L’email spoofing permette a un attaccante di inviare un messaggio facendo apparire come mittente un indirizzo o un dominio affidabile. Per un dipendente, un cliente o un fornitore, una richiesta che sembra provenire da amministrazione@azienda.it o dal nome di un referente conosciuto può risultare molto più credibile di una normale email di phishing. Il problema non riguarda soltanto la singola casella: quando il dominio aziendale viene sfruttato per messaggi falsi, aumentano il rischio di frodi, furto di credenziali, danni reputazionali e problemi di deliverability anche per le comunicazioni legittime.
Email spoofing: come funziona la falsificazione del mittente
Il protocollo SMTP, alla base della trasmissione della posta elettronica, non nasce con un meccanismo nativo sufficiente a garantire che il mittente dichiarato nel messaggio corrisponda sempre a chi è autorizzato a usare quel dominio. Senza controlli aggiuntivi, un server può quindi ricevere un messaggio con informazioni del mittente costruite per sembrare attendibili.
Non tutti gli attacchi di impersonificazione sono identici. Lo spoofing diretto prova a utilizzare il dominio reale dell’azienda. Altri attacchi registrano domini “lookalike”, con una lettera diversa o un’estensione differente. Esiste poi l’abuso del display name, nel quale il nome visualizzato è quello di un manager o di un fornitore ma l’indirizzo reale appartiene a un dominio esterno. Questa distinzione è importante perché SPF, DKIM e DMARC proteggono soprattutto dall’uso non autorizzato del dominio, mentre gli altri casi richiedono controlli aggiuntivi.
Quali rischi genera l’email spoofing per un’azienda
Un dominio falsificabile può essere usato per colpire sia l’interno sia l’esterno dell’organizzazione. Un dipendente può ricevere una falsa richiesta di reimpostazione password o di pagamento; un cliente può essere indirizzato verso un portale contraffatto; un fornitore può ricevere istruzioni finanziarie manipolate. Anche quando l’attacco non va a buon fine, una campagna di spoofing può influire sulla fiducia verso il dominio e aumentare la probabilità che i messaggi autentici vengano trattati con maggiore sospetto dai sistemi destinatari.
Per l’IT manager il tema non è quindi soltanto “bloccare lo spam”. Occorre dimostrare ai server riceventi quali sistemi sono autorizzati a inviare per conto dell’azienda, verificare l’integrità dei messaggi e indicare come comportarsi quando una verifica fallisce. È esattamente il problema affrontato dai protocolli di autenticazione del dominio.
SPF, DKIM e DMARC contro l’email spoofing
SPF: dichiarare chi può inviare per il dominio
SPF permette al proprietario del dominio di pubblicare nel DNS l’elenco dei server autorizzati a inviare posta. Quando un server destinatario riceve un messaggio, può verificare se l’infrastruttura che lo ha trasmesso è inclusa nella policy SPF. È un controllo utile, ma da solo non copre tutti gli scenari e può essere influenzato dai meccanismi di inoltro.
DKIM: verificare l’integrità del messaggio
DKIM aggiunge una firma crittografica alle email in uscita. La chiave pubblica viene resa disponibile nel DNS e permette al destinatario di verificare che il messaggio sia stato firmato da un sistema autorizzato e che le parti coperte dalla firma non siano state modificate durante il transito. È quindi un tassello importante sia per l’autenticità sia per la reputazione del dominio.
DMARC: definire policy e allineamento
DMARC coordina i risultati di SPF e DKIM introducendo il concetto di allineamento con il dominio visibile nel campo From e consente di pubblicare una policy per i messaggi che non superano i controlli. Ilger approfondisce il funzionamento con una guida dedicata a DMARC, DKIM e SPF, utile per comprendere perché i tre protocolli devono essere considerati insieme e non come configurazioni indipendenti.
DMARC non va attivato “alla cieca”: serve una fase di monitoraggio
Impostare una policy restrittiva senza avere mappato tutti i sistemi che inviano per conto del dominio può bloccare comunicazioni legittime provenienti, per esempio, da CRM, piattaforme di marketing, sistemi ticketing o applicazioni gestionali. Per questo è opportuno censire i mittenti autorizzati, correggere SPF e DKIM e utilizzare i report DMARC per capire quali sorgenti superano o falliscono i controlli.
Nel 2026 anche il tema dell’autenticazione del mittente è stato richiamato dalle linee guida ACN illustrate da Ilger, che evidenziano il ruolo di SPF, DKIM e DMARC nel mitigare le debolezze del protocollo SMTP. Per le aziende, il valore pratico è trasformare la configurazione DNS in un processo governato: inventario delle sorgenti di invio, monitoraggio dei report, correzione delle anomalie e progressivo irrigidimento della policy.