{"id":45236,"date":"2026-09-03T16:43:33","date_gmt":"2026-09-03T14:43:33","guid":{"rendered":"https:\/\/smartfense.com\/?p=45236"},"modified":"2026-09-03T16:44:42","modified_gmt":"2026-09-03T14:44:42","slug":"percorso-di-una-email-segnalata","status":"publish","type":"post","link":"https:\/\/smartfense.com\/it\/blog\/percorso-di-una-email-segnalata\/","title":{"rendered":"Il percorso di una email segnalata, dalle 11:23 alle 11:27"},"content":{"rendered":"

Mercoled\u00ec, 11:23. A Luc\u00eda arriva una email che sembra venire dall\u2019area IT e le chiede di aggiornare le sue credenziali VPN prima di mezzogiorno. Qualcosa non le torna. Preme il pulsante di segnalazione e torna a quello che stava facendo.<\/p>\n

Questo \u00e8 tutto quello che fa lei. Il pezzo precedente di questa serie<\/a> lasciava aperto un punto. L\u2019abitudine a segnalare regge solo se segnalare ha una conseguenza che la persona pu\u00f2 percepire, e quella conseguenza dipende da quanto tempo impiega una email reale per avere una risposta. L\u2019analisi automatica delle email segnalate \u00e8 ci\u00f2 che comprime quell\u2019attesa, ed ecco il suo percorso passo per passo, senza tecnicismi. Gli orari e i numeri sono quelli di un\u2019organizzazione concreta, la stessa dei pezzi precedenti, e non medie di settore.<\/p>\n

Qual \u00e8 la prima cosa che viene verificata quando arriva una email segnalata?<\/h2>\n

La prima cosa \u00e8 se l\u2019email l\u2019ha inviata il tuo programma. \u00c8 l\u2019unica domanda alla quale la piattaforma pu\u00f2 rispondere senza indagare niente, perch\u00e9 ha il registro di ogni simulazione di phishing<\/a> che ha inviato, e per questo va per prima.<\/p>\n

Quando la risposta \u00e8 s\u00ec, il caso si chiude subito. La piattaforma riconosce alla persona di averla individuata, lo somma al suo punteggio e non resta niente da analizzare. L\u2019email di Luc\u00eda non \u00e8 una simulazione, quindi il percorso continua.<\/p>\n

Cosa verifica l\u2019analisi di una email segnalata?<\/h2>\n

11:24. Da qui l\u2019email viene analizzata in modo automatico, con lo stesso livello di dettaglio con cui la esaminerebbe una persona del team di sicurezza, ma senza che nessuno debba aprirla.<\/p>\n

Si verifica se l\u2019email arriva da dove dice di arrivare o se qualcuno si sta spacciando per un\u2019azienda conosciuta. Si segue ogni link fino alla sua destinazione finale, perch\u00e9 un link pu\u00f2 mostrare un indirizzo e portare a un altro. Si esaminano gli allegati, compreso il classico che finge di essere una fattura e non lo \u00e8.<\/p>\n

E si guardano le immagini del messaggio. \u00c8 l\u00ec che oggi si nasconde buona parte di quello che l\u2019email security non riesce a vedere. Un codice QR prende il posto del link e una schermata prende il posto del testo, quindi un\u2019analisi che legge soltanto il testo passa accanto a entrambi i casi senza vederli.<\/p>\n

\n

Un\u2019analisi che legge soltanto il testo di una email non vede l\u2019attacco che arriva dentro un\u2019immagine.<\/p>\n<\/blockquote>\n

Come simulare quell\u2019attacco per addestrare le tue persone \u00e8 gi\u00e0 trattato in l\u2019articolo sul qrishing<\/a> di questo blog. Qui il codice QR arriva in una email che qualcuno ha gi\u00e0 segnalato, e quello che serve \u00e8 decidere cosa sia.<\/p>\n

E quando l\u2019evidenza tecnica non basta?<\/h2>\n

Ci sono email che l\u2019evidenza non risolve. Il mittente \u00e8 legittimo, i link non figurano in nessuna lista, non ci sono allegati, ma il messaggio chiede qualcosa che non torna, con un\u2019urgenza che non torna nemmeno. \u00c8 la zona grigia dove finora serviva il giudizio di una persona.<\/p>\n

Per quei casi c\u2019\u00e8 un agente di intelligenza artificiale che analizza cosa dice l\u2019email e come lo dice, dall\u2019urgenza e dalla pressione fino al pretesto che usa per giustificare la richiesta. Non sostituisce la verifica tecnica. Entra quando quella verifica si ferma, che \u00e8 esattamente il punto in cui si accumulavano le segnalazioni difficili.<\/p>\n

Nell\u2019email di Luc\u00eda l\u2019evidenza basta e avanza. Il dominio del mittente \u00e8 stato registrato 48 ore fa, i link puntano a un server in un paese dove l\u2019azienda non opera e l\u2019autenticazione del mittente fallisce.<\/p>\n

Verdetto: phishing. Punteggio di rischio: 92 su 100.<\/strong><\/p>\n

Cosa riceve il team di sicurezza quando l\u2019analisi \u00e8 finita?<\/h2>\n

11:25. Al team di sicurezza arriva un risultato invece dell\u2019email da aprire. Sono tre cose.<\/p>\n