Mail sospette, spam nei form e dominio aziendale: cosa controllare

Una mail che sembra arrivare da un fornitore. Un form del sito pieno di messaggi strani. Un cliente che segnala una comunicazione sospetta a nome dell’azienda. Email “buone” che finiscono in spam.

Sembrano episodi separati, ma spesso rivelano lo stesso punto debole: il modo in cui l’azienda governa posta elettronica, sito web, dominio, strumenti e procedure.

Per la definizione generale puoi partire dal lemma dedicato allo spam. In questa guida entriamo nella parte operativa: cosa controllare, quando fermarsi, quali segnali osservare e quando coinvolgere chi gestisce sito, posta, dominio e sicurezza.

Questa guida ti è utile se:

• hai ricevuto una mail sospetta nella posta aziendale;
• qualcuno ha cliccato un collegamento, aperto un allegato o inserito dati;
• il sito riceve messaggi anomali da form, commenti o registrazioni;
• clienti o fornitori segnalano email sospette a nome dell’azienda;
• le email aziendali finiscono spesso in spam o vengono rifiutate.

Quando una mail sospetta diventa un problema aziendale

Una mail sospetta non è sempre un incendio. A volte è solo odore di bruciato. Diventa un problema quando coinvolge credenziali, pagamenti, dati, clienti, fornitori, sito web, dominio o reputazione aziendale.

Può presentarsi come una fattura inattesa, una richiesta urgente di accesso, un link verso una pagina di login, un allegato fuori contesto o un messaggio che usa il nome dell’azienda per comunicare con l’esterno.

La soglia scatta quando la richiesta esce dalle abitudini del rapporto: un importo insolito, un dominio diverso, un cambio IBAN, un accesso da confermare o un messaggio apparentemente credibile giunto fuori contesto.

Come valutare una mail sospetta nella posta aziendale

Prima di agire, valuta tre elementi: chi sembra aver inviato il messaggio, cosa chiede e dove prova a portarti.

Logo, tono professionale e la presenza di un nome noto creano fiducia apparente; account compromessi, documenti cloud, inviti di calendario, QR code e pagine di accesso imitate possono rendere l’inganno molto credibile.

Se la richiesta riguarda denaro, credenziali o dati sensibili, verificala attraverso un canale ufficiale esterno al messaggio.

Mittente, dominio e account apparentemente affidabili

Il nome visualizzato è facile da imitare. “Amministrazione”, “Supporto clienti” o il nome di un fornitore possono apparire anche quando l’indirizzo effettivo racconta altro.

Per questo il controllo parte dall’indirizzo email completo. Poi viene il contesto.

Anche un account conosciuto può essere compromesso; un cambio IBAN, un link inatteso o una minaccia di sospensione vanno confrontati con le abitudini del rapporto.

Controlla:

• nome visualizzato: chi appare come mittente;
• indirizzo email completo: l’indirizzo effettivo associato al nome visualizzato;
• dominio: la parte dopo la @ e l’eventuale dominio della pagina proposta;
• somiglianze sospette: trattini, estensioni di dominio insolite, lettere cambiate, caratteri confondibili;
• coerenza della richiesta: tono, tempistiche, importi, allegati, dati richiesti;
• relazione: quella persona o azienda ti ha mai scritto così, per quel motivo, con quel canale?

Una email credibile può meritare verifica proprio perché sembra normale. Anche gli errori grammaticali, da soli, sono ormai un indizio debole. Le campagne più curate riproducono tono, firme e formule aziendali con una precisione che rende molto più utile controllare contesto e richiesta.

Link, allegati, urgenza e richieste di credenziali

Molte mail sospette costruiscono una piccola emergenza – “aggiorna subito”, “il servizio sarà sospeso”, “pagamento non riuscito” – per spostare l’attenzione dal controllo all’azione. Provano a farci saltare il passaggio decisivo: guardare dove stiamo andando.

La destinazione si nasconde spesso dietro un pulsante, un URL abbreviato, un documento condiviso, un invito di calendario o un QR code.

