Falsificazione Mittente Email: Email Spoofing (T1684.002)
Email Spoofing è una tecnica di offuscamento identitario in cui l'attaccante manipola i campi header del messaggio — in particolare il campo From, Reply-To e Return-Path — per far apparire l'email come proveniente da un mittente legittimo. La tecnica è catalogata sotto la tattica TA0005 (Stealth) perché il suo scopo non è compromettere sistemi ma mimetizzarsi nel flusso di comunicazione legittima, aggirando la percezione della vittima e i controlli di posta.
Il meccanismo sfrutta la natura originariamente fiduciaria del protocollo SMTP, che non prevede autenticazione nativa del mittente. Le contromisure moderne — SPF, DKIM e DMARC — sono state introdotte proprio per colmare questa lacuna, ma la loro efficacia dipende interamente dalla configurazione. Una policy DMARC debole come v=DMARC1; p=none; fo=1; segnala il fallimento ma non blocca la consegna, lasciando la porta aperta a spoofing su larga scala.
Nella kill chain, l'Email Spoofing si colloca a cavallo tra Resource Development e Initial Access, come vettore abilitante per phishing, business email compromise (BEC) e social engineering mirato. Casi noti includono l'abuso della funzionalità Direct Send di Microsoft 365, che consente a dispositivi interni (stampanti, scanner) di inviare email senza autenticazione, permettendo a un attaccante esterno di impersonare utenti interni. L'impatto economico globale del BEC, di cui lo spoofing è pilastro, supera i 50 miliardi di dollari secondo le stime FBI IC3 cumulative.
In un ingaggio red team autorizzato, la simulazione di Email Spoofing parte dalla ricognizione DNS del dominio target per verificare la postura SPF/DKIM/DMARC. Il comando classico è:
dig +short TXT _dmarc.target.tld
dig +short TXT target.tld | grep spf
Se il record DMARC restituisce p=none o p=quarantine senza allineamento stretto, il dominio è candidato allo spoofing diretto. Strumenti come MailSpoof (open source), Spoofcheck di BishopFox (open source) e checkdmarc (open source, disponibile via pip) automatizzano questa analisi restituendo un verdetto sulla vulnerabilità.
Per la fase di delivery in laboratorio, swaks (open source, Swiss Army Knife for SMTP) è lo strumento di riferimento per costruire messaggi con header arbitrari:
swaks --to vittima@lab.local --from "CEO ceo@target.tld" --header "Reply-To: attacker@evil.tld" --server mx.lab.local
Questo consente di testare come i gateway di posta gestiscono la discrepanza tra envelope sender (MAIL FROM) e header From, che è il cuore della tecnica. Per campagne più strutturate, framework come GoPhish (open source) e King Phisher (open source, non più attivamente manutenuto ma funzionale) permettono di orchestrare invii massivi con tracking, mentre Evilginx3 (open source) estende lo scenario verso il furto di sessione post-clic.
Lo scenario di abuso di Microsoft 365 Direct Send merita attenzione operativa: l'endpoint tenant-name.mail.protection.outlook.com accetta connessioni non autenticate da qualsiasi IP per email destinate a utenti interni con dominio del tenant. Un red team può simulare l'invio con swaks puntando direttamente all'MX del tenant, impostando come From un utente interno reale. Se il tenant non ha configurato regole di transport rule restrittive o disabilitato Direct Send, il messaggio viene consegnato bypassando i controlli anti-spoofing standard.
Sul fronte della preparazione dei payload, l'analisi degli header di risposta con swaks --dump rivela quali indicatori di autenticazione (Authentication-Results, Received-SPF, ARC-Authentication-Results) il receiver aggiunge, informazione preziosa per rifinire la tecnica. In ambiente laboratorio è opportuno documentare ogni test in un rules of engagement scritto, mantenendo il traffico confinato a domini di proprietà dell'organizzazione o registrati per il test (evitando quindi impersonation di terze parti reali senza autorizzazione).
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo