Quando la truffa arriva da un indirizzo VERO: la nuova frontiera del phishing documentale
Oggi esistono email truffa che arrivano da domini autentici e con firme tecniche valide (SPF/DKIM/DMARC).
Il mittente può essere vero, ma il contenuto può essere falso.
Negli ultimi anni abbiamo imparato a riconoscere le email truffa: indirizzi strani, italiano approssimativo, loghi copiati male. Oggi però lo scenario è cambiato.
Esistono campagne fraudolente che arrivano da domini autentici — perfettamente validi — con firme digitali corrette e server ufficiali. Non è più il classico phishing: è un abuso di piattaforma. Ed è molto più pericoloso.
Il caso tipico
Ricevi una email che sembra reale:
- dominio ufficiale
- autenticazioni SPF, DKIM e DMARC valide
- testo formalmente corretto
- link a un sito realmente esistente
Eppure… la fattura non esiste. Non compare nell’area personale del servizio. Qui nasce la nuova truffa.
Come funziona davvero la tecnica
1) Registrazione su una piattaforma legittima
I truffatori aprono un account aziendale su servizi reali di invio documentale
(es. sistemi di fatturazione, PEC, firme digitali, servizi documentali).
Non “hackerano” il server: diventano clienti.
2) Caricamento di documenti falsi
Inseriscono fatture apparentemente credibili: importi bassi, linguaggio burocratico, riferimenti normativi “veri”. Dentro al documento inseriscono:
- IBAN o dati per il pagamento
- QR code (spesso “stile pagoPA”)
- oppure link/istruzioni che portano a pagine malevole
3) Invio massivo tramite infrastruttura reale
La piattaforma invia le email al posto loro. Risultato: la mail è tecnicamente autentica. I filtri antispam fanno più fatica a bloccarla.
4) Dove sta la truffa
Non nella mail.
Sta nel documento allegato o nella pagina collegata.
Il dominio può essere vero, il contenuto no.
Perché funziona
La sicurezza “di pancia” si basa su una regola: se il mittente è autentico, il messaggio è autentico. Questa regola oggi non è più valida. Il mittente autentico può essere solo il “postino”, mentre il contenuto resta responsabilità di chi spedisce.
Non verificare mai la veridicità dalla mail.
Verificare sempre dall’area personale ufficiale del servizio (accesso manuale, non tramite link).
I segnali tipici
- saluti generici (“Gentile cliente”)
- importi piccoli o “ragionevoli”
- urgenza implicita o minacce velate
- riferimenti a normative reali (fuori contesto)
- link a portali veri… ma nessuna corrispondenza nel tuo profilo
Conclusione
Il phishing moderno spesso non cerca più di imitare i servizi: li utilizza. La fiducia non deve essere nel messaggio ricevuto, ma nel portale che apriamo noi manualmente.
Regola definitiva: nessun pagamento o accesso deve nascere da una email. Sempre e solo dall’area personale ufficiale.