Il quishing è una forma di phishing che usa un QR code al posto del normale link. Chi lo inquadra con lo smartphone rischia di finire su una falsa pagina di accesso, pagamento o verifica, creata per sottrarre credenziali, dati o denaro. Il codice rende meno immediata la verifica dell’indirizzo di destinazione; servizi cloud, CAPTCHA e schermate simili a quelle di portali conosciuti completano una cornice credibile.

Nel ghost phishing, la pagina malevola può restare cifrata durante i controlli iniziali e prendere forma soltanto quando il browser la decifra e la visualizza. Il collegamento può quindi apparire innocuo a una prima verifica. Aprirlo sul proprio dispositivo “per vedere cosa succede” espone a un rischio ulteriore; l’analisi spetta a chi dispone di strumenti e ambienti sicuri.

Segnali da osservare:

• link o pulsanti che conducono verso una pagina diversa da quella attesa;
• QR code inseriti in email, PDF o presunti avvisi di pagamento;
• allegati inattesi, soprattutto archivi compressi o protetti da password, file eseguibili e documenti con macro, che possono eludere alcuni controlli o veicolare malware;
• richieste di password, codici temporanei, dati di accesso, IBAN o informazioni riservate;
• urgenza legata a blocchi, sospensioni, penali, pagamenti o perdita di dati;
• testo generico, privo di riferimenti chiari a contratto, ordine, ticket, servizio o referente reale;
• messaggi che sfruttano bias cognitivi e fanno leva su paura, imbarazzo, autorità o pressione personale.

Se il messaggio cita una password usata in passato, la minaccia appare subito più credibile. Quella credenziale può provenire da vecchie violazioni, archivi esposti o caselle temporanee accessibili pubblicamente.

Lascia il messaggio senza risposta, sospendi il pagamento richiesto e cambia subito la password in tutti gli account in cui è ancora in uso.

Verifica tramite canali ufficiali e segnalazione interna

Quando una mail lascia un dubbio, sposta la verifica su un canale più affidabile. Sito ufficiale, app, contratto, CRM e recapiti già noti diventano i punti da cui controllare.

Procedi così:

1. Interrompi l’interazione

Evita link, allegati, QR code, risposte e collegamenti di disiscrizione contenuti nel messaggio.

2. Raggiungi il servizio dal canale ufficiale
   Digita l’indirizzo nel browser, usa un preferito già salvato o accedi dall’app ufficiale. Inserisci password e codici temporanei solo dopo essere entrato da uno di questi percorsi.
3. Verifica con un contatto già noto
   Usa recapiti presenti nel contratto, nel CRM, nell’area riservata o sul sito ufficiale e coinvolgi il referente interno che gestisce quel rapporto.
4. Segnala al team tecnico o al provider
   Segui la procedura aziendale e invia il messaggio come allegato o nel formato richiesto, così da preservare intestazioni e dettagli tecnici.
5. Conserva la prova
   Se il messaggio usa nome, logo, nome a dominio, firma o riferimenti aziendali, raccogli screenshot, mittente, link e altri elementi utili alla verifica.

Cosa fare nei tre scenari più comuni

Il livello di urgenza dipende da ciò che è già successo: una mail ricevuta senza altre interazioni richiede segnalazione; un link cliccato, un allegato aperto o dati inseriti richiedono contenimento; una comunicazione arrivata a clienti o fornitori coinvolge anche la fiducia nel brand.

Email ricevuta, senza clic o risposta

Se il messaggio è stato soltanto ricevuto o aperto, la priorità è segnalarlo e impedire ulteriori interazioni.

1. Segnala il messaggio come spam o phishing attraverso il client o la procedura interna.
2. Conserva il messaggio quando cita azienda, dominio, clienti, fornitori, pagamenti o documenti.
3. Avvisa il referente e, se la stessa comunicazione ha raggiunto altri colleghi, informa brevemente il team.
4. Controlla il caricamento delle immagini esterne: alcuni pixel remoti possono fornire segnali di apertura e confermare agli spammer che la casella è attiva.

