CYBSicurezza informatica

Quando il fax era più sicuro: SPF, DKIM e DMARC contro i falsi mittenti

Il fax non era sicuro, ma spedirne un milione costava troppo. L’email ha azzerato quel costo: ecco come tre record nel DNS impediscono a chiunque di scrivere con il dominio dell’azienda, e che cosa lasciano scoperto.

Redazione Strategic 31 gennaio 2026 Aggiornato il 16 settembre 2026 7 min di lettura

Quando il fax era più sicuro: SPF, DKIM e DMARC contro i falsi mittenti

Il fax non era più sicuro per la tecnologia, ma per l’economia: ogni pagina costava carta, tempo e una telefonata, e nessuno poteva spedirne un milione in un’ora. L’email ha azzerato quel costo, e senza tre record nel DNS chiunque può scrivere usando il dominio di un’azienda. SPF indica quali server possono spedire per quel dominio, DKIM firma i messaggi, DMARC collega i due controlli al mittente che il destinatario vede e dice ai server di posta come trattare i falsi. Non fermano tutto il phishing, ma tolgono all’attaccante il travestimento più credibile: l’indirizzo esatto dell’azienda.

Nostalgia di un fischio

Chi lavorava in un ufficio negli anni Novanta ricorda il fax: il fischio della linea, la carta termica che si arrotolava, il rapporto di trasmissione con la scritta «OK». Non era un canale riservato: viaggiava su una linea telefonica che chiunque, con una pinza a coccodrillo e un po’ di pazienza, poteva ascoltare. Eppure le truffe via fax restavano poche, per una ragione banale: costavano. Ogni pagina richiedeva una chiamata, un foglio e il tempo di una macchina.

La lezione vale ancora: la sicurezza è anche una questione di convenienza per chi attacca. Quando un tentativo non costa quasi nulla e si può ripetere all’infinito, basta che riesca di rado per rendere. Quando invece diventa scomodo, gli automatismi cambiano bersaglio.

Perché l’email è diventata il canale preferito di chi attacca?

Perché costa quasi nulla e si automatizza. L’ENISA, l’agenzia dell’Unione europea per la cybersicurezza, nel rapporto pubblicato a ottobre 2025 indica il phishing come il principale canale d’ingresso negli incidenti analizzati tra luglio 2024 e giugno 2025: circa il 60 per cento dei casi, comprese le varianti via telefono e via pubblicità online. Lo stesso rapporto osserva che i gruppi criminali usano sempre di più l’intelligenza artificiale per lavorare più in fretta e meglio.

Per un’azienda questo ha una conseguenza pratica. Il vecchio consiglio «diffidate dei messaggi pieni di errori» vale sempre meno: un testo scritto con l’AI è corretto, cortese e credibile. Diventa quindi decisivo ciò che il testo non può falsificare, se il dominio è protetto: l’indirizzo da cui il messaggio arriva.

Che cosa sono SPF, DKIM e DMARC?

Sono tre standard pubblicati dall’IETF, l’organismo che definisce i protocolli di internet, e si configurano come record nel DNS del dominio aziendale.

Standard	Che cosa fa	Che cosa non fa
SPF (Sender Policy Framework)	Elenca i server autorizzati a spedire posta per il dominio	Non controlla il mittente che il destinatario vede; spesso si rompe quando un messaggio viene inoltrato
DKIM (DomainKeys Identified Mail)	Aggiunge a ogni messaggio una firma digitale, verificabile con una chiave pubblicata nel DNS	Da solo non dice che cosa fare con i messaggi senza firma
DMARC	Chiede che SPF o DKIM corrispondano al dominio del mittente visibile, indica come trattare chi non supera il controllo e invia rapporti al titolare del dominio	Non ferma i domini somiglianti né gli account veri caduti in mano a qualcun altro

DMARC è stato aggiornato di recente: a maggio 2026 l’IETF ha pubblicato la nuova specifica (RFC 9989), che sostituisce quella del 2015 e la porta nel percorso degli standard veri e propri.

Perché senza DMARC chiunque può firmarsi con il nome dell’azienda?

Perché il mittente che si legge nel programma di posta è un testo scritto da chi spedisce. SPF controlla un altro indirizzo, tecnico, che il destinatario non vede. Senza DMARC nessuno verifica che i due coincidano.

Uno scenario tipico. Un fornitore riceve una email da amministrazione@ seguito dal dominio esatto di un suo cliente, con una fattura e le nuove coordinate bancarie. Il messaggio parte da un server qualunque, in un altro continente. Se il dominio del cliente pubblica DMARC con la politica di rifiuto, i principali servizi di posta lo respingono o lo isolano prima che arrivi a una persona. Se non la pubblica, il messaggio arriva, con il nome giusto e il logo giusto.

C’è anche un vantaggio meno visibile: un dominio ben configurato ha una reputazione migliore, e le sue email vere finiscono meno spesso nello spam.

Come si arriva a p=reject senza bloccare la posta buona?

DMARC prevede tre livelli: p=none (solo osservazione), p=quarantine (i messaggi sospetti vanno tra lo spam) e p=reject (i messaggi falsi vengono rifiutati). Il percorso, che può richiedere settimane, segue sei passi.

