VBSpam Q3 2026: perché un’e-mail autenticata non è automaticamente sicura

Un’e-mail che supera i controlli tecnici di autenticazione non va considerata automaticamente affidabile. Il resoconto del test comparativo VBSpam di Virus Bulletin per il terzo trimestre 2026 descrive campagne che hanno combinato infrastrutture di invio apparentemente legittime con cloaking degli URL a più stadi e sensibile al browser. In altre parole, la parte dannosa può emergere solo dopo il clic, in un punto che una verifica del mittente o del link iniziale potrebbe non intercettare.

Il test, svolto secondo un piano AMTSO, è durato 16 giorni e ha valutato 103.969 e-mail, di cui 103.380 messaggi spam. 13

Autenticazione non significa contenuto sicuro

SPF, DKIM e DMARC verificano aspetti del percorso di invio e dell'allineamento del dominio. Non attestano però che il contenuto sia innocuo, che ogni collegamento sia sicuro o che la pagina finale raggiunta dopo una catena di redirect sia legittima.

Questa è la distinzione emersa dalle campagne descritte nei resoconti del test: gli aggressori possono ricorrere a infrastrutture autenticate o dall'aspetto fidato e rinviare l'azione fraudolenta a un flusso web in grado di controllare browser, posizione geografica o momento dell'accesso prima di mostrare la destinazione. 35

Tre schemi di phishing evidenziati

Sollecito di pagamento in ritardo inviato tramite Amazon SES

Una campagna in lingua tedesca usava il tema di un pagamento scaduto ed è stata inviata tramite Amazon SES da un dominio allineato a DKIM. Al posto di un allegato, l'e-mail HTML includeva markup-esca, testo nascosto, un iframe di dimensione zero e JavaScript offuscato. 35

Il flusso collegato era progettato per valutare il visitatore: raccoglieva informazioni su browser e fuso orario, effettuava una richiesta POST nascosta e reindirizzava gli utenti ritenuti idonei verso OpenSea. La sequenza è stata descritta come coerente con una frode crypto o NFT occultata, e rendeva meno rivelatrice una semplice ispezione del messaggio o dell'URL iniziale. 35

Finti rinnovi di McAfee e TotalAV

Una campagna in olandese imitava McAfee e TotalAV: avvertiva di «631 virus pericolosi» e proponeva un rinnovo scontato. L'esca sfruttava ingegneria sociale in HTML, senza il classico allegato malevolo. 35

Il suo elemento di evasione era la consegna condizionale: la pagina di destinazione poteva cambiare in base all'orario, alla località o al profilo apparente della vittima. Ciò complica le analisi automatizzate, perché uno scanner può ricevere una pagina innocua, un errore o una catena di redirect diversa da quella mostrata al destinatario preso di mira. L'obiettivo riportato era la frode sugli abbonamenti. 35

Falsa richiesta di rinnovo del consenso PSD2 di BCR S.A.

Un messaggio in rumeno impersonava BCR S.A. e sosteneva che il consenso PSD2 dovesse essere rinnovato. PSD2 è la normativa europea sui servizi di pagamento; il tema di un consenso bancario obbligatorio può indurre l'utente ad agire in fretta in un flusso che sembra familiare. Secondo il resoconto, la destinazione era nascosta mediante un indirizzo IPv6 mappato, una tecnica che può complicare il parsing degli URL e l'analisi degli scanner. 3

Il fine apparente era il furto di credenziali bancarie. 3

Perché la sola scansione statica è sotto pressione

Questi esempi indicano uno spostamento della logica del phishing: l'e-mail iniziale può avere un mittente che supera l'autenticazione e un link la cui intenzione non è subito evidente. Il comportamento decisivo si manifesta più avanti, nel browser:

• HTML e JavaScript possono nascondere la struttura iniziale del messaggio;
• le catene di redirect separano l'URL consegnato dalla destinazione effettiva;
• controlli su browser, fuso orario, localizzazione e tempistica possono distinguere una probabile vittima da un sistema automatico;
• le risposte condizionali possono sottrarre il contenuto più dannoso a sandbox e controlli reputazionali elementari. 35

La conclusione non è abbandonare l'autenticazione delle e-mail. È considerarla un segnale fra altri, insieme a contenuto del messaggio, reputazione del mittente, comportamento dei link e rischio della destinazione finale. 35

Priorità difensive

Un processo di sicurezza più solido deve analizzare l'intero percorso, non soltanto il primo segnale:

1. Normalizzare gli URL offuscati. Decodificare e canonicalizzare le forme di indirizzo insolite prima dei controlli reputazionali o delle policy.
2. Seguire tutte le catene di reindirizzamento. Valutare ogni passaggio e la pagina finale, non solo il link originale.
3. Analizzare il comportamento lato browser. Individuare redirect condizionali, fingerprinting, richieste nascoste e altri comportamenti che possono comparire solo dopo l'esecuzione della pagina.
4. Contestualizzare l'autenticazione. SPF, DKIM e DMARC aiutano a definire il livello di fiducia, ma non devono prevalere su segnali di contenuto o destinazione malevoli.
5. Misurare anche i falsi positivi. Un prodotto che blocca le minacce ma interrompe le e-mail legittime introduce un diverso rischio operativo. 35

Risultati: prestazioni molto diverse tra i prodotti

I risultati compositi riportati indicano che i prodotti più efficaci potevano raggiungere livelli di rilevamento complessivi molto elevati, ma le prestazioni non erano uniformi. Net at Work NoSpamProxy ha ottenuto un punteggio finale di 99,995 senza falsi positivi; Bitdefender GravityZone Premium ha totalizzato 99,994; SEPPmail.cloudfilter 99,985. Per Rspamd è stato riportato 62,5%. 35

Sono dati relativi a questo specifico test comparativo, non una garanzia universale in qualsiasi ambiente. Il divario conferma tuttavia la lezione pratica: per gestire mittenti autenticati, URL offuscati e flussi browser condizionali serve un'ispezione stratificata, non la dipendenza da un solo controllo. 135

In sintesi

Il resoconto sul VBSpam Q3 2026 illustra un modello di phishing basato su un'asimmetria semplice: gli aggressori possono far apparire accettabile l'e-mail al momento della consegna e rivelare la frode soltanto quando il browser del destinatario soddisfa determinate condizioni. L'autenticazione del mittente resta una componente necessaria dell'igiene di sicurezza, ma la decisione deve estendersi all'intera catena di redirect e all'esperienza web finale. 35