Link cliccato, allegato aperto o dati inseriti

Un semplice clic, l’inserimento di credenziali, un download e un accesso remoto comportano rischi diversi. L’attenzione sale quando sono stati comunicati dati, concesse autorizzazioni o consentito il controllo del dispositivo.

1. Interrompi l’azione
   Chiudi la pagina, sospendi il download, interrompi la compilazione del modulo. Se dopo un picco improvviso di messaggi arriva una telefonata di presunto supporto tecnico, evita sessioni remote, installazioni guidate e codici dettati al telefono.
2. Comunica subito cosa è successo
   Indica al referente link, file o dati coinvolti, ora dell’azione, dispositivo e schermate visualizzate.
3. Cambia le credenziali da un ambiente sicuro
   Aggiorna la password dell’account coinvolto e di ogni account in cui è stata riutilizzata, preferibilmente da un dispositivo diverso da quello esposto.
4. Controlla accessi e protezioni dell’account
   Verifica sessioni, dispositivi, app autorizzate, regole di inoltro, metodi di recupero e autenticazione a due fattori. Un cambio di password può lasciare aperte sessioni già autorizzate: chiudi o rimuovi ciò che non riconosci.
5. Verifica il dispositivo
   Se hai aperto un allegato, installato un file o concesso accesso remoto, esegui una scansione con strumenti antimalware aggiornati. In presenza di anomalie, scollega il dispositivo dalla rete e segui le indicazioni del referente tecnico.
6. Valuta dati e comunicazioni coinvolte
   Ricostruisci quali informazioni potevano essere presenti in caselle, CRM, ticket, documenti e servizi collegati, cosa può essere stato visto, copiato o modificato e coinvolgi subito chi presidia sicurezza e protezione dei dati.

Clienti o fornitori ricevono email sospette a nome dell’azienda

Quando la segnalazione arriva dall’esterno, sono in gioco l’identità percepita dell’azienda e la fiducia nelle sue comunicazioni. Occorre distinguere tra imitazione del brand e compromissione di una casella, una rubrica, un account o un servizio collegato.

Da raccogliere subito:

• screenshot, data e ora del messaggio;
• mittente, dominio, link, QR code e allegati;
• richiesta contenuta nella comunicazione;
• riferimenti a ordini, fatture, ticket o rapporti esistenti;
• destinatari coinvolti ed eventuali intestazioni tecniche disponibili.

La gestione procede su due binari: verifica tecnica di caselle, accessi recenti, regole di inoltro, account amministrativi, servizi collegati e dominio usato; comunicazione esterna verso i destinatari potenzialmente esposti, quando emerge un rischio concreto per loro. L’avviso deve essere breve, riconoscibile e diffuso attraverso i canali ufficiali.

Un avviso utile potrebbe dire:

“Siamo a conoscenza di email sospette che usano impropriamente il nostro nome. Ignori richieste di pagamento, cambi di IBAN, allegati o richieste di dati non concordati. Per ogni verifica utilizzi esclusivamente i contatti ufficiali presenti sul nostro sito.”

Il tono fa parte della risposta. Una comunicazione ordinata riduce l’ambiguità, protegge la relazione e aiuta i destinatari a distinguere i messaggi autentici da quelli costruiti per sfruttare la fiducia.

Se lo spam arriva dal sito: form, commenti e registrazioni

A volte lo spam cambia ingresso. Lascia la casella email e passa dal sito: form, commenti, registrazioni o vecchie landing page rimaste online senza un presidio chiaro.

Ogni spazio che permette di inviare, iscriversi o creare un account richiede un controllo proporzionato; il costo cresce quando messaggi automatici e falsi lead entrano nei flussi aziendali.

Bot, messaggi ripetuti e falsi lead

Un bot è un software che esegue azioni automatiche. Alcuni sono utili, come quelli dei motori di ricerca; altri compilano form, creano account, lasciano commenti o provano a sfruttare moduli poco protetti.

