Come mandare email da falso mittente (e come riconoscerle)
Ti è mai arrivata un'email che sembrava della tua banca, ma non lo era? Succede perché l'indirizzo del mittente può essere falsificato. In circa quattro minuti capisci come funziona il trucco e, soprattutto, come difenderti.
Cosa ti serve
- Una casella email (per esempio Gmail)
- Un po' di attenzione: questa guida serve a difendersi, non ad attaccare
Come fare, passo per passo
Perché il mittente si può falsificare
Il sistema della posta elettronica è nato quando internet era un ambiente di fiducia. Il campo “Da” è come il nome scritto sul retro di una busta: chiunque può scriverci quello che vuole. Per questo vedere il nome della banca non prova nulla.
Le tre verifiche tecniche: SPF, DKIM, DMARC
Per contrastare l'inganno sono nati tre controlli. SPF verifica che il messaggio parta da un server autorizzato dal dominio. DKIM è una sorta di firma digitale che garantisce che il testo non sia stato alterato. DMARC dice cosa fare se i controlli falliscono, per esempio scartare l'email.
Come vedi il risultato in Gmail
Apri l'email, tocca i tre puntini in alto a destra e scegli “Mostra originale”. In cima compaiono SPF, DKIM e DMARC con l'esito “PASS” o “FAIL”. Un “FAIL” è un forte segnale di allarme, un “PASS” è un buon segno ma non basta da solo.
Controlla l'indirizzo, non il nome
Tocca il nome del mittente per vedere l'indirizzo completo. I truffatori usano indirizzi simili a quelli veri, con piccole variazioni, oppure indirizzi di servizi gratuiti. Se l'indirizzo non è quello ufficiale dell'azienda, diffida.
Fai attenzione al Reply-To
Esiste un campo nascosto, “Rispondi a” (Reply-To), che indica a chi andrà la tua risposta. Può essere diverso dal mittente visibile. Se cliccando “Rispondi” l'indirizzo che compare non corrisponde a chi dice di scriverti, fermati.
Guarda dove portano i link
Il testo di un link può dire una cosa e portare altrove. Sul computer appoggia il puntatore senza cliccare e leggi l'indirizzo in basso; sul telefono tieni premuto sul link. Se non è il sito ufficiale, non aprirlo.
Leggi il tono del messaggio
Urgenza, minacce, premi inattesi, richieste di password, codici o dati della carta sono le tipiche esche. Un ente serio non ti chiede mai le credenziali via email e non ti obbliga ad agire entro poche ore.
Verifica per un'altra strada e segnala
Contatta l'azienda dal sito ufficiale o dal numero sulla tua carta. Poi in Gmail tocca i tre puntini e scegli “Segnala phishing”: aiuti Google a bloccare l'inganno per te e per gli altri.
Se hai già cliccato
Non inserire nulla nella pagina che si è aperta. Cambia le password dell'account interessato da un altro dispositivo, avvisa la banca se hai dato dati di pagamento e segnala il caso alla Polizia Postale.
I nomi dei menu possono cambiare leggermente in base al modello e alla versione del sistema.
Consiglio della nonna: se hai dubbi, non rispondere e non cliccare. Chiama chi dice di scriverti, usando un numero che hai già. Un truffatore non può rispondere al telefono come la tua banca.
Domande frequenti
Posso scrivere email con un nome diverso dal mio?
Puoi cambiare il nome che appare accanto al tuo indirizzo, nelle impostazioni dell'account, e aggiungere altri tuoi indirizzi per inviare da lì. Fingersi un'altra persona o un ente per ingannare, invece, è illegale e può costituire il reato di sostituzione di persona.
Come proteggo il mio indirizzo da essere imitato?
Se hai un tuo dominio, imposta SPF, DKIM e DMARC con il fornitore del servizio. Per una normale casella Gmail, ci pensa già Google.
A chi segnalo le email false?
Usa il pulsante “Segnala phishing” del tuo servizio di posta. Se è coinvolto un ente o una banca, avvisali dal loro sito ufficiale, e in caso di danni rivolgiti alla Polizia Postale.