Come riconoscere un'email di phishing leggendo le intestazioni

Ogni email porta con sé un blocco di intestazioni sopra il testo che leggi. La tua app di posta lo nasconde, ma lì è registrato da quale server è arrivato il messaggio, quale dominio ne ha garantito l'autenticità e dove andrebbe davvero la tua risposta. Il phishing di solito si tradisce proprio lì, anche quando il messaggio in sé sembra perfetto.

Gestiamo un server di posta in ricezione, quindi le intestazioni grezze sono ciò che leggiamo ogni volta che un messaggio si comporta in modo strano. Questa guida analizza un blocco di intestazioni di phishing realistico una riga alla volta, poi mostra il caso più difficile, quello in cui tutti i controlli vengono superati. Mentre leggi puoi incollare le intestazioni di qualsiasi messaggio nel nostro analizzatore di intestazioni email. Funziona nel tuo browser e le intestazioni non vengono mai inviate ai nostri server.

Primo passo: estrai le intestazioni dalla tua app di posta

Tutti i client di posta nascondono le intestazioni per impostazione predefinita. In Gmail apri il messaggio, fai clic sul menu con i tre puntini accanto a Rispondi e scegli Mostra originale. In Outlook sul web apri il menu con i tre puntini, poi Visualizza e Visualizza origine messaggio. In Apple Mail su Mac scegli Vista, Messaggio, Tutte le intestazioni. La pagina dell'analizzatore di intestazioni riporta i percorsi di menu per Outlook per Windows, Yahoo e altri.

Copia tutto ciò che si trova sopra la prima riga vuota: quello è il blocco di intestazioni. Il corpo del messaggio viene dopo e non serve. Su iPhone e iPad l'app Mail integrata non mostra affatto le intestazioni, quindi inoltra il messaggio a un computer o controllalo dalla webmail.

Le intestazioni di un'email di phishing, riga per riga

Ecco il blocco di intestazioni di un tipico phishing che si spaccia per un avviso sull'account, ridotto alle righe che contano. Domini e indirizzi sono segnaposto fittizi, ma lo schema è quello che vediamo di continuo. Le intestazioni sono impilate dalla più recente, quindi il server che ti ha consegnato il messaggio è vicino all'inizio e il punto in cui è partito è più in basso.

Return-Path: <[email protected]>
Authentication-Results: mx.example.com;
    spf=pass smtp.mailfrom=mail.example.net;
    dkim=none;
    dmarc=fail (p=none) header.from=examplebank.com
Received: from mail.example.net (unknown [203.0.113.45])
    by mx.example.com with ESMTPS; Thu, 29 Oct 2026 09:14:07 +0000
Received: from desktop-4kq2 (unknown [198.51.100.23])
    by mail.example.net with ESMTPA; Thu, 29 Oct 2026 09:14:05 +0000
From: "Example Bank Security" <[email protected]>
Reply-To: [email protected]
To: [email protected]
Subject: Unusual sign-in: confirm your account within 24 hours
Date: Thu, 29 Oct 2026 09:14:02 +0000
Message-ID: <20261029091402.4471@desktop-4kq2>

Cosa ti dice ogni riga

Return-Path

L'indirizzo a cui vanno i bounce, detto anche mittente della busta. Qui si trova su mail.example.net, non sul dominio della banca. Da solo prova poco, perché le newsletter inviate tramite un servizio di mailing hanno lo stesso aspetto. Tienilo a mente per le righe successive.

Authentication-Results

Il verdetto che il tuo provider ha registrato all'arrivo del messaggio. SPF è stato superato, ma per mail.example.net, il server dell'attaccante. Non c'è alcuna firma DKIM. DMARC, l'unico controllo che guarda il dominio From che vedi davvero, non è stato superato per examplebank.com. È la riga più utile dell'intero blocco.

Received (in alto)

Aggiunta dal server del tuo provider, mx.example.com, quando ha accettato il messaggio da 203.0.113.45. Le righe scritte dal tuo provider sono affidabili. Tutto ciò che sta sotto questo punto è stato scritto da macchine di cui non sai nulla.

Received (in basso)

Il passaggio più vecchio, quindi leggi la catena dal basso verso l'alto. Il messaggio è partito da una macchina che si fa chiamare desktop-4kq2 ed è stato consegnato a mail.example.net con un invio autenticato (ESMTPA). Il sistema di avvisi di una banca non gira sul computer di qualcuno. Una casella rubata o presa in affitto sì.

