La Fattura Falsa Che Ha Superato Ogni Test Antispam

Un fornitore a cui hai pagato una dozzina di volte ti invia una nuova fattura. Stesso logo, stesso account manager, stesso cordiale saluto finale. L'unica differenza è una riga nascosta nell'header dell'email — e quella riga ha appena reindirizzato il tuo pagamento di $48.000 a uno sconosciuto in un altro paese.

Questa è la parte della frode inbox di cui nessuno ti avverte: le fatture pericolose non sono quelle raffazzonate. Sono quelle pulite. Un truffatore che entra in un vero account email aziendale non deve falsificare nulla. Il messaggio esce dal dominio autentico, firmato con chiavi autentiche. SPF passa. DKIM passa. DMARC passa. Il tuo filtro antispam solleva le spalle e lo lascia passare, perché dal punto di vista matematico si tratta di posta legittima. Lo è. È solo che viene inviata dalla persona sbagliata.

Per questo la compromissione della posta aziendale è la truffa più costosa in assoluto, e non è nemmeno vicino. L'Internet Crime Complaint Center dell'FBI ha registrato circa $2,9 miliardi di perdite BEC nel 2023 soltanto — trasferimenti telegrafici partiti in base a un'email che, per ogni misura automatica, sembrava completamente legittima. Niente malware. Niente link sospetto. Solo una richiesta credibile di aggiornare i dati di pagamento, inviata da una inbox che era stata tranquillamente hackerata.

Allora, se il punteggio dello spam non ti salva, che cosa lo fa?

Due righe di header che puoi leggere in meno di un minuto: Reply-To e Return-Path.

Ecco la differenza, in termini semplici. L'indirizzo From è quello che vedi sul fronte della busta. Return-Path è il luogo dove vanno i messaggi di rimbalzo se la consegna fallisce — il "mittente" tecnico di cui il server ricevente si preoccupa davvero. E Reply-To è l'indirizzo al quale la tua risposta viene silenziosamente inviata quando clicchi il pulsante. Come spiega DMARC.org, questi possono legittimamente differire, ed è proprio questo che li rende utili come indicatore. Nella posta onesta da un fornitore, tutti e tre di solito si allineano sotto lo stesso dominio. In una truffa da account compromesso, l'attaccante spesso lascia il From intatto — deve sembrare reale — ma inserisce un Reply-To che punta altrove. accounts@yourvendor.com sul fronte, accounts.yourvendor@gmail.com sulla risposta. Dominio diverso. A volte diverso solo per un singolo carattere.

L'attaccante lo fa per una ragione semplice. Potrebbero controllare la mailbox compromessa adesso, ma non vogliono che la tua risposta finisca nella inbox del vero proprietario, dove il vero dipendente potrebbe notare una fattura che non ha mai inviato. Quindi reindirizzano la conversazione a un indirizzo che controllano completamente. Quel reindirizzamento è l'impronta digitale.

Trovarlo richiede circa 20 secondi. In Outlook, apri il messaggio e usa File → Proprietà per vedere gli header internet; Microsoft documenta il formato completo dell'header se vuoi leggere ogni riga. In Gmail, premi il menu a tre punti e scegli Mostra originale. Cerca Reply-To: e Return-Path:. Se uno dei due punta a un dominio che non è quello del mittente — o a un account di webmail gratuito quando ti aspetteresti uno aziendale — fermati. Non rispondere all'email. Chiama il fornitore a un numero che hai già, non uno stampato nel messaggio.

Nulla di questo richiede che tu sia tecnico. Richiede che tu sia sospettoso esattamente delle email che non attivano nessun allarme. Una spunta verde dal tuo filtro significa che il messaggio non è stato falsificato. Non dice nulla su chi stia tenendo le chiavi dell'account che l'ha inviato.

Le truffe che prosciugano gli account nel 2024 non sembrano truffe. Sembrano martedì. L'header è dove la bugia deve ancora vivere.