Sicurezza email: guida a protocolli, minacce e difese
La sicurezza email è l'insieme di misure che proteggono la posta elettronica mentre viaggia, arriva e viene aperta. Poggia su tre pilastri: la cifratura del collegamento (TLS), l'autenticazione del mittente (SPF, DKIM, DMARC) e la protezione dell'utente, con difese contro phishing e allegati pericolosi. Nessun pilastro basta da solo.
| Tipo di sicurezza | Cosa fa | Approfondimento |
|---|---|---|
| Cifratura in transito (TLS) | Impedisce che il contenuto sia letto mentre il messaggio passa tra client e server e tra server. | Sicurezza email SSL/TLS |
| Autenticazione del mittente (SPF, DKIM, DMARC) | Aiuta a verificare che il messaggio provenga davvero dal dominio che dichiara. | Protocolli di sicurezza email |
| Protezione dell'utente | Riduce i rischi legati a phishing, link ingannevoli e allegati sospetti. | Anti phishing per le email |
In questa guida vediamo che cosa significano i principali protocolli, quali porte usare, come fare una verifica della tua configurazione e quali attacchi colpiscono più spesso la posta.
Che cos'è la sicurezza email e che cosa deve proteggere
L'email nasce in un'epoca in cui la sicurezza non era una priorità. Per questo oggi convivono un protocollo storico, aperto e flessibile, e una serie di "toppe" aggiunte nel tempo per difenderlo.
Una buona protezione della posta copre quattro livelli:
- Trasporto: la cifratura impedisce che il contenuto sia letto mentre passa tra client e server e tra un server e l'altro.
- Identità del mittente: SPF, DKIM e DMARC aiutano a capire se un messaggio proviene davvero dal dominio che dichiara.
- Accesso all'account: password robuste e verifica in due passaggi riducono il rischio di furto delle credenziali.
- Contenuto e client: link, allegati e codice HTML sono il punto in cui l'utente incontra la minaccia.
Il quarto livello è spesso il più trascurato, eppure è quello dove molti attacchi hanno successo.
Tipo di sicurezza email: SSL/TLS, porte e protocolli
Quando configuri un account, il client ti chiede il "tipo di sicurezza" della connessione. Le scelte tipiche sono nessuna, SSL/TLS e STARTTLS. Oggi si dovrebbe sempre cifrare la connessione: "nessuna" è accettabile solo in rari test locali. Per un approfondimento sulla scelta, leggi la guida su SSL/TLS nella posta elettronica; per SPF, DKIM e DMARC trovi il dettaglio nella guida ai protocolli di sicurezza email.
Differenza tra SSL/TLS e STARTTLS
Con SSL/TLS (detto anche TLS implicito) la connessione è cifrata fin dal primo istante. Con STARTTLS la connessione parte in chiaro e viene poi "promossa" a cifrata tramite un comando. Entrambe sono valide se il client rifiuta di proseguire quando la cifratura non va a buon fine. Il termine SSL è rimasto nel linguaggio comune, ma i protocolli in uso oggi sono le versioni di TLS.
Le porte più comuni
Le porte sono indicative e dipendono dal provider, quindi confrontale sempre con la sua documentazione.
| Protocollo | Porta | Cifratura |
|---|---|---|
| IMAP | 993 | SSL/TLS implicito |
| IMAP | 143 | STARTTLS |
| POP3 | 995 | SSL/TLS implicito |
| POP3 | 110 | STARTTLS |
| SMTP (invio) | 587 | STARTTLS |
| SMTP (invio) | 465 | SSL/TLS implicito |
| SMTP (tra server) | 25 | Dipende dai server |
IMAP mantiene i messaggi sul server e li sincronizza tra i dispositivi, POP3 tende a scaricarli localmente. SMTP serve invece per inviare. Una porta sbagliata o una cifratura disattivata sono tra le più frequenti configurazioni errate.
Cosa significa "sicurezza email non garantita"
Alcuni client e webmail mostrano avvisi quando un messaggio è stato trasmesso senza cifratura TLS tra i server, per esempio con un lucchetto aperto o rosso. L'avviso non vuol dire che il messaggio sia malevolo, ma che durante il percorso qualcuno avrebbe potuto leggerlo. Se contiene dati sensibili, evita di rispondere con informazioni riservate e usa un canale diverso.
Gli attacchi via email più comuni
La posta resta un canale privilegiato per gli aggressori perché è universale e raggiunge direttamente la persona. Questi sono gli scenari più ricorrenti:
- Phishing: messaggi che imitano banche, corrieri o servizi online per ottenere credenziali o pagamenti.
- Allegati sospetti: documenti, archivi o file eseguibili camuffati che, una volta aperti, installano software dannoso.
- Iniezione di codice malevolo: HTML o script inseriti nel corpo del messaggio per sfruttare le debolezze di chi lo visualizza.
- Link a siti infetti: collegamenti che sembrano legittimi ma portano a pagine progettate per rubare dati o diffondere malware.
- Mittenti falsificati: lo spoofing sfrutta nomi e indirizzi simili a quelli reali per ottenere fiducia.
- Errate configurazioni: connessioni non cifratate, record SPF/DKIM/DMARC assenti o incompleti, porte errate.
Molti di questi attacchi non richiedono tecniche sofisticate. Bastano fretta, un logo credibile e un'azione sbagliata da parte dell'utente.
