Un'email sembra un oggetto semplice: mittente, oggetto, testo, eventuali allegati. In realtà ogni messaggio porta con sé un insieme di informazioni tecniche, le intestazioni, che raccontano da dove è partito, quali server ha attraversato e se il dominio del mittente ne ha autorizzato l'invio. Saperle leggere permette di distinguere un messaggio autentico da uno contraffatto e di conservarlo come prova in modo corretto.
Il mittente visibile non dimostra nulla
Il nome e l'indirizzo che compaiono nel campo "Da" sono scelti da chi invia il messaggio. Tecnicamente è possibile scrivere qualsiasi indirizzo, e molte truffe si basano proprio su questo. Per capire chi ha davvero spedito un'email bisogna guardare oltre, nelle intestazioni complete.
Tutti i programmi di posta permettono di visualizzarle, con voci come "mostra originale", "visualizza sorgente" o "proprietà del messaggio".
I campi principali
Received
Ogni server che riceve e inoltra il messaggio aggiunge una riga Received in cima alle intestazioni. Si leggono quindi dal basso verso l'alto: la riga più in basso è la più vicina all'origine. Ogni riga indica in genere il server che ha consegnato, quello che ha ricevuto, l'orario e talvolta l'indirizzo IP.
Le righe aggiunte dai server del destinatario sono le più affidabili. Quelle più in basso potrebbero essere state inserite dal mittente stesso e vanno valutate con prudenza.
Message-ID
È un identificativo univoco assegnato al messaggio, di solito dal server o dal programma di invio. Il suo formato e il dominio che contiene possono essere coerenti o meno con il mittente dichiarato. Un messaggio che afferma di provenire da un grande servizio di posta ma ha un Message-ID con struttura diversa da quella abituale merita attenzione.
Date
Indica data e ora dichiarate dal mittente. Va confrontata con gli orari delle righe Received: differenze notevoli possono indicare un orologio sbagliato o un'alterazione.
Return-Path e Reply-To
Il Return-Path indica dove vengono restituiti i messaggi non consegnati; il Reply-To dove andranno le risposte. Se il Reply-To punta a un indirizzo diverso da quello del mittente, specie in una richiesta di pagamento, è un segnale tipico di frode.
SPF, DKIM e DMARC
Questi tre meccanismi permettono al proprietario di un dominio di dichiarare chi è autorizzato a inviare posta a suo nome. I risultati delle verifiche compaiono spesso in un'intestazione chiamata Authentication-Results.
| Meccanismo | Cosa verifica | Esito utile |
|---|---|---|
| SPF | Che il server di invio sia autorizzato dal dominio | pass |
| DKIM | Che una firma crittografica sul messaggio sia valida | pass |
| DMARC | Che SPF o DKIM siano allineati con il dominio visibile nel "Da" | pass |
Una firma DKIM valida è particolarmente interessante in ambito forense: dimostra che le parti firmate del messaggio, tipicamente alcune intestazioni e il corpo, non sono state modificate dopo l'invio e che il messaggio è passato da un server in possesso della chiave del dominio. Le chiavi però vengono sostituite nel tempo, quindi conviene verificare la firma il prima possibile e documentare il risultato.
Come conservare un'email come prova
Inoltrare un messaggio a un'altra casella o stamparlo in PDF fa perdere gran parte delle intestazioni originali. Il modo corretto è:
- esportare il messaggio nel formato originale, di solito un file .eml, oppure .msg per alcuni programmi;
- calcolare l'hash del file esportato;
- conservare anche una stampa leggibile, ma solo come supporto;
- annotare da quale casella, con quale programma e quando è stato esportato;
- se possibile, lasciare il messaggio anche nella casella originale, senza spostarlo né modificarlo.
Per i casi più importanti si può valutare l'acquisizione dell'intera casella, che consente di verificare la coerenza del messaggio con il resto della corrispondenza.
Segnali di possibile falsificazione
- dominio del mittente simile ma non identico a quello reale, per esempio con una lettera scambiata;
- SPF, DKIM o DMARC con esito negativo per un dominio che normalmente li supera;
- Reply-To diverso dal mittente;
- righe Received incoerenti tra loro negli orari o nei nomi dei server;
- Message-ID con un formato diverso da quello abituale per quel servizio;
- allegati con estensione doppia o nomi che imitano documenti ufficiali.
Nessuno di questi elementi, da solo, prova una falsificazione. È la loro combinazione, letta nel contesto, che permette di arrivare a una conclusione fondata.
In sintesi
- Il campo "Da" si può falsificare: la provenienza reale si legge nelle intestazioni.
- Le righe Received vanno lette dal basso verso l'alto, con più fiducia in quelle del destinatario.
- SPF, DKIM e DMARC indicano se il dominio ha autorizzato l'invio.
- Un'email va conservata nel formato originale, con hash, non inoltrata o stampata.
- Le anomalie vanno valutate insieme, non singolarmente.