I problemi iniziano quando gli invii sembrano contatti reali ed entrano nel CRM, l’archivio in cui l’azienda gestisce clienti, lead e trattative. Il reparto vendite spende tempo su messaggi, indirizzi e persone inesistenti, mentre il volume delle richieste sovrastima la domanda reale.

Il rumore diventa costo quando viene scambiato per domanda reale.

Plugin, aggiornamenti, moderazione e rate limiting

Il primo controllo consiste nel mappare tutti i punti da cui qualcuno può inviare qualcosa: form di contatto e preventivo, commenti, newsletter, registrazioni, login, aree riservate e vecchie pagine promozionali.

Ogni spazio aperto dovrebbe avere una ragione d’essere e un responsabile.

Controlli utili:

• cura la manutenzione del sito: aggiorna CMS, temi e plugin. il CMS è il sistema con cui gestisci il sito; i plugin sono componenti aggiuntivi. Versioni vecchie o abbandonate possono esporre vulnerabilità già note;
• elimina i moduli inutili: un vecchio form può continuare a ricevere spam anche se nessuno lo usa più davvero;
• modera ciò che viene pubblicato: commenti, profili e contenuti inviati dagli utenti dovrebbero passare da approvazione o revisione;
• limita gli invii ripetuti: il rate limiting mette un tetto alle azioni troppo ravvicinate, per esempio troppi invii dallo stesso indirizzo in pochi minuti;
• usa controlli anti-bot proporzionati: un honeypot è un campo invisibile agli utenti reali e spesso compilato dai bot; CAPTCHA e verifiche aggiuntive vanno riservati ai punti con maggiore esposizione;
• controlla le anomalie ricorrenti: picchi improvvisi, molte richieste simili, invii rapidissimi o provenienze insolite meritano attenzione.

Proteggere i moduli richiede anche visibilità su ciò che i filtri fermano: quali form attirano più spam, quali invii vengono classificati come sospetti e se tra questi compaiono richieste autentiche. Così si recuperano i falsi positivi e si capisce dove nasce il problema.

Analytics sporchi e dati poco affidabili

Il rumore prodotto dai moduli scorre verso CRM, analytics, automazioni e report.

Bot, invii automatici e visite anomale possono gonfiare traffico, sorgenti e conversioni, offrendo un quadro alterato.

Perché interessa al marketing

Un CRM pieno di contatti fantasma indebolisce priorità commerciali, segmenti, newsletter e automazioni. Dati di analytics contaminati rendono meno leggibile il contributo di SEO, campagne e referral.

Prima di giudicare una sorgente, conviene confrontare tre viste:

• i dati di analytics;
• i log, cioè i registri tecnici delle attività del sito;
• la qualità delle richieste arrivate a chi gestisce vendite o contatti.

Il confronto aiuta a distinguere domanda reale, rumore tecnico e automazioni prima di prendere decisioni di marketing.

Se il problema riguarda il dominio o la consegna delle email

A volte il problema si vede da fuori: un preventivo non arriva, una conferma finisce nella posta indesiderata, una newsletter viene filtrata, un cliente dice di non avere ricevuto nulla.

In questi casi contano il modo in cui provider e filtri antispam riconoscono il dominio aziendale e la coerenza tecnica con cui si presentano caselle, newsletter, CRM, gestionali e notifiche del sito.

Segnalazioni spam, blacklist e reputazione del mittente

La reputazione del mittente è la fiducia tecnica che i servizi email associano a un dominio, a un indirizzo IP o a una piattaforma di invio.

Si costruisce nel tempo e può peggiorare quando aumentano segnalazioni spam, errori di consegna, invii verso caselle inesistenti, volumi improvvisi o messaggi inviati da strumenti configurati male.

Per gli invii verso account Gmail personali, Google consiglia di mantenere il tasso di segnalazioni spam sotto lo 0,1% e di evitare che raggiunga lo 0,3%, soglia associata a un impatto più marcato sulla consegna.

