Lo spoofing è la falsificazione dell'identità di un mittente o di una sorgente: un'email, un numero di telefono, un indirizzo IP, una risposta DNS o un sito web che si presentano come qualcun altro. Per una PMI il caso che conta è l'email spoofing sul dominio aziendale. Questa pagina spiega cos'è, come riconoscerlo e come chiuderlo con SPF, DKIM e DMARC, con l'evidenza da mostrare a clienti, assicurazioni e revisori.
Spoofing, alla lettera, significa ingannare facendosi passare per un altro. In sicurezza informatica il significato è preciso: ogni tecnica con cui un attaccante falsifica un identificatore che il destinatario usa per fidarsi. L'indirizzo del mittente di un'email, il numero che compare sul telefono, l'indirizzo IP di un pacchetto, la risposta di un server DNS, l'aspetto di un sito web.
Il meccanismo ha due parti. La prima è l'artefatto falsificato, possibile perché molti protocolli di rete sono nati senza un controllo sull'identità di chi trasmette. La seconda è la spinta psicologica: un nome conosciuto, una richiesta plausibile, la fretta. Senza la prima non c'è spoofing; senza la seconda non c'è il bonifico.
Per chi gestisce l'IT di una PMI la domanda pratica non è "spoofing cosa è" in astratto, ma "chi può inviare posta a nome del mio dominio". È la domanda che un cliente, un assicuratore o un revisore NIS2 ti porrà.
I due termini vengono usati come sinonimi ma descrivono cose diverse. Lo spoofing è la falsificazione dell'identità: mittente, numero o sorgente sembrano quelli di qualcun altro. Il phishing è l'inganno che sfrutta quella falsificazione per ottenere un'azione: un pagamento, una credenziale, l'apertura di un allegato.
Possono esistere separatamente. Quando si combinano, la richiesta di pagamento arriva da un indirizzo che sembra davvero quello del tuo amministratore e il controllo più naturale, guardare chi scrive, è neutralizzato.
| Spoofing | Phishing | |
|---|---|---|
| Che cos'è | Falsificazione dell'identità del mittente o della sorgente | Inganno che chiede un'azione alla vittima |
| Dove agisce | Sul protocollo: header email, numero, IP, DNS | Sulla persona: testo, urgenza, richiesta |
| Chi viene impersonato | Il proprietario del dominio o del numero falsificato | Nessuno in particolare: l'inganno colpisce chi riceve |
| Difesa principale | Autenticazione del dominio: SPF, DKIM, DMARC in reject | Filtro in ingresso e formazione delle persone |
Lo spoofing prende il nome dall'identificatore falsificato. Questi sono i tipi che incontrerai nei questionari di clienti e assicuratori.
| Tipo | Cosa viene falsificato | Chi viene colpito | Danno tipico |
|---|---|---|---|
| Email spoofing | Indirizzo del mittente o intero dominio | Clienti, fornitori e dipendenti dell'azienda impersonata | Frode sulle fatture, furto di credenziali, danno reputazionale |
| Spoofing telefonico (caller ID) | Numero che compare sul display | Chi riceve la chiamata | Raggiri a nome della banca o di un fornitore |
| IP spoofing | Indirizzo IP sorgente dei pacchetti | Reti e sistemi esposti | Saturazione dei servizi, aggiramento dei filtri per indirizzo |
| DNS spoofing | Risposta di risoluzione di un nome | Utenti dirottati su server falsi | Intercettazione del traffico, credenziali rubate |
| Spoofing di sito web | Aspetto e indirizzo di un sito | Visitatori che si fidano della pagina | Credenziali e pagamenti sottratti |
IP e DNS spoofing si affrontano nella configurazione di rete; lo spoofing telefonico con procedure interne, come la verifica su un secondo canale prima di un pagamento. L'email spoofing è l'unico in cui il proprietario del dominio ha un controllo diretto e verificabile, ed è il caso del resto della pagina.
Il protocollo con cui i server si scambiano la posta è nato quando la rete era piccola e fidata: chi invia può scrivere nel campo mittente qualunque indirizzo. La verifica dell'identità del dominio è stata aggiunta dopo, con tre standard facoltativi a carico del proprietario. Se non li pubblichi, chiunque può scrivere a nome tuo.
Lo spoofing email ha due forme. Nella prima l'attaccante usa il tuo dominio esatto e conta sul fatto che i riceventi non abbiano istruzioni per rifiutarlo. Nella seconda registra un dominio lookalike, una variante con una lettera mancante, due lettere invertite, una cifra al posto di una lettera o il tuo nome più una parola come "login", e lo usa per frodi sulle fatture e phishing di credenziali. La prima forma si chiude con DMARC; la seconda va sorvegliata.
