Soluzioni di prevenzione dello spam: come proteggersi dalle minacce email

Email e Spam

Oggi, qualsiasi utente web ha molta familiarità con lo “spam” e ne subisce gli inconvenienti sempre più persistenti. Possiamo dire con certezza che, ormai, la maggior parte delle email che riceviamo quotidianamente può essere classificata come spam. E ce ne sono così tante!

Come si vede dal grafico mostrato in fig.1 (fonte statista.com), ben 333 miliardi di email sono stati inviati ogni giorno nel 2022, e questo numero continua a crescere anno dopo anno.

Secondo Libraesva, un’azienda italiana che produce rinomati software anti-spam, di tutte queste email, una percentuale prossima al cinquanta percento consiste di spam (fig.2) e, quindi, è bloccata dall’anti-spam di Libraesva.

Pertanto, siamo tutti costretti a convivere con il fenomeno dello spam nelle nostre vite digitali, che si sta rivelando sempre più fastidioso.

Inoltre, numeri significativi di email di spam non sono solo fastidiose ma portano anche a scopi aggressivi e malevoli: in questo caso stiamo parlando di phishing. È, pertanto, cruciale – sia per le aziende che per gli utenti – adottare misure efficaci di prevenzione e protezione (soluzioni di prevenzione dello spam).

Spam: l’origine di questa parola

Tutti sanno – e molto bene! – che cos’è lo spam, ma pochi conoscono l’etimologia di questo termine, che, quando è entrato in voga, non era in alcun modo associato né al mondo di internet né a un particolare tipo di messaggio di email.

La parola “spam“” deriva dalla fusione di due parole in lingua inglese, “spiced” e “ham,” e originariamente indicava un marchio di carne in scatola condita con spezie, utilizzando principalmente maiale tritato e prodotta dall’azienda americana “Hormel Foods,” risalente agli anni ’30.

Era un prodotto economico di qualità mediocre e non particolarmente appetibile.

Forse, anche a causa di questo basso costo, l’azienda produttrice ha ottenuto un contratto per fornire questa carne in scatola all’Esercito degli Stati Uniti e alla Marina degli Stati Uniti.

Durante la Seconda Guerra Mondiale, e poi in Gran Bretagna durante la crisi economica del dopoguerra immediato, queste scatole di “spam” divennero il cibo base per molti cittadini britannici. La parola “spam” acquisì il significato di qualcosa di disgustoso, ma inevitabile.

Tuttavia, per raggiungere il significato attuale, dobbiamo aspettare fino al 1970 e il gruppo dei Monty Python, che eseguirono uno sketch comico, ambientato in un ristorante il cui menu consisteva interamente di piatti fatti di “spam,” la suddetta carne in scatola.

La cameriera del ristorante spiegava il menu, che consisteva interamente di carne “spam”, mentre un gruppo di avventori ripeteva ossessivamente la parola, “Spam, spam, spam!” impedendo essenzialmente qualsiasi conversazione dagli altri clienti.

Grazie a questo sketch, che divenne famoso, il termine “spam” divenne sinonimo di informazioni indesiderate e fastidiose.

Tuttavia, l’email non era ancora nata: possiamo ricordare che la prima email della storia fu scritta nel 1971 da Raymond “Ray” Tomlinson che utilizzò ARPANET (la rete che fu fondata nel 1969 e in seguito divenne internet) per inviare un messaggio di email tra le prime università collegate attraverso questa rete. Dobbiamo a Ray Tomlinson l’idea di utilizzare il simbolo @ per separare il nome dal dominio in un indirizzo email.

Il passaggio dalla nascita dell’email allo spam è stato relativamente breve. Negli anni ’90, l’uso dell’email si stava diffondendo, e si verificarono i primi casi di invio di email in massa. In alcuni casi, si trattava di messaggi inviati per errore a causa di malfunzionamenti dei programmi nei newsgroup. In altri casi, erano messaggi pubblicitari inviati in grandi quantità.

I destinatari di tali messaggi fastidiosi e inappropriati hanno utilizzato la stessa parola “spam” per definire effettivamente tali messaggi.

In conclusione, nonostante il fatto che “spam” abbia assunto il significato che ora conosciamo, i prodotti di carne in scatola da “Hormel Foods” – che mantengono quel nome fino ad oggi – sono ancora venduti negli Stati Uniti.