Inventario di chi spedisce a nome dell’azienda. Non solo i server di posta: il gestionale che invia le fatture, il CRM, la piattaforma delle newsletter, quella dell’assistenza clienti, le stampanti che spediscono le scansioni, i fornitori che scrivono per conto dell’azienda.
DMARC in osservazione, con i rapporti attivi. I rapporti aggregati mostrano chi sta usando il dominio, legittimo o no.
Correzioni. Ogni servizio legittimo firma con DKIM a nome del dominio, o entra nel record SPF, che però accetta al massimo dieci consultazioni DNS: oltre quel limite il controllo fallisce.
Quarantena, poi rifiuto. Quando i rapporti mostrano solo posta legittima e allineata, si passa a p=quarantine e infine a p=reject.
Sottodomini e domini che non spediscono. I domini registrati ma non usati per la posta dichiarano che nessun server può spedire per loro, con DMARC in rifiuto. Altrimenti diventano il travestimento più comodo.
Manutenzione. Ogni nuovo servizio che invia posta passa dall’IT, e le chiavi DKIM si cambiano a scadenze stabilite.

Che cosa chiedono oggi Gmail e Outlook a chi spedisce?

Dal 1° febbraio 2024 Google chiede a chiunque scriva ad account Gmail personali di autenticare la posta con SPF o DKIM. A chi invia più di 5.000 messaggi al giorno chiede SPF, DKIM e DMARC, anche solo in osservazione, con il dominio del mittente allineato e la disiscrizione con un clic per i messaggi promozionali.

Dal 5 maggio 2025 Microsoft chiede gli stessi tre controlli a chi supera i 5.000 messaggi al giorno verso Outlook.com, Hotmail e Live, e rifiuta i messaggi che non li rispettano. Per un’azienda che spedisce fatture, notifiche e newsletter, configurare bene il dominio non è più solo una difesa: è la condizione perché la posta arrivi.

Che cosa non risolvono questi tre record?

I domini somiglianti. DMARC protegge il dominio esatto. Un dominio con una lettera cambiata, o con un trattino in più, è un altro dominio: si contrasta sorvegliando le nuove registrazioni simili e insegnando al personale a leggere l’indirizzo per intero.
Il nome visualizzato. «Direzione generale» può nascondere un indirizzo qualunque, e sul telefono spesso si vede solo il nome.
Gli account veri violati. Un messaggio spedito da una casella autentica, dopo un furto di password, supera tutti i controlli: è il caso raccontato nell’imbianchino digitale.
Il contenuto. DMARC dice chi ha spedito, non se la richiesta è legittima. Un cambio di coordinate bancarie si verifica comunque per telefono, al numero già noto.

Un’ultima avvertenza riguarda gli assistenti di intelligenza artificiale che leggono la posta: un messaggio falso può contenere istruzioni scritte per l’assistente, non per la persona. Ridurre i messaggi contraffatti aiuta, ma non basta, come spieghiamo nella pagina su sicurezza e governance dell’AI.

In sintesi

Il fax era protetto dal suo costo; l’email no, e il phishing resta il primo canale d’ingresso negli incidenti analizzati dall’ENISA.
SPF elenca i server autorizzati, DKIM firma i messaggi, DMARC lega i controlli al mittente visibile e decide la sorte dei falsi.
Si arriva a p=reject per gradi: inventario, osservazione con i rapporti, correzioni, quarantena, rifiuto.
Anche i domini che non spediscono posta vanno protetti.
Gmail e Outlook chiedono SPF, DKIM e DMARC a chi invia grandi volumi: è anche una questione di consegna.
Domini somiglianti, account violati e richieste di pagamento restano compito di formazione e procedure.

Domande frequenti

DMARC blocca anche il phishing che arriva da altri domini?

No. Protegge il dominio che lo pubblica, impedendo ad altri di usarlo come mittente. Contro i domini somiglianti e gli account violati servono i filtri della posta, l’attenzione del personale e procedure di verifica per le richieste di pagamento.

Passare a p=reject può far perdere email legittime?

Sì, se qualche servizio che spedisce a nome dell’azienda non è stato configurato. Per questo si comincia con una fase di osservazione e si arriva al rifiuto solo quando i rapporti mostrano che tutta la posta legittima supera i controlli.

Serve DMARC anche su un dominio che non invia posta?

Sì. Un dominio senza record è un travestimento a disposizione di chiunque. Dichiarare che nessun server può spedire per quel dominio e che i messaggi vanno rifiutati richiede poco lavoro e toglie uno strumento a chi attacca.

Chi se ne occupa in azienda?

L’IT, con chi gestisce il DNS, il marketing e i fornitori che spediscono per conto dell’azienda. Alla direzione spetta una regola semplice: nessun nuovo servizio invia posta a nome dell’azienda senza passare da quel controllo.

Verificare come è configurata la posta, ricostruire l’elenco di chi spedisce a nome dell’azienda e accompagnare il passaggio fino al rifiuto dei falsi rientra nelle verifiche della divisione Cybersecurity. Perché i domini somiglianti e le richieste insolite vengano riconosciuti, servono anche formazione e simulazioni per il personale.

Fonti

Consultate il 16 settembre 2026.

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.