Le liste di parole “vietate” nell’oggetto spiegano, da sole, il recapito in spam. Gli studi recenti sugli oggetti misurano soprattutto le aperture: descrivono il comportamento dei destinatari più che quello dei filtri antispam.

Per valutare la consegna vanno letti insieme autenticazione, reputazione, qualità delle liste, frequenza degli invii, mancati recapiti, segnalazioni e comportamento dei destinatari.

Per newsletter e comunicazioni ricorrenti contano anche destinatari che hanno scelto di riceverle, liste curate e una disiscrizione semplice. La qualità della relazione con chi riceve entra così nella reputazione del mittente insieme alla configurazione tecnica.

Anche una blacklist va letta dentro questo insieme di segnali: è un elenco usato da alcuni sistemi per segnalare mittenti, server o domini associati ad attività sospette.

La presenza in uno di questi elenchi può incidere sulla consegna, ma va sempre valutata insieme ad altri elementi: mancati recapiti, volumi irregolari, caselle inesistenti, plugin del sito, CRM, newsletter o gestionali configurati senza un’autenticazione coerente.

Il dominio è ben più di un indirizzo. È una parte della fiducia con cui l’azienda chiede il permesso di entrare nella posta elettronica di altri.

Email di errore e di ritorno: casella compromessa o indirizzo sfruttato

A volte il segnale arriva dall’interno della casella, che inizia a ricevere numerose email di errore e di ritorno. Dietro questo sintomo si nascondono due situazioni molto diverse, da distinguere perché richiedono interventi opposti.

Nel primo caso la casella è realmente compromessa. Qualcuno è entrato con le credenziali corrette e la utilizza per inviare spam. Poiché i messaggi partono verso liste molto ampie, una parte raggiunge indirizzi inesistenti e la casella riceve una quantità anomala di email di errore. Qui l’account va messo in sicurezza subito: cambio password, chiusura delle sessioni attive, controllo di eventuali regole di inoltro o filtri impostati di nascosto e attivazione dell’autenticazione a due fattori.

Nel secondo caso la casella non è stata violata. Lo spam parte da un altro server, che imposta l’indirizzo aziendale come reply-to. Molti server destinatari rifiutano subito questi messaggi, perché chi li invia non è autorizzato a inviare per il dominio. Altri, però, li accettano e restituiscono un avviso di mancata consegna proprio all’indirizzo indicato come reply-to: da qui le numerose email di ritorno che arrivano senza che sia stato inviato nulla.

In questo secondo scenario non c’è nulla da ripulire nella casella: la difesa si gioca a monte, sulla configurazione del dominio. Sono i controlli di autenticazione descritti qui sotto a indicare ai server destinatari quali sistemi possono inviare per il dominio, riducendo così sia l’uso improprio dell’indirizzo sia i messaggi di ritorno.

SPF, DKIM e DMARC come controlli minimi

SPF, DKIM e DMARC sono controlli di autenticazione email.

Aiutano i server destinatari a verificare quali sistemi possono inviare per il dominio, quale dominio firma il messaggio e se questi elementi risultano allineati con il mittente visibile.

Il loro compito riguarda autenticazione e allineamento del dominio; sicurezza del contenuto e legittimità della richiesta richiedono controlli ulteriori.

Dal 1° febbraio 2024 Google richiede almeno SPF o DKIM a tutti i mittenti che inviano verso account Gmail personali.

Per i mittenti collettivi – 5.000 o più messaggi in 24 ore verso account Gmail personali – Google richiede, tra gli altri requisiti, SPF, DKIM e DMARC.

Anche sotto questa soglia, configurarli tutti e tre offre una base solida di igiene della posta elettronica.

Una ricerca su 12 milioni di domini ha rilevato un record SPF nel 56,5% dei casi. Il 2,9% dei record conteneva errori o regole inefficaci; il 34,7% dei domini autorizzava oltre 100.000 indirizzi IP.

