Sicurezza email aziendale: proteggere il dominio della PMI di Torino da spoofing e frodi BEC

La sicurezza email aziendale è l'insieme di tecnologie e procedure che impediscono a un malintenzionato di leggere, intercettare o falsificare la posta elettronica di un'azienda. Il cuore di questa protezione sono tre protocolli di autenticazione del dominio — SPF, DKIM e DMARC — che dicono al mondo quali server sono davvero autorizzati a inviare email a nome della tua azienda, così nessuno può spedire messaggi fingendosi te. Senza questi protocolli, chiunque può scrivere una email che sembra provenire dal tuo dominio: è la tecnica alla base dello spoofing e delle frodi BEC.

Il tema non è teorico. Secondo il Rapporto Clusit 2026, gli attacchi informatici alle PMI italiane sono cresciuti del 65% rispetto all'anno precedente, e le piccole e medie imprese rappresentano ormai il 61% dei bersagli nel nostro Paese, proprio perché hanno meno difese delle grandi organizzazioni. Il dato più significativo per chi gestisce un'azienda è un altro: il 91% degli attacchi inizia con una email di phishing o con un tentativo di Business Email Compromise (BEC). La casella di posta, non il firewall, è la vera porta d'ingresso.

AscenSys, società IT di Torino, aiuta le PMI del Piemonte a mettere in sicurezza la posta elettronica prima che un incidente costi denaro e reputazione. In questo articolo vediamo che cos'è davvero lo spoofing del dominio, come funzionano le frodi BEC, e come SPF, DKIM e DMARC — affiancati da un buon filtro anti-phishing e dalla formazione delle persone — chiudono la porta agli attaccanti.

Il problema che ci raccontano molte PMI di Torino arriva sempre sotto forma di un episodio concreto: "un cliente ci ha chiamato dicendo di aver ricevuto una nostra email con un allegato strano, ma noi non abbiamo mandato niente". Oppure, ancora più grave: "il nostro amministratore ha ricevuto una email del titolare che chiedeva un bonifico urgente, e per poco non lo faceva davvero". Dietro queste frasi c'è un meccanismo tecnico preciso.

Per Business Email Compromise (BEC) si intende una frode in cui un criminale impersona il titolare, un dirigente o un fornitore per convincere un dipendente a fare un bonifico o a cambiare le coordinate bancarie di un pagamento. Non serve un virus: basta una email credibile e un po' di pressione. Secondo il Rapporto Clusit, il BEC pesa per circa il 22% delle tecniche di attacco più diffuse, e a livello internazionale la posizione più impersonata è quella dell'amministratore delegato, con oltre un quarto dei tentativi. L'FBI stima che le frodi BEC abbiano causato perdite superiori a 26 miliardi di dollari dal 2016.

Le PMI sono particolarmente esposte per alcuni motivi ricorrenti:

• Dominio email non protetto: se il dominio aziendale non ha SPF, DKIM e DMARC configurati correttamente, chiunque può inviare email che sembrano partire dall'indirizzo reale dell'azienda, senza che il destinatario noti nulla.
• Assenza di verifica sui pagamenti: in molte piccole aziende un bonifico viene autorizzato via email senza una seconda conferma telefonica. È esattamente la leva su cui puntano i truffatori con la classica "fattura con IBAN cambiato".
• Poca formazione: il personale non è abituato a riconoscere un indirizzo mittente falsificato o un dominio "quasi identico" a quello reale, con una lettera cambiata.
• Danno reputazionale a catena: quando il dominio viene usato per spedire spam o phishing, le email legittime dell'azienda iniziano a finire nello spam dei clienti, e la reputazione del mittente crolla.
• Falsa sensazione di sicurezza: "abbiamo l'antivirus" o "usiamo la posta di un grande provider" non basta. L'antivirus non ferma un bonifico autorizzato da un dipendente ingannato, e il provider non configura al posto tuo l'autenticazione del tuo dominio.

Il risultato è che l'attacco riesce non perché l'azienda sia stata "bucata" in senso tecnico, ma perché una persona ha creduto a una email che sembrava autentica. Ed è proprio qui che l'autenticazione del dominio fa la differenza: rende molto più difficile costruire quella email credibile.

La risposta allo spoofing e alle frodi BEC non è un singolo prodotto, ma un approccio a più livelli che combina autenticazione del dominio, filtro intelligente della posta in arrivo e formazione delle persone. AscenSys, società IT di Torino, progetta e gestisce questo percorso per le PMI del Piemonte, partendo sempre dalle fondamenta: i tre protocolli che certificano chi può parlare a nome del tuo dominio.