From

Il nome visualizzato dice Example Bank Security e l'indirizzo dichiara examplebank.com. Chiunque può scrivere qualsiasi cosa in questo campo. Il DMARC non superato qui sopra è la prova che questa riga From è falsificata.

Reply-To

Se premi Rispondi, la tua risposta va a example.org, un terzo dominio. Una banca che vuole che tu chiami o acceda al sito non ha motivo di raccogliere risposte sul dominio di qualcun altro. Il phishing che ti chiede di rispondere con i tuoi dati imposta quasi sempre questo campo.

Subject e Date

Urgenza più una scadenza. Date è solo ciò che dichiara la macchina mittente, ma confrontala con gli orari delle righe Received: uno scarto di ore o giorni tra Date e il primo passaggio può significare che il messaggio è rimasto in una coda di spam prima di arrivarti.

Message-ID

Un identificativo univoco generato dal software di invio. I sistemi delle grandi aziende ci mettono il proprio dominio. Questo finisce con desktop-4kq2, la stessa macchina domestica della riga Received in basso. Una discrepanza qui è un indizio, non una prova, perché molti software legittimi usano identificativi generici.

Messa insieme, la storia è chiara: un messaggio che dice di venire dalla banca è stato inviato da un computer desktop attraverso il server di posta di uno sconosciuto, non ha superato l'autenticazione della banca stessa e vuole la tua risposta su un terzo dominio. Una volta che sai dove guardare, ci arrivi in meno di un minuto, e l<analyzer>analizzatore di intestazioni</analyzer> segnala per te il DMARC non superato e il Reply-To che non coincide.

SPF, DKIM e DMARC spiegati in parole semplici

Questi tre controlli sono la parte delle intestazioni che un server ricevente scrive dopo aver verificato il messaggio, non testo digitato dal mittente. Ognuno risponde a una domanda diversa.

SPF

Questo server è autorizzato a inviare posta per il dominio del mittente della busta? Il proprietario del dominio pubblica nel DNS un elenco di server autorizzati e il ricevente lo confronta con l'indirizzo IP che si collega. SPF controlla il dominio del Return-Path, non l'indirizzo From che vedi, ed è per questo che un phishing può superare SPF per il proprio dominio. Vedi SPF nel nostro glossario.

DKIM

Il messaggio è stato firmato da un dominio, ed è stato modificato da allora? Il server di invio aggiunge una firma crittografica e il ricevente la verifica con una chiave pubblica nel DNS di chi ha firmato. Il valore header.d= indica il dominio che ha firmato. Una firma valida di un dominio estraneo non dice nulla sul marchio della riga From.

DMARC

Il dominio della riga From corrisponde a un dominio che ha superato SPF o DKIM? Questo passaggio di allineamento è ciò che collega i controlli al nome che leggi davvero. DMARC permette inoltre al proprietario del dominio di dire ai riceventi cosa fare con i messaggi che non lo superano: niente (p=none), quarantena o rifiuto. Ecco perché un messaggio falsificato può comunque arrivare nella tua casella quando la vera azienda non ha attivato l'applicazione della policy.

Cosa significa ogni risultato

Il caso più difficile: tutti i controlli superati

Gli attaccanti più accorti non falsificano affatto il dominio di una banca. Ne registrano uno simile, configurano correttamente SPF, DKIM e DMARC e inviano da lì. A quel punto le intestazioni sembrano impeccabili:

Authentication-Results: mx.example.com;
    spf=pass smtp.mailfrom=examplebank-secure.com;
    dkim=pass header.d=examplebank-secure.com;
    dmarc=pass header.from=examplebank-secure.com
From: "Example Bank" <[email protected]>

L'autenticazione prova che è stato examplebank-secure.com a inviare questa email. Non può dirti se quel dominio appartiene alla tua banca. Questa parte spetta a te, e si riduce a leggere il dominio molto lentamente. Questi sono i trucchi che vediamo più spesso:

• Parole in più. Il nome vero più -secure, -login, -support o -verify.
• Caratteri scambiati. rn al posto di m, uno zero al posto della lettera o, una lettera doppia o mancante.
• Un'estensione diversa. Il nome giusto su .co, .net o un nuovo dominio di primo livello invece di quello usato dall'azienda.
• Il nome vero come sottodominio. In examplebank.com.account-check.net il dominio è account-check.net. Leggi i domini da destra.
• Alfabeti somiglianti. Una а cirillica sembra identica a una a latina. Nelle intestazioni grezze questi domini compaiono spesso con l'inizio xn--, che è il modo in cui vengono codificati i nomi di dominio non latini.
• Un nome visualizzato che fa tutto il lavoro. "Example Bank" davanti a un indirizzo su un dominio di webmail gratuita. Molti telefoni mostrano solo il nome, quindi toccalo per vedere l'indirizzo.

