La telefonata è sempre la stessa: un cliente chiama per chiedere conferma di una fattura che non hai mandato, con il tuo nome nel mittente e un IBAN che non è il tuo. Oppure un fornitore dice di aver ricevuto da te istruzioni di pagamento aggiornate.
La domanda immediata — "ci hanno bucato la casella?" — quasi sempre ha risposta no. Non serve entrare in nessun account per mandare email con il tuo dominio nel mittente.
Perché è possibile
Il protocollo della posta elettronica è nato in un'epoca in cui nessuno pensava di mentire. Il campo "Da" di un messaggio è testo scritto da chi spedisce: chiunque può metterci quello che vuole, come il mittente sul retro di una busta.
Non c'è nessun controllo intrinseco. Gli unici controlli che esistono sono quelli che tu pubblichi nel DNS del tuo dominio, e se non li hai pubblicati, il server che riceve non ha modo di sapere che quel messaggio non viene da te.
Ne segue una cosa importante: la difesa non si compra e non si installa. Si configura, ed è gratuita.
Le due varianti, che si difendono diversamente
Uso diretto del tuo dominio. Il mittente è esattamente nome@tuodominio.it. È il caso più dannoso e, paradossalmente, il più facile da chiudere: è esattamente ciò che DMARC serve a impedire.
Domini somiglianti. Il mittente è tuodominio-srl.it, tuo-dominio.it, o tuodomínio.it con una lettera accentata quasi invisibile. Qui DMARC non può fare niente: quello è un altro dominio, e sul dominio di qualcun altro non hai potere. La difesa qui è diversa e la vedremo alla fine.
Vale la pena capire quale delle due stia succedendo prima di decidere cosa fare, e si capisce guardando gli header del messaggio incriminato — non il nome visualizzato, che è cosmetico, ma l'indirizzo vero.
La sequenza che chiude la porta
Chiudere l'uso diretto del tuo dominio richiede tre record DNS e un po' di pazienza. La pazienza è la parte importante: fatto di fretta, questo lavoro blocca le tue email invece di quelle degli altri.
1. Censire chi spedisce legittimamente. Prima di dire al mondo "rifiuta ciò che non è autenticato", devi sapere cosa è autentico. Nelle aziende sono sempre più sistemi del previsto: la posta aziendale, il gestionale, l'e-commerce, la piattaforma di newsletter, il servizio di fatturazione, il modulo del sito, il CRM.
2. Sistemare SPF e DKIM per ognuno, verificando l'allineamento e non solo che il controllo "passi". È il punto dove la maggior parte delle configurazioni sbaglia.
3. Pubblicare DMARC in sola osservazione. Non blocca niente. Chiede soltanto ai destinatari di mandare un rapporto quotidiano su quello che vedono arrivare a nome tuo.
4. Leggere quei rapporti per due o tre settimane. Qui succedono due cose insieme: si trovano i mittenti legittimi dimenticati, e si vede chi ti sta impersonando — volumi, indirizzi IP, paesi.
5. Stringere la policy, prima in quarantena e poi in rifiuto, quando i rapporti dicono che ogni mittente vero è a posto.
Alla fine di questa sequenza, un'email che dice di venire dal tuo dominio senza esserlo viene rifiutata dal server che la riceve. Non finisce in spam: non arriva proprio.
Cosa cambia davvero per te
Vale la pena essere precisi sul risultato, perché il marketing intorno a questo tema promette troppo.
Cosa risolve: nessuno può più usare il tuo dominio esatto nel mittente verso destinatari che applicano DMARC — cioè ormai quasi tutti i grandi provider.
Cosa non risolve: i domini somiglianti, le email mandate da un account davvero compromesso (quelle sono autentiche, DMARC le approva), e le truffe che non usano il tuo dominio ma il tuo nome nel testo.
È comunque la difesa con il miglior rapporto fra costo e risultato che esista sulla posta: tre record e qualche settimana di attenzione.
I domini somiglianti
Per questi la difesa è di natura diversa, e in parte è una scelta di budget.
Si può registrare in anticipo le varianti più ovvie del proprio nome — con e senza trattino, l'estensione parallela, l'errore di battitura più probabile. Non tutte: chi vuole truffarti troverà comunque una variante libera, e comprare venti domini per proteggersi è una spesa senza fine. Due o tre, quelle davvero somiglianti, sono ragionevoli e si gestiscono insieme al resto del portafoglio domini.
Si può monitorare la comparsa di domini simili al proprio, e agire quando appare.
E si può, quando serve, chiederne la rimozione: i registri prevedono procedure per i nomi registrati in malafede, e chi può dimostrare un marchio o una denominazione sociale ha argomenti.
La parte non tecnica, che ferma le truffe vere
Le frodi che costano davvero — quelle in cui un pagamento parte verso l'IBAN sbagliato — non si fermano con i record DNS. Si fermano con una regola aziendale semplice, scritta e conosciuta da chi paga:
Un cambio di coordinate bancarie non si accetta mai via email. Si verifica con una telefonata a un numero già noto, mai al numero indicato nel messaggio.
Costa zero e blocca la categoria di truffa più redditizia che esista. I record DNS servono a togliere all'attaccante lo strumento più credibile; questa regola serve a rendere inutile anche il tentativo meglio riuscito.