mail-shield/1.1.0 · aggiornato il 9 lug 2026

Email, spoofing e risposta al phishing

Come leggere autenticazione, spoofing e campagne email con criteri di risposta.

Mail in ADDA combina autenticazione, reputazione del dominio, link e contesto operativo per ridurre l'incertezza prima di agire.

La risposta al phishing diventa più rapida quando email, DNS, Evidence e incidents parlano la stessa lingua. Non si tratta solo di contrassegnare un messaggio come sospetto: contano anche spiegare il rischio, preservare la tracciabilità e lasciare indicazioni chiare per la continuità.

Se un dominio o una campagna email ricompaiono, conviene passare a Intelligence, watchlists o takedown packs per non ricominciare ogni analisi da zero.

Lista di controllo

• Controllare dominio e autenticazione prima di decidere una misura.
• Confrontare link, oggetto e campagna se il caso sembra ripetersi.
• Collegare Evidence o un incident quando il riscontro incide sulle operazioni.

Avvio rapido

1. Convalida dominio e spoofing prima di comunicare una campagna.
2. Valuta se il caso richiede una segnalazione di abuso, un'allerta preventiva o un incident.
3. Salva Evidence se il riscontro ha portato a un blocco o a un coordinamento esterno.

Flusso operativo

Verificare il dominio

Leggi SPF, DKIM, DMARC e i segnali associati al dominio osservato.

Stabilire se lo spoofing richiede di ridurre la fiducia.

Correlare la campagna

Confronta link, oggetto e pattern di ripetizione con incidents o Intel.

Superare l'analisi di una singola email.

Rispondere

Stabilisci se avvisare, segnalare l'abuso, aprire un incident o preparare un pacchetto di risposta.

Fornire una chiusura operativa e spiegabile.

flowchart LR
  S1["Verificare il dominio"]
  S2["Correlare la campagna"]
  S3["Rispondere"]
  S1 --> S2
  S2 --> S3

Validatori e controlli

Eseguono una lettura contestuale di questa superficie e restituiscono passaggi suggeriti con un taglio operativo.

Controllare il dominio email

Riassume autenticazione stimata, rischio e prossimi passi.

Esempi

Payload per l'analisi email

{
  "domain": "secure-capacero.ar",
  "subject": "Actualizá tu acceso ahora",
  "links": [
    "http://secure-capacero.ar/login"
  ]
}

Link e riferimenti

Route correlate

Email nel workspace Centro incidenti

APIs

/api/adda/v1/mail/analyze
/api/adda/v1/mail/check-domain
/api/adda/v1/reports/abuse

Docs e route di supporto

docs/ADDA_API.md
docs/ADDA_INTEL.md

Problemi frequenti

• Analizzare soltanto il dominio e non i link può sottostimare la campagna.
• Rispondere al phishing senza Evidence o incident rende difficile ricostruire la storia del caso.

Azioni suggerite

• Se l'email porta a misure pubbliche o istituzionali, sigilla Evidence.
• Passa a watchlists o a un takedown pack se il pattern ricompare o si replica.

Reason code utili

DNS_SUSPICIOUS

Il dominio associato all'email mostra segnali di rischio.

Rafforzare la convalida prima di presumere la legittimità.

UA_SUSPICIOUS

I link o gli agenti associati al caso sembrano poco affidabili.

Adottare una postura di verifica o contenimento.

Dizionario degli score

spoofingRiskScore

Rischio combinato di autenticazione e spoofing.

severity

Priorità dell'email o del dominio analizzato.

reasonCodes

Motivi difensivi usati per spiegare il riscontro.

Note di protocollo

• Il phishing è spesso multicanale: collega Mail con DNS, incidents e Intel.

Cronologia dell'articolo

9 lug 2026

Nuovo articolo operativo per la risposta a phishing e spoofing.