Se non sei sicuro che un dominio appartenga all'azienda, non usare nulla di quanto c'è nell'email per scoprirlo. Digita tu stesso l'indirizzo dell'azienda nel browser e confronta.

Segnali d'allarme nelle intestazioni email, in ordine di peso

Alcuni segnali sono quasi una prova, altri contano solo quando si sommano. Grosso modo è così che li valutiamo.

Una routine di cinque minuti per qualsiasi email sospetta

1. 1

   Copia le intestazioni complete

   Usa Mostra originale o Visualizza origine, come descritto sopra, e copia l'intero blocco, comprese tutte le righe Received.

2. 2

   Incollale in un analizzatore di intestazioni

   Il nostro analizzatore di intestazioni email mette fianco a fianco From, Reply-To e Return-Path, mostra i risultati di SPF, DKIM e DMARC ed elenca il percorso di consegna dal passaggio più vecchio. L'analisi avviene nel tuo browser.

3. 3

   Confronta DMARC con il dominio From

   Trova dmarc= e il dominio accanto. Un fail per un marchio che conosci basta per fermarti qui ed eliminare il messaggio.

4. 4

   Leggi ogni dominio lentamente, da destra

   From, Reply-To e il dominio che ha superato DKIM dovrebbero appartenere tutti all'azienda. Fai attenzione ai trucchi dei domini somiglianti descritti sopra.

5. 5

   Leggi la catena Received dal basso

   La riga più in basso è il punto in cui il messaggio è partito. Fidati solo delle righe aggiunte dal tuo provider, in alto. Un mittente può inserire righe Received false e perfino una falsa riga Authentication-Results sotto di esse.

6. 6

   Controlla i link senza cliccarli

   Le intestazioni non mostrano i link nel corpo. Su un computer passa il mouse sopra ogni pulsante e leggi l'indirizzo nell'angolo della finestra. Qualsiasi link che non porti al vero dominio dell'azienda è un motivo per andartene.

Se pensi che sia phishing

• Non cliccare, non rispondere e non aprire gli allegati. Rispondere conferma che il tuo indirizzo viene letto, e gli allegati sono il modo più comune in cui arriva il malware.
• Contatta l'azienda in un altro modo. Digita il suo indirizzo nel browser o usa il numero sulla tua carta o sul contratto, mai quello nell'email.
• Segnalalo nella tua app di posta. In Gmail usa il menu con i tre puntini e Segnala phishing. In Outlook usa Segnala e poi Segnala phishing. Così il filtro impara per tutti gli utenti di quel servizio.
• Inoltralo all'Anti-Phishing Working Group all'indirizzo [email protected], che condivide le segnalazioni con aziende di sicurezza e browser.
• Negli Stati Uniti segnalalo alla FTC su ReportFraud.ftc.gov, soprattutto se sono coinvolti soldi o dati personali.
• Se hai già inserito una password, cambiala subito sul sito vero, attiva l'accesso in due passaggi e cambiala ovunque l'abbia riutilizzata. La nostra guida per verificare se la tua email è finita in un data breach spiega cosa fare nella prima ora dopo un'esposizione.

Fonti

• IETF, RFC 7208: Sender Policy Framework (SPF), incluso il significato di pass, fail, softfail e neutral.
• IETF, RFC 6376: DomainKeys Identified Mail (DKIM) Signatures.
• IETF, RFC 9989: Domain-based Message Authentication, Reporting, and Conformance (DMARC), pubblicato nel 2026 in sostituzione di RFC 7489.
• IETF, RFC 8601: Message Header Field for Indicating Message Authentication Status, che definisce l'intestazione Authentication-Results.
• Federal Trade Commission degli Stati Uniti, How to Recognize and Avoid Phishing Scams, per gli indirizzi di segnalazione di FTC e APWG.
• Anti-Phishing Working Group, Report Phishing.