un messaggio informativo. Advanced aggiunge i file HTML malevoli e il testo nascosto nelle immagini.
- Al momento del clic (Advanced): i link vengono rianalizzati quando l’utente fa clic.
- Frode finanziaria (Advanced): frode del CEO, false fatture, falsi bonifici e altri scenari.
Le segnalazioni degli utenti alimentano un apprendimento condiviso tra le istanze, e i messaggi con punteggio ambiguo vengono valutati da un modello di IA, in entrambe le offerte. Che cosa riceve questo modello è spiegato in L’IA nel filtraggio delle e-mail.
Limite: Klytic MTA vede la posta che lo attraversa. La sicurezza dei suoi account (password, autenticazione a due fattori, accessi) resta quella del suo sistema di posta.
Fonti
Consultate a ottobre 2026.
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?» (Che cosa fare in caso di phishing): definizione del phishing, usurpazione dell’identità di un soggetto di fiducia, furto di credenziali e di dati bancari, consigli di verifica. cybermalveillance.gouv.fr
- RFC 7489, DMARC: il meccanismo non tratta né i domini visivamente simili, né l’abuso del nome visualizzato, né l’analisi del contenuto. rfc-editor.org
- Klytic, pagina Klytic MTA: livelli di analisi e moduli delle offerte Essential e Advanced, opzioni, modalità di installazione, attivazione tramite il record MX. klytic.com