Che cos’è lo Spam e perché presenta un pericolo

Lo spam può essere definito come “l’invio di email, tipicamente in massa e in modo anonimo, in modo che risulti indesiderato e fastidioso.”
Tuttavia, mentre la maggior parte delle email di spam è semplicemente fastidiosa, un numero significativo ha scopi malevoli al fine di veicolare attacchi informatici o truffe. In questi casi, lo spam assume la forma di phishing, che deve essere contrastato.

Dobbiamo essere consapevoli che l’email è ancora il principale veicolo di attacchi oggi, ben l’78% secondo il Report YOROY 2022.

Nella maggior parte dei casi, queste email di phishing vengono utilizzate per:

• veicolare malware per entrare nei sistemi informatici della vittima e prenderne il controllo;
• rubare credenziali per accedere agli account (aziendali, bancari, social, ecc.);
• effettuare frodi informatiche (modello BEC tipico)

Per realizzare questo, l’email sarà “armata” con un link o un allegato. Se l’utente fa clic su questi, il phishing avrà raggiunto il suo scopo.

La maggior parte delle email di spam e phishing sarà bloccata dai sistemi antispam dei nostri computer (come vedremo in seguito), ma alcuni, forse perché sono stati costruiti più accuratamente, potrebbero passare questo filtro.
A questo punto, tutto è nelle mani (e nelle teste) degli utenti, che – come mi piace spiegare nei miei corsi di formazione – rappresentano l’ultimo antispam, l’ultima linea di difesa.

Di particolare nota tra le forme di phishing è il tipo definito spear phishing.

Questa è la variante più sofisticata e subdola del phishing, ed è un attacco mirato. Il pescatore utilizza una “lancia” per catturare precisamente “quel” pesce particolare. L’oggetto dell’attacco è accuratamente selezionato e studiato (oggi è molto facile raccogliere informazioni su una persona, attraverso i social media e il web).

In questo caso, le email inviate sono preparate ad hoc per apparire credibili e ingannare le vittime menzionando dettagli o nomi reali. A volte l’indirizzo email del mittente potrebbe essere stato falsificato utilizzando una tecnica nota come “spoofing” (di cui discuteremo in seguito). L’email sembrerà provenire da qualcuno che conosciamo e di cui ci fidiamo (un collega, un superiore, un membro della famiglia o un amico) e, pertanto, sarà molto più subdola. Inoltre, avrà una maggiore probabilità di successo; potrebbe non essere bloccata dall’antispam, proprio perché è costruita più attentamente.

Soluzioni di prevenzione dello spam: come proteggersi

Le misure di prevenzione contro lo spam, e in particolare il phishing, dovrebbero essere intraprese a due livelli, che sono diversi ma, tuttavia, interconnessi:

• formazione degli utenti, al fine di creare consapevolezza;
• soluzioni tecniche, come firewall, software anti-spam, DNS filtering (nota: puoi aggiungere qui alcuni link alle soluzioni FlashStart).

Creazione della consapevolezza

È ben noto che più del novanta percento degli attacchi informatici sono causati da errori umani, fondamentalmente da un utente — distratto o inconsapevole — che clicca nel posto sbagliato.
Quindi, qualsiasi misura tecnologica, per quanto necessaria, è probabile che sia insufficiente senza la formazione degli utenti.

Una gran parte dello spam dannoso è creata con tecniche che non sono particolarmente sofisticate, spesso utilizzando traduttori automatici che producono testi con errori.
Perché gli aggressori non si preoccupano di creare email perfette? Perché non è necessario. C’è un numero di utenti che cascanno anche su email rudimentali.

Ciò accade soprattutto con il phishing non mirato, condotto con la logica del trawling. Inviano migliaia di email identiche a indirizzi diversi, sapendo che, all’interno della vasta quantità, qualcuno abboccherà comunque e farà clic sul link o sull’allegato nell’email, mentre ciò non accade con lo spear phishing perché è un attacco mirato che richiede un’email accuratamente costruita sulla vittima prescelta.

Una tecnica frequentemente utilizzata nel phishing è typosquatting (“typo” è una parola inglese che significa errore tipografico), o anche cybersquatting, o domain squatting.
In pratica, la somiglianza visiva di diversi caratteri viene sfruttata nella registrazione di domini ingannevoli i cui nomi variano di una lettera (o al massimo due) dal nome di un sito web noto.

Poi si invia l’email contenente il link falsificato con typosquatting, facendo credere al destinatario che provenga dalla sua banca o da un mittente noto.
Typosquatting viene utilizzato anche per falsificare il mittente di un’email.

