L’email security è l’insieme di tecnologie e procedure che protegge la posta elettronica aziendale da phishing, malware e frodi. Combina filtri, protezione degli account, regole procedurali e formazione del personale.
La posta elettronica è uno dei principali canali operativi di un’impresa: ordini, fatture, preventivi e contatti con clienti e fornitori passano ogni giorno dalle caselle aziendali. Proprio per questo è anche uno dei bersagli preferiti dagli attacchi informatici con conseguenze che possono includere perdite economiche, interruzioni operative, rischi legali e danni reputazionali. Un messaggio di posta elettronica malevolo può raggiungere direttamente chi gestisce pagamenti, dati sensibili e credenziali. L’email security interviene su questo fronte con un insieme di misure tecniche e organizzative pensate per prevenire, riconoscere e bloccare le minacce.
Cos’è l’email security e perché riguarda le PMI
L’email security comprende le difese tecniche e organizzative della posta aziendale. Include filtri antispam e antiphishing, autenticazione del dominio mittente, protezione degli accessi e regole operative per chi gestisce messaggi e pagamenti.
Email security (sicurezza della posta elettronica): insieme di tecnologie, configurazioni e procedure che proteggono gli account email da minacce informatiche e compromissioni. Comprende la difesa da messaggi fraudolenti, allegati malevoli e accessi non autorizzati, con l’obiettivo di mantenere riservate e sicure le comunicazioni aziendali e prevenire compromissioni e violazioni dei dati.
Per una PMI la posta concentra un valore che nessun altro strumento raggiunge: storico dei rapporti commerciali, coordinate bancarie dei fornitori, documenti, credenziali. Una casella violata permette a un intruso di leggere le trattative in corso, inserirsi in uno scambio reale e dirottare un pagamento. La difesa si costruisce su livelli complementari.
- Sicurezza della posta in ingresso: filtraggio di spam, phishing e allegati malevoli prima della consegna.
- Autenticazione del dominio: configurazione di SPF, DKIM e DMARC per verificare l’autenticità delle email inviate dal dominio aziendale e contrastare i tentativi di spoofing e impersonificazione.
- Protezione degli account: autenticazione a più fattori (MFA) e password complesse e univoche.
- Regole procedurali: procedure di verifica delle richieste di pagamento, delle modifiche delle coordinate bancarie e delle operazioni anomale.
- Security Awareness: formazione periodica del personale sulla sicurezza informatica, finalizzata a ridurre i rischi derivanti da comportamenti involontari.
Perché l’email è il canale più esposto di un’azienda?
L’email è il canale più esposto perché è aperto per definizione. Chiunque può scrivere a una casella aziendale. Gli indirizzi sono pubblici e ogni messaggio può portare link e allegati. Un gestionale o una VPN (Virtual Private Network) hanno un perimetro riservato. La posta no. Vale anche per la PEC (Posta Elettronica Certificata): la certificazione garantisce l’integrità della trasmissione, non l’affidabilità del contenuto.
Phishing e PMI italiane: le dimensioni del fenomeno
Il phishing è la minaccia più frequente veicolata via email in Italia. Nel 2025 le campagne di phishing censite sono state 1.922 su 3.620 totali e gli attacchi basati sull’inganno sono cresciuti del 66%.
Phishing: un tipo di minaccia alla sicurezza informatica basata su messaggi di posta malevoli, in apparenza inviati da enti o fornitori legittimi. E' un tipo di attacco di ingegneria sociale che mira a sottrarre informazioni sensibili, come nomi utente, password e numeri di carte di credito, al fine di utilizzare o vendere le informazioni sottratte.
Il CERT-AGID, la struttura dell'Agenzia per l'Italia Digitale che monitora le campagne malevole rivolte all'Italia, indica la posta ordinaria come canale predominante. La crescita è spinta anche dall'intelligenza artificiale, che elimina gli errori linguistici che un tempo tradivano i messaggi. Il quadro degli attacchi informatici alle PMI mostra che le imprese piccole non sono bersagli marginali: hanno difese più leggere e controlli sui pagamenti meno strutturati.