In una PMI la catena decisionale è corta: un'email che sembra arrivare dal titolare e chiede di cambiare un IBAN può essere eseguita in giornata. È il tipo di incidente che assicuratori e revisori chiedono di dimostrare di aver prevenuto, e per chi rientra nel perimetro della NIS2 per le PMI la sicurezza della posta è tra le misure da documentare.
Questi segnali non danno certezza, ma ognuno deve far scattare una verifica su un altro canale prima di agire.
Il limite dell'elenco è che vale solo per la posta che ricevi. Di quella che qualcuno sta inviando ai tuoi clienti a nome tuo non ti dice nulla: per quella servono i controlli sul dominio.
La difesa dallo spoofing email si costruisce con tre record pubblicati nel DNS del dominio. Insieme dicono ai server che ricevono la tua posta chi è autorizzato a inviarla, come verificare che non sia stata alterata e cosa fare quando i controlli falliscono.
| Standard | Cosa fa | Cosa risolve |
|---|---|---|
| SPF | Elenca i server autorizzati a inviare posta per il dominio | Il ricevente sa se il server mittente è nella lista |
| DKIM | Aggiunge una firma crittografica al messaggio in uscita | Il ricevente verifica che contenuto e mittente non siano stati alterati |
| DMARC | Pubblica la policy da applicare quando SPF e DKIM falliscono e chiede ai riceventi report per il proprietario | Il ricevente sa se rifiutare, mettere in quarantena o consegnare; il proprietario vede chi invia a suo nome |
SPF e DKIM da soli non bastano, come dimostra il test descritto sopra: segnalano, ma non decidono. È il record DMARC a trasformare la segnalazione in un'azione, e la policy DMARC in modalità reject è l'unico controllo che un ricevente applica qualunque sia il percorso del messaggio falsificato: chiude lo spoofing sul dominio esatto.
Il percorso parte però dalla visibilità. Prima di dire ai riceventi di rifiutare devi conoscere ogni mittente legittimo: il gestionale che manda le fatture, la piattaforma newsletter, il CRM, la multifunzione delle scansioni. Se pubblichi il reject senza questa mappa, blocchi la tua stessa posta. La sequenza è: monitoraggio, lettura dei report, correzione dei mittenti mancanti, quarantena, reject.
I report DMARC che Google, Microsoft e gli altri riceventi inviano sono file XML aggregati. Senza un monitoraggio DMARC che li trasformi in un elenco leggibile, i fallimenti restano invisibili. Il monitoraggio è la parte che non si può saltare ed è la fonte dell'evidenza per un revisore.
Restano due complementi. I domini lookalike non sono coperti da DMARC, perché non sono tuoi: vanno sorvegliati per capire quali esistono e quali sono armati con record di posta, certificato TLS o sito attivo. MTA-STS e TLS-RPT assicurano che la posta in ingresso viaggi cifrata e segnalano gli errori di trasporto. Se già usi il vulnerability assessment continuo di Defensio, la scansione esterna verifica anche i record SPF, DKIM e DMARC, ma non legge i report né testa le difese: è il punto di partenza, non l'arrivo.
Un filtro anti spoofing, o gateway di posta, esamina la posta che arriva a te: verifica SPF, DKIM e DMARC dei mittenti esterni, blocca allegati pericolosi e mette in quarantena ciò che non supera i controlli. È una difesa necessaria e risolve il problema di chi riceve.
Quello che il filtro non vede è la posta inviata a nome tuo. Quando un attaccante scrive a un tuo cliente falsificando il tuo dominio, il messaggio va dal server dell'attaccante a quello del cliente e non passa mai dal tuo gateway. Il cliente paga la fattura sull'IBAN sbagliato e la prima notizia che ne hai è la sua telefonata. Il filtro protegge la tua casella; la protezione del dominio protegge la tua identità presso gli altri.
I due strumenti risolvono problemi opposti e sono complementari: alla domanda "avete un filtro anti spoofing?" la risposta completa dice cosa filtri in ingresso e quale policy DMARC pubblichi in uscita, con i report che lo dimostrano.
La protezione dallo spoofing email con Defensio Identity Shield copre la parte del problema che il filtro non vede. Trasforma i report DMARC grezzi in un elenco leggibile di chi invia posta a nome del tuo dominio, mette alla prova le difese a cadenza regolare e sorveglia i domini lookalike registrati per impersonare l'azienda. Le quattro funzioni:
L'attivazione richiede un solo record DNS, un record DMARC che indica l'indirizzo di reporting di Defensio. Nulla cambia nel flusso di posta e nessuna email passa attraverso Defensio. I controlli su trasporto e lookalike girano entro un giorno; i report DMARC dipendono dai riceventi, che in maggioranza li inviano una volta ogni 24 ore, quindi hai un quadro utile entro due o tre giorni e un andamento affidabile entro un paio di settimane. Se lo colleghi, gli avvisi arrivano nel SOC as a service insieme al resto della telemetria; puoi partire dal solo Identity Shield e attivare la connessione dopo senza rifare nulla.
