Email sospette: analisi del phishing con HSI Email Analyzer
Email sospette e messaggi di phishing richiedono verifiche prima di aprire collegamenti, scaricare allegati o comunicare dati riservati. HSI Email Analyzer è uno strumento gratuito che esamina il testo di un messaggio e alcune intestazioni, individuando indicatori di rischio tramite controlli euristici eseguiti nel browser.
Puoi incollare il contenuto della comunicazione oppure importare un file .eml o .txt. L’analisi evidenzia parole ricorrenti nei tentativi di frode, caratteristiche di determinati URL e informazioni dichiarate nelle intestazioni. Non consulta automaticamente blacklist, non apre i link e non determina con certezza se il mittente sia autentico. La verifica preliminare delle email sospette richiede sempre di considerare il contesto della comunicazione.
Indice dei contenuti
Email sospette: sette categorie di segnali da controllare
L’analizzatore considera sette gruppi di indicatori, senza attribuire a ciascuno il valore di una prova definitiva. Un messaggio legittimo può contenere termini urgenti o indirizzi abbreviati, mentre una frode ben costruita potrebbe non attivare alcuna regola. Il risultato serve a orientare una verifica successiva, non a classificare infallibilmente la posta ricevuta. È particolarmente utile quando le email sospette contengono più segnali contemporaneamente.
Urgenza, credenziali e richieste economiche
Fra i segnali esaminati rientrano espressioni come «account sospeso», «ultimo avviso» o «verifica ora». Il modulo ricerca anche riferimenti a password, codici OTP, PIN e dati della carta, oltre a parole collegate a bonifici, rimborsi o pagamenti. Questi elementi possono comparire nelle email sospette, soprattutto quando il messaggio invita a reagire immediatamente.
La presenza delle parole, tuttavia, non equivale a una richiesta fraudolenta: una comunicazione informativa sulla sicurezza può citare le stesse espressioni. Il contesto e il rapporto con il presunto mittente devono essere valutati separatamente. Per approfondire le modalità delle frodi consulta la scheda sul phishing del CERT-AGID.
URL, collegamenti abbreviati ed estensioni dei file
HSI Email Analyzer individua fino a 50 URL HTTP o HTTPS presenti nel testo e segnala alcune caratteristiche: uso di HTTP non cifrato, indirizzi IPv4 diretti, credenziali incorporate nell’URL e servizi di abbreviazione riconosciuti dal modulo. Cerca inoltre riferimenti testuali a estensioni potenzialmente eseguibili, come .exe, .scr e .vbs.
Questa ricerca non apre i siti, non risolve la destinazione finale dei link abbreviati e non esamina il contenuto effettivo degli allegati. Per questo, nell’analisi delle email sospette un collegamento apparentemente regolare non deve essere considerato automaticamente affidabile.
Mittente, Reply-To e intestazioni di autenticazione
Quando sono presenti le intestazioni From e Reply-To, il programma confronta i domini degli indirizzi rilevati. Una differenza può meritare attenzione, ma è possibile anche nei normali flussi di assistenza, newsletter e servizi esternalizzati.
Se il testo contiene un’intestazione Authentication-Results, il modulo cerca gli esiti dichiarati spf=fail, dkim=fail o dmarc=fail e segnala eventuali pass. Non esegue verifiche DNS o controlli crittografici indipendenti: legge soltanto le informazioni che hai fornito. Le intestazioni devono essere interpretate considerando il server che le ha prodotte e la loro attendibilità, come descritto nella RFC 8601.
Come analizzare email sospette con HSI Email Analyzer
Per esaminare un messaggio puoi seguire questi tre passaggi:
- Incollare il testo: copia il contenuto dell’email o le intestazioni disponibili nel campo principale.
- Importare un file: scegli un documento
.emlo.txt, di dimensione massima pari a 1 MiB. Il modulo legge localmente il file e inserisce nel campo i primi 120.000 caratteri. - Avviare la verifica: premi «Analizza indicatori» per ottenere un elenco dei segnali riconosciuti. Il pulsante «Cancella» elimina il contenuto selezionato e il rapporto precedente.
Un file .eml viene trattato come testo: il programma non ricostruisce integralmente la struttura MIME, non decodifica automaticamente tutti i contenuti e non esegue gli allegati. È quindi preferibile includere le intestazioni originali quando sono disponibili e pertinenti all’accertamento.
Come interpretare il punteggio euristico
Il rapporto somma pesi assegnati alle regole attivate. Un valore da 0 a 2 produce «Nessun indicatore rilevante nei controlli di base»; da 3 a 6 segnala «Alcuni indicatori di sospetto»; da 7 in su indica «Elevati indicatori di sospetto». Vengono inoltre elencate le motivazioni e il numero dei collegamenti identificati. Nelle email sospette è importante leggere questi dettagli, non soltanto il livello riepilogativo.
Il punteggio non è una percentuale di rischio né una probabilità di phishing. Può aumentare per più espressioni o più URL rilevati, e non sostituisce una valutazione tecnica dell’origine del messaggio. In particolare, l’assenza di avvisi nelle email sospette non dimostra la sicurezza del contenuto.
Privacy e limiti della verifica nel browser
Il codice operativo di HSI Email Analyzer elabora il testo localmente nel browser, senza prevedere l’invio del messaggio a un servizio remoto di analisi. Questa caratteristica non equivale a una garanzia sull’intera pagina WordPress, che può includere altri script, componenti o estensioni del browser.
Prima di incollare email sospette contenenti dati personali o informazioni aziendali riservate, valuta la necessità di oscurare dettagli non indispensabili. Non inserire password, chiavi di accesso o codici OTP validi: il modulo non ne ha bisogno per il controllo. L’esame delle email sospette non richiede la trasmissione di segreti o credenziali personali.
Lo strumento non è un antivirus, non consulta reputazioni di domini in tempo reale, non valida firme digitali e non esamina gli allegati. Inoltre, identificare una frase ricorrente nel phishing non permette di qualificare giuridicamente un messaggio come illecito.
Cosa fare quando un messaggio presenta anomalie
Se il rapporto evidenzia segnali nelle email sospette, evita di seguire collegamenti e di fornire informazioni sulla base della sola comunicazione ricevuta. Verifica la richiesta contattando l’organizzazione tramite recapiti recuperati autonomamente dal suo sito ufficiale, senza utilizzare quelli indicati nel messaggio dubbio.
Per un inquadramento delle campagne osservate puoi consultare gli avvisi del CERT-AGID. Se il messaggio richiama un ente pubblico, un istituto finanziario o un servizio di identità digitale, verifica il dominio effettivo e le comunicazioni pubblicate dal soggetto interessato.
HSI Email Analyzer fa parte del catalogo HSI Tools. Per ulteriori verifiche tecniche sugli URL e sul codice delle pagine puoi consultare anche Webmaster e sviluppatori. Nessuno di questi controlli, considerato singolarmente, certifica l’affidabilità di una comunicazione.
HSI TOOLS
HSI Email Analyzer — Phishing Check
Esamina segnali di rischio nel testo e nelle intestazioni delle email.
Analisi euristica, non garantisce che un messaggio sia sicuro o fraudolento. Gli esiti SPF/DKIM/DMARC copiati non costituiscono verifica crittografica indipendente. Nessun invio previsto dal tool.
Nota editoriale: contenuto revisionato con il supporto dell’intelligenza artificiale. L’immagine in evidenza è stata generata mediante IA a scopo illustrativo.