Secondo il report CERT-AGID 2025, in Italia sono state censite 3.620 campagne malevole, di cui 1.922 di phishing (53%), con 103 eventi via PEC (+80% sul 2024). Il Rapporto Clusit 2026 rileva una crescita del 66% di phishing e social engineering in Italia nel 2025.
Quali forme di phishing colpiscono le aziende?
Le forme più diffuse contro le aziende sono quattro: il phishing di massa (invio indiscriminato di numerose email fraudolenti), lo spear phishing (attacco mirato a una specifica persona all’interno di un’organizzazione), la BEC (Business Email Compromise), nota come frode del CEO o del falso bonifico, progettata per impersonare i dirigenti senior e indurre dipendenti, clienti o fornitori a trasferire pagamenti per beni o servizi su conti bancari alternativi), il whaling (è un attacco di phishing strategico mirato a dirigenti e figure aziendali di alto profilo, che sfrutta l'impersonificazione e la costruzione graduale della fiducia per ottenere credenziali, accessi o altre informazioni sensibili).
Come riconoscere un'email di phishing in azienda
Un'email di phishing si riconosce da un mittente incoerente con il dominio dichiarato e dai toni di urgenza su pagamenti o credenziali. Altri segnali: link incoerenti, allegati inattesi e richieste fuori procedura.
Il riconoscimento non può basarsi su un solo indizio. Chi gestisce ordini, pagamenti e credenziali dovrebbe verificare sempre questi elementi.
- Dominio del mittente: differenze minime dal dominio ufficiale, come una lettera cambiata. È il segnale più affidabile.
- Urgenza e pressione: scadenze immediate e minacce di blocco del servizio. Servono a far saltare le verifiche.
- Link incoerenti: la destinazione reale non corrisponde al sito dichiarato. Si vede passando il cursore sul collegamento.
- Allegati inattesi: fatture in formato compresso, file HTML o documenti con macro da abilitare.
- Richieste anomale: cambi di IBAN, pagamenti fuori procedura, credenziali da confermare su una pagina esterna.
Cosa controllare prima di aprire un allegato o un link?
Prima di aprire un allegato o un link vanno controllati tre elementi: l'indirizzo completo del mittente e non solo il nome visualizzato, la destinazione reale del collegamento e la coerenza della richiesta con i processi aziendali. Per richieste di pagamento o modifiche delle coordinate bancarie, è inoltre necessario effettuare una verifica attraverso un canale diverso dall'email. Ad esempio, è possibile contattare direttamente il fornitore utilizzando il numero di telefono già presente nei contatti aziendali, senza utilizzare eventuali recapiti indicati nella richiesta ricevuta via email. Questo doppio controllo riduce significativamente il rischio di frodi.
Credenziali inserite su una pagina contraffatta devono essere modificate immediatamente. La possibile compromissione deve essere tempestivamente segnalata al referente IT e devono essere verificati gli eventuali inoltri automatici configurati sulla casella di posta.
Come riconoscere e bloccare un'email di phishing: i passaggi fondamentali
-
1
Verifica il dominio del mittente
Non fermarti al nome visualizzato: verifica il dominio e cerca piccole anomalie, come una lettera sostituita o un indirizzo quasi identico a quello ufficiale. E' uno dei segnali più importanti per riconoscere un tentativo di phishing.
-
2
Analizza i segnali di urgenza e pressione
Individua scadenze immediate, richieste perentorie e minacce di blocco del servizio. Sono tattiche usate per spingerti ad agire senza verificare: un chiaro campanello d'allarme di possibile phishing.
-
3
Controlla la destinazione reale dei link
Passa il cursore sui collegamenti per verificare che la destinazione reale corrisponda al sito dichiarato