Nell’esempio mostrato nella figura (uno di molti casi – reali – che vedo nel mio lavoro), i dipendenti dell’azienda ricevono un’email dal mittente “Supporto Office 365” con una richiesta di aggiornare la password della casella di posta aziendale tramite un link prominente nel corpo dell’email.

Un trucco banale che può essere facilmente scoperto se solo l’utente non si fa ingannare dalla fretta.
Non dimentichiamo mai: la nostra fretta è il miglior amico dei criminali informatici!

Tuttavia, se l’utente è attento e non si lascia coinvolgere nel “clickaggio compulsivo”, invece di fare clic sul link, cercherà di capire se il mittente è veramente quello che sembra.

È molto semplice: basta fare clic sull’indirizzo del mittente (in questo esempio: “Supporto Office 365”). Si aprirà un’altra finestra in cui possiamo vedere il vero mittente, che non è “Supporto Office 365” (è solo un campo di testo, dove potrebbe essere scritto qualsiasi cosa).

Figura 5 – Leggi il mittente dell’email

Il vero mittente è quello che appare nella finestra che abbiamo aperto: e evidentemente support@microsrcft.com NON è l’indirizzo del dominio microsoft.com reale.
Questo semplice e immediato controllo è sufficiente per smascherare lo spam!
Quindi, la regola che ogni utente dovrebbe sempre mettere in pratica è essere attento e non fidarsi delle email che riceve, soprattutto se richiedono di fare clic su un link o un allegato.

Soluzioni di prevenzione dello spam: misure tecnologiche

I servizi che la tecnologia FlashStart fornisce sono estremamente utili – anche indispensabili.
È anche essenziale installare un anti-spam avanzato, che sia in grado di analizzare preventivamente ogni messaggio di posta in arrivo.

Ciò deve essere fatto obbligatoriamente da qualsiasi azienda, mentre gli utenti privati che utilizzano provider di posta elettronica gratuiti (Gmail o altri) dovranno scegliere provider con anti-spam sufficientemente sicuri, perché in questi casi non è possibile installare antispam professionale che richiede un’architettura server-client (che di solito non è presente negli utenti privati di posta elettronica).

Tra questi servizi di posta gratuiti, consiglierei Gmail, che ha – anche nella versione gratuita – un antispam sufficientemente efficace, mentre sconsiglio quasi tutti gli altri provider, che non offrono adeguata protezione sulla posta elettronica.

Una delle minacce più frequenti e insidiose che gli agenti anti-spam avanzati sono in grado di rilevare è spoofing. Questo termine è utilizzato per definire l’identificazione errata del mittente di un’email.
In altre parole, è possibile inviare un’email facendo apparire come mittente l’indirizzo che corrisponde a un altro account. Ciò è possibile anche senza avere accesso all’account falsificato, ovvero senza conoscere le credenziali della casella di posta utilizzata.

Questa tecnica è estremamente pericolosa perché può essere eseguita anche senza grandi competenze informatiche.
Lo spoofing sfrutta la debolezza del Simple Mail Transfer Protocol (SMTP).

È un protocollo definito nel 1982 da John Postel, con lo standard RFC 821, successivamente aggiornato da RFC 2821 (https://datatracker.ietf.org/doc/html/rfc2821) ed è ancora utilizzato oggi per inviare posta su Internet.

Quindi, il protocollo SMTP è uno dei più antichi su Internet, e tra i suoi punti deboli c’è il fatto che non può gestire l’autenticazione del mittente. Questa è una grave vulnerabilità perché può essere sfruttata da coloro che utilizzano la posta elettronica come strumento di attacco per il phishing.

Alcuno che lo spam e lo spoofing siano ancora una seria vulnerabilità nella posta elettronica oggi, una revisione radicale del protocollo SMTP non è considerata fattibile a causa del gran numero di implementazioni di questo protocollo e soprattutto a causa della complessità di tale cambiamento e dei problemi di compatibilità all’indietro che verrebbero creati.

La tecnica dello spoofing è, quindi, molto efficace per portare a termine attacchi di phishing, in particolare attacchi di spear phishing, che sono diventati gli strumenti di attacco più popolari per la trasmissione di malware, sia a livello privato che aziendale.

L’utente meno attento (o meno consapevole dei rischi) potrebbe essere facilmente ingannato da un’email di spoofing, quindi è fondamentale equipaggiare le aziende con sistemi anti-spam che possano riconoscere e bloccare lo spoofing e altre minacce da un messaggio di posta.