I prezzi sono pubblici, per dominio protetto, al mese, IVA esclusa, con ogni funzionalità inclusa in ogni piano: Identity Shield a 49 €, con test di spoofing mensile e 12 mesi di storico; Compliance a 99 €, con test settimanali e on-demand, report di evidenza in PDF firmato da consegnare a clienti, assicuratori e revisori, rilevamento dei lookalike armati, 24 mesi di storico, API e SSO; MSP & Volume da 299 €, con 10 domini a livello Compliance, poi 19 € per dominio (11-50) e 14 € (51+), console multi-tenant e report white-label. I domini parcheggiati costano 9 € ciascuno, senza test di spoofing. Il servizio è acquistabile online, anche da solo.
Team Fidem S.r.l. Fidem S.r.l., Lavagno (Verona), progetta i prodotti Defensio: sviluppo, infrastruttura e operazioni in Italia, azienda certificata ISO/IEC 27001, 27017, 27018 e ISO 9001, Defensio registrato a CSA STAR Level 1. Ultimo aggiornamento: settembre 2026.
Lo spoofing è la falsificazione di un identificatore su cui il destinatario basa la propria fiducia: l'indirizzo del mittente di un'email, il numero sul display, l'indirizzo IP, la risposta di un server DNS o l'aspetto di un sito. L'attaccante non viola un sistema: si fa passare per qualcuno che il sistema o la persona già riconoscono. Per un'azienda il caso su cui ha un controllo diretto è l'email spoofing sul dominio aziendale.
Lo spoofing è la falsificazione dell'identità, il phishing è l'inganno che chiede un'azione. Un phishing può arrivare da un dominio qualsiasi senza spoofing; uno spoofing del tuo dominio può non contenere alcuna richiesta. Il filtro in ingresso e la formazione contrastano il phishing; SPF, DKIM e DMARC contrastano lo spoofing del tuo dominio.
Pubblicando una policy DMARC in modalità reject e mantenendola corretta. Il reject è l'unico controllo che un ricevente applica qualunque sia il percorso del messaggio falsificato ed è ciò che chiude lo spoofing sul dominio esatto. Prima serve visibilità: devi conoscere ogni mittente legittimo prima di dire ai riceventi di rifiutare, altrimenti blocchi la tua stessa posta. Il monitoraggio DMARC serve a costruire questa mappa.
Sono tre record nel DNS del dominio. SPF elenca i server autorizzati a inviare posta a tuo nome. DKIM aggiunge una firma crittografica ai messaggi in uscita, così il ricevente verifica che non siano stati alterati. DMARC pubblica la policy da applicare quando i primi due falliscono (nessuna azione, quarantena o rifiuto) e chiede ai riceventi report aggregati su chi invia a nome del dominio. Solo DMARC in reject blocca lo spoofing del dominio esatto.
No, perché risolve un problema diverso. Il filtro esamina la posta che arriva a te. Non vede mai la posta che un attaccante invia a clienti, fornitori e dipendenti falsificando il tuo dominio, perché quel messaggio non passa dal tuo server. Per quella parte servono una policy DMARC in reject, il monitoraggio dei report e la sorveglianza dei domini lookalike. I due strumenti sono complementari, non alternativi.
Sì, con un solo record: un record DMARC che indica l'indirizzo di reporting di Defensio. Nulla cambia nel flusso di posta e nessuna email passa attraverso Defensio. MTA-STS e TLS-RPT richiedono un record ciascuno, solo se li vuoi. I controlli su trasporto e lookalike girano entro un giorno; i report DMARC arrivano dai riceventi, in genere una volta ogni 24 ore, quindi il quadro diventa utile in due o tre giorni.
Sì. Il test invia posta falsificata dal tuo dominio a un'unica casella seed registrata e controllata da te, mai agli utenti e mai come campagna. Ogni messaggio di test si dichiara autorizzato negli header e un invio reale richiede la tua autorizzazione scritta; fino ad allora gira in dry-run. Lo scopo è verificare a cadenza regolare che le difese reggano e ricevere un avviso quando una smette di farlo.
Dipende dai fatti e va verificato con un legale. Se la tua azienda viene impersonata o subisce una frode, conserva i messaggi con gli header completi, segnala l'accaduto alla Polizia Postale e verifica con un legale i passi da compiere. Questa pagina descrive misure tecniche di prevenzione e non costituisce consulenza legale.
Un record DNS, nessuna email che passa attraverso di noi, nulla che cambia nel tuo flusso di posta. Entro pochi giorni hai l'elenco di chi invia a nome del tuo dominio e, con il piano Compliance, il report di evidenza da consegnare a clienti, assicuratori e revisori. Attiva la protezione dallo spoofing email con Defensio Identity Shield oppure contattaci se gestisci più domini o vuoi collegare gli avvisi al SOC: a sales@defensio.technology risponde una persona.