Pubblicare il record è soltanto il primo passo: occorre configurarlo in modo coerente con tutti i servizi di invio.

Per il titolare o il responsabile marketing resta una domanda utile: ogni strumento che invia per conto dell’azienda è conosciuto e autorizzato?

Quando serve un intervento tecnico o strategico

Serve un intervento più strutturato quando i segnali diventano ricorrenti, attraversano più canali o nessuno riesce a ricostruire da dove partono i messaggi, dove finiscono i dati e chi deve intervenire.

Nei progetti che analizziamo, la criticità emerge spesso quando form, newsletter, CRM e caselle sono stati aggiunti in momenti diversi e la mappa dei flussi è rimasta indietro.

Ogni team vede il proprio pezzo; l’azienda, però, perde il quadro d’insieme.

Sito web

• form invasi da messaggi automatici;
• commenti o registrazioni sospette ricorrenti;
• plugin datati, moduli dimenticati o configurazioni troppo permissive.

Posta e dominio

• email aziendali spesso in posta indesiderata o rifiutate;
• segnalazioni spam, blacklist o mancati recapiti in aumento;
• strumenti di invio privi di un presidio comune.

Brand e dati

• clienti o fornitori ricevono comunicazioni sospette a nome dell’azienda;
• CRM e analytics vengono contaminati da traffico o lead artificiali;
• nessuno sa con chiarezza chi debba verificare, decidere o comunicare.

Quando l’inganno attraversa più canali

Le minacce recenti spiegano perché il controllo deve superare la sola casella.

Nel Q4 2025, secondo i dati VIPRE ripresi da Information Security Buzz, nel campione analizzato gli account compromessi sono stati la principale origine dello spam osservato.

Molti messaggi rischiosi partono quindi da caselle reali e domini conosciuti: il mittente familiare diventa parte dell’inganno.

Con Business Email Compromise (BEC) si indicano truffe che imitano figure aziendali, fornitori o responsabili amministrativi per ottenere pagamenti, cambi di coordinate bancarie o informazioni riservate.

Nel Q4 2025, il BEC ha rappresentato il 51% delle truffe via email analizzate da VIPRE e l’impersonificazione l’82% dei casi. Sono dati che spiegano perché cambi di IBAN, pagamenti e richieste attribuite a dirigenti o responsabili meritino un secondo canale di verifica.

Anche il callback phishing è cresciuto, passando dal 3% al 18% delle attività di phishing rilevate. In questo caso l’email contiene poca materia tecnica da intercettare: spinge però a telefonare e trasferisce l’inganno su una voce umana.

Qui sicurezza e brand si incontrano.

I segnali della fiducia – logo, dominio, tono e protocolli tecnici – sono sempre più facili da imitare e da verificare. Acquistano valore quando rimandano a un sistema coerente di canali ufficiali, responsabilità e controlli.

L’intervento tecnico mette ordine su configurazioni, accessi, dominio, sito e strumenti; quello strategico chiarisce responsabilità, comunicazioni, dati e fiducia.

Schema rapido: segnale, rischio, controllo utile

Quando qualcosa non torna, collega il segnale al punto giusto: posta, sito, dominio, dati o organizzazione. Da questa prima lettura capisci se basta un controllo locale o se il problema attraversa più parti del sistema.

Mail, form, dominio e dati compongono lo stesso ecosistema digitale. La sua qualità emerge nei momenti di dubbio: una segnalazione esterna, un dato incoerente, una comunicazione autentica trattata come sospetta.

Il vero presidio si riconosce dalla capacità di ricostruire rapidamente cosa è successo, quali strumenti sono coinvolti e chi deve agire.

Se posta, sito e dominio restituiscono segnali incoerenti, in Ingigni possiamo aiutarti a ricostruire il problema con uno sguardo tecnico e strategico e a capire quando coinvolgere uno specialista di sicurezza, prima che il rumore diventi confusione.