Nessuna policy DMARC trovata

Se la verifica del dominio di invio ha segnalato nessuna policy DMARC applicata, significa che chiunque su internet può inviare e-mail che sembrano provenire da quel dominio, e ai server di posta riceventi non è stato detto di rifiutarle.

Perché sta accanto a una verifica IVA

La maggior parte delle frodi su fattura non coinvolge una società fittizia. Coinvolge un fornitore reale, una fattura reale e coordinate bancarie modificate, recapitate da un’e-mail che sembra provenire dal dominio stesso del fornitore.

Quell’e-mail è convincente proprio perché il dominio è autentico. Una verifica nel registro avrà esito positivo. La società esiste, la partita IVA è valida, il rapporto commerciale è reale. L’unica cosa sbagliata è il numero di conto, e l’unico segnale tecnico disponibile in anticipo è se quel dominio potesse essere falsificato.

I tre record e che cosa fa ciascuno

• SPF elenca quali server possono inviare posta per il dominio. Da solo è indicativo: dice che cosa dovrebbe accadere, non che cosa i destinatari devono fare.
• DKIM firma i messaggi crittograficamente, così le manomissioni sono rilevabili.
• DMARC è l’istruzione che dà denti agli altri due. Dice ai server riceventi che cosa fare quando un messaggio non supera quei controlli.

Senza DMARC, un messaggio falsificato che non supera SPF può comunque finire nella posta in arrivo.

Leggere la policy

Policy	Che cosa fanno i destinatari	Che cosa significa per lei
p=reject	La posta falsificata viene rifiutata	Il più forte. La falsificazione è largamente impedita
p=quarantine	La posta falsificata finisce nello spam	Buono. La falsificazione di solito non arriva in posta
p=none	Nulla: il dominio raccoglie solo report	Nessuna protezione. Solo modalità osservazione
nessun record	Nulla	Nessuna protezione

p=none è quello che trae in inganno. Il dominio ha un record DMARC, quindi una verifica superficiale segnala «DMARC: sì», ma dice ai destinatari di non fare assolutamente nulla. Questo strumento lo segnala come non applicato, perché è ciò che è.

Che cosa fare

Se è il suo fornitore: tratti ogni richiesta di modifica delle coordinate bancarie da questo dominio con particolare cautela. Non risponda all’e-mail per confermare: se la casella è compromessa, o il messaggio era falsificato, sta confermando con il truffatore. Telefoni a un numero che già possedeva.

Se è il suo dominio: può rimediare. Pubblichi SPF e DKIM, poi aggiunga un record DMARC partendo da p=none per raccogliere i report, e passi a p=quarantine e quindi a p=reject quando quei report mostrano che la sua posta legittima passa. Lo strumento gemello notspoofed.com accompagna esattamente in questo percorso e genera i record al posto suo.

Che cosa non le dice

Una policy DMARC applicata significa che il dominio è difficile da falsificare. Non significa che la casella non sia stata compromessa: un aggressore che invia da un account reale supera ognuno di questi controlli. Confermare le coordinate bancarie per telefono resta il controllo che lo intercetta.