• SPF (Sender Policy Framework): è un record pubblicato nel DNS del dominio che elenca i server autorizzati a inviare email per l'azienda. Quando arriva un messaggio, il server ricevente controlla se proviene da un mittente elencato; in caso contrario, è un segnale di falsificazione.
• DKIM (DomainKeys Identified Mail): firma digitalmente ogni email in uscita con una chiave crittografica. Il destinatario verifica la firma e ha la certezza che il messaggio sia partito davvero dal dominio dichiarato e non sia stato alterato lungo il percorso.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): mette insieme SPF e DKIM e stabilisce una politica esplicita — cosa deve fare il server ricevente con le email che non superano i controlli: ignorarle, metterle in quarantena o rifiutarle del tutto. DMARC invia anche report periodici che mostrano chi sta cercando di usare il tuo dominio.
• Filtro anti-phishing e gateway di posta: sopra l'autenticazione, AscenSys configura un filtro che analizza allegati, link e mittenti sospetti. Le soluzioni di cybersecurity di ESET, di cui AscenSys è Partner, e le protezioni integrate in Microsoft 365 — AscenSys è Cloud Solution Provider Microsoft — bloccano gran parte dei messaggi malevoli prima che arrivino all'utente.
• Formazione e procedure di pagamento: la tecnologia va accompagnata da regole semplici, come la doppia conferma per ogni variazione di IBAN, e da brevi sessioni di security awareness perché il personale riconosca i tentativi di frode.

Il vantaggio per l'azienda è duplice. Da un lato il dominio smette di essere sfruttabile per truffe verso clienti e fornitori, con un guadagno immediato di credibilità e di consegna della posta legittima. Dall'altro l'azienda si allinea a quanto richiesto dalle linee guida dell'Agenzia per la Cybersicurezza Nazionale sull'autenticazione della posta elettronica e ai requisiti di conformità come NIS2 e ISO 27001. AscenSys resta il partner IT locale che, a Torino e in Piemonte, gestisce con un unico interlocutore posta, sicurezza e infrastruttura.

Mettere in sicurezza il dominio email non è un intervento invasivo: non richiede di cambiare provider né di riconfigurare i computer dei dipendenti. Si tratta di pubblicare i record giusti nel DNS e di alzare gradualmente il livello di protezione. Per le PMI di Torino seguite da AscenSys, il percorso tipico si articola in cinque passaggi:

1. Mappatura di tutti i mittenti: si individuano tutti i servizi che spediscono email a nome dell'azienda — la posta principale, il gestionale, la piattaforma di newsletter, il CRM, il sito web — per non lasciarne fuori nessuno quando si stringe la protezione.
2. Pubblicazione del record SPF: si crea nel DNS l'elenco autorizzato dei server di invio, così i destinatari possono verificare la provenienza di ogni messaggio.
3. Attivazione della firma DKIM: si genera la coppia di chiavi crittografiche e si pubblica la chiave pubblica nel DNS, così ogni email in uscita viene firmata e resa verificabile.
4. Introduzione di DMARC in modalità osservazione: si parte con una politica "none" che non blocca nulla ma raccoglie i report, per capire chi invia email a nome del dominio e correggere eventuali configurazioni legittime dimenticate.
5. Irrigidimento progressivo della politica: quando i report confermano che tutti i mittenti legittimi sono coperti, si passa a "quarantine" e infine a "reject", il livello che rifiuta ogni email non autenticata. Da quel momento nessuno può più spedire posta fingendosi la tua azienda.

Il ritorno si misura su tre leve. La prima è la prevenzione della frode: bloccare lo spoofing del dominio elimina la principale leva del BEC, cioè la email credibile che sembra arrivare dal titolare o da un fornitore noto. Considerando che un singolo bonifico fraudolento può valere decine di migliaia di euro, il ritorno dell'investimento è immediato. La seconda è la consegna della posta: dal 2024 i grandi provider come Google e Yahoo richiedono SPF, DKIM e DMARC per accettare invii in volume, quindi un dominio autenticato vede le proprie email arrivare regolarmente in casella invece che nello spam. La terza è la conformità: l'autenticazione della posta è un requisito esplicito delle linee guida ACN e un tassello concreto verso NIS2 e ISO 27001. Un gateway di posta professionale, per dare un ordine di grandezza dei costi di mercato, si aggira tra i 2 e gli 8 euro per utente al mese: una cifra minima rispetto al costo di un solo incidente.