Come fare la verifica della sicurezza email
Per controllare la tua situazione puoi seguire questi passaggi, in ordine di priorità. Una checklist più estesa è nella guida alla verifica della sicurezza email.
- Controlla le impostazioni dell'account: assicurati che server in entrata e in uscita usino SSL/TLS o STARTTLS e porte coerenti con quelle del provider.
- Attiva la verifica in due passaggi sull'account, se il servizio la offre.
- Leggi le intestazioni complete dei messaggi dubbi. Nelle webmail c'è di solito una voce come "Mostra originale" o "Visualizza sorgente", dove trovi l'esito di SPF, DKIM e DMARC.
- Se hai un dominio tuo, verifica con il fornitore di hosting o DNS che i record SPF, DKIM e DMARC siano presenti e corretti.
- Controlla l'attività dell'account dalla pagina di sicurezza del servizio, per vedere accessi e dispositivi collegati.
Email di avviso di sicurezza di Google: come comportarsi
Le email che sembrano un avviso di sicurezza di Google sono un'esca popolare, perché giocano sull'urgenza. Non cliccare sui pulsanti del messaggio. Apri invece il sito o l'app del servizio digitando tu l'indirizzo e consulta le notifiche di sicurezza dall'account. Se lì non trovi nulla, l'email era con ogni probabilità falsa. In caso di dubbio, controlla anche il dominio del mittente: piccole differenze ortografiche sono un segnale tipico.
Come un client in sandbox riduce i rischi
La sicurezza email passa anche da come il client gestisce ciò che riceve. Un programma tradizionale spesso mostra HTML, immagini e link con pochi filtri e conserva copie dei messaggi sul disco. È proprio lì che un messaggio malevolo può fare danni.
Un Client email sicuro come E.D.E.R.A. affronta il problema da un'altra angolazione. Funziona in sandbox, cioè in un ambiente isolato dal resto del sistema, e combina un HTML sanitizer che ripulisce il contenuto dei messaggi, codice PHP eseguito in locale tramite PHP Desktop e comunicazione in loopback. Inoltre non salva le email in locale, così non lascia copie dei messaggi sul computer.
A questo si aggiunge un'analisi basata su intelligenza artificiale pensata per riconoscere segnali di phishing, allegati sospetti, tentativi di iniezione di codice, link a siti infetti, mittenti sospetti ed errate configurazioni. Nessuno strumento elimina ogni rischio, ma isolare e ripulire il contenuto riduce molto lo spazio d'azione di un attacco.
Se vuoi provarlo, puoi scaricare E.D.E.R.A. gratuitamente. Per domande, dubbi o confronti con altri utenti c'è anche il Forum E.D.E.R.A..
Buone pratiche quotidiane per proteggere la posta
La tecnologia aiuta, ma le abitudini fanno la differenza. Alcune regole semplici valgono per chiunque:
- Non aprire allegati inattesi, nemmeno se il mittente sembra conosciuto: verifica con un altro canale.
- Passa il cursore sui link per leggere l'indirizzo reale prima di cliccare.
- Diffida di messaggi che chiedono urgenza, password, codici o pagamenti.
- Usa password uniche per ogni servizio, meglio se gestite con un password manager.
- Mantieni aggiornati sistema operativo e client di posta.
- Segnala o elimina i messaggi sospetti senza rispondere.
Se lavori in un'organizzazione, aggiungi formazione periodica e una procedura chiara per segnalare i messaggi dubbi: spesso la rapidità della segnalazione limita i danni.
Conclusione
La protezione della posta elettronica richiede un approccio a più livelli: connessioni cifrate, autenticazione del mittente, account ben difesi e un client che isoli i contenuti pericolosi. Verificare periodicamente configurazione, porte e protocolli costa poco e previene molti problemi.
Se vuoi aggiungere uno strato di difesa proprio dove l'utente incontra la minaccia, scopri come funziona E.D.E.R.A. sul sito Edera IT e valuta se risponde alle tue esigenze.
Per approfondire: E.D.E.R.A. Project.
Domande frequenti
Come capisco se una email è arrivata in modo sicuro?
Controlla se il tuo client segnala la cifratura TLS in transito, per esempio con un'icona di lucchetto o un avviso. Poi apri le intestazioni complete del messaggio e verifica l'esito di SPF, DKIM e DMARC. Se mancano o falliscono, tratta il messaggio con sospetto.
Quale porta devo usare per la posta in modo sicuro?
Di norma IMAP usa la 993 con TLS implicito, POP3 la 995, mentre l'invio SMTP usa la 587 con STARTTLS o la 465 con TLS implicito. I valori esatti dipendono dal provider, quindi confrontali sempre con la sua documentazione ufficiale.
Un'email di avviso di sicurezza di Google può essere falsa?
Sì, è un'esca molto comune nel phishing. Non cliccare sui link nel messaggio: apri il sito o l'app del servizio digitando tu l'indirizzo e controlla lì le notifiche di sicurezza dell'account. Se non trovi nulla, l'email probabilmente era falsa.
Basta un antivirus per proteggere la posta elettronica?
No, l'antivirus è utile ma non basta. Molti attacchi via email puntano sull'inganno dell'utente, come link falsi o mittenti imitati, e non su un file malevolo noto. Servono anche autenticazione del mittente, cifratura, buone abitudini e un client che isoli i contenuti rischiosi.