Such anti-spam software può elaborare ogni email in arrivo e consegnarla al destinatario solo se valutata come sicura.
Per realizzare ciò, utilizzano alcuni protocolli di verifica che sono stati creati successivamente, quando è stato realizzato che il protocollo SMTP era estremamente debole.

Praticamentè, eseguono quei controlli automaticamente, che l’utente medio non sarebbe in grado di fare da solo, e vengono utilizzati nel software anti-spam più avanzato.
Questi sono tre tipi di controlli che non dovrebbero essere utilizzati alternativamente ma insieme, al fine di aumentare la loro efficacia:

• Sender Policy Framework (SPF): consente di verificare che un’email inviata da un determinato dominio provenga effettivamente da uno degli host abilitati dai gestori del dominio. Questo elenco è reso pubblico tramite un record DNS. È una tecnica anti-spoofing che determina se un’email in arrivo da un dominio è stata inviata da un host autorizzato a inviare email da quel dominio. È stato proposto nel 2000, quindi standardizzato nel 2014 con RFC 7208.
• DomainKeys Identified Mail (DKIM): consente ai gestori del dominio di aggiungere una firma digitale tramite una chiave privata ai messaggi di posta. DKIM, quindi, aggiunge uno strumento aggiuntivo per la verifica della corrispondenza tra il mittente e il relativo dominio a cui appartiene. DKIM e SPF non sono due tecniche alternative ma piuttosto complementari. È stato standardizzato nel 2011 con RFC 6376.
• Domain-based Message Authentication, Reporting, and Conformance (DMARC): questo è un sistema di convalida dei messaggi di posta elettronica. Conferma l’identità del mittente ed è stato sviluppato, principalmente, per contrastare lo spoofing della posta elettronica. Le caratteristiche di DMARC sono state definite nell’RFC 7489 di marzo 2015.

Queste tecnologie eseguono una serie di controlli di convalida sull’intestazione del messaggio di posta e sono in grado di scoprire eventuali anomalie. Tuttavia, richiedono una corretta configurazione durante l’installazione dell’anti-spam per evitare effetti eccessivamente restrittivi (troppi email bloccate) o eccessivamente permissivi.

Quindi, in conclusione, è importante implementare un anti-spam evoluto che possa gestire questi controlli, ma non è sufficiente.
Devono essere intraprese azioni anche sul pannello di configurazione dell’antispam (questo dovrebbe essere fatto dal reparto IT aziendale o dal fornitore esterno che ha fornito e installato il software anti-spam) per impostare i parametri SPF, DKIM e DMARC corretti.

Particolarmente importante per il blocco dello spoofing è DMARC, poiché il protocollo SMTP non fornisce nativamente un sistema di verifica sul campo “From:”.
Con DMARC, è possibile dire esplicitamente al proprietario di un dominio cosa fare con i messaggi di posta che hanno lo stesso dominio del mittente ma non soddisfano determinati criteri di provenienza IP (definiti tramite SPF) e autenticazione (firma DKIM).

In questo modo, non è il server ricevente che deve decidere cosa fare con il messaggio, ma piuttosto segue alla lettera quanto specificato nel record DNS di DMARC.
Il vantaggio di DMARC è che rende possibile definire – direttamente dal mittente (cioè dal proprietario del dominio) – come i server riceventi dovrebbero trattare i messaggi provenienti dal suo dominio, mentre in precedenza era l’antispam del destinatario a decidere autonomamente se il messaggio era veramente colui che affermava di essere o meno.

L’autore

Giorgio Sbaraglia, un ingegnere, fornisce consulenza e formazione in sicurezza informatica e privacy.
Insegna corsi su questi argomenti per molte importanti società di formazione italiane, tra cui ABIFormazione e 24Ore Business School.
È il coordinatore scientifico del programma di master “Sicurezza informatica e protezione dei dati” presso 24Ore Business School.
È membro del Comitato Scientifico di CLUSIT (Associazione italiana per la sicurezza informatica) e “Innovation Manager” certificato da RINA.
Ha ricoperto incarichi di DPO (Data Protection Officer) presso varie aziende e associazioni professionali.
È l’autore dei libri:

• “GDPR kit di sopravvivenza” (Editore goWare),
• “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” (2ª edizione 2022, Editore goWare),
• “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” (Editore goWare).

È un collaboratore di CYBERSECURITY360 , la pubblicazione specializzata del gruppo Cybersecurity.
Scrive anche per ICT Security Magazine, per AGENDA DIGITALE, e per la rivista CLASS.

---

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di router e firewall per proteggere i dispositivi desktop e mobile e i dispositivi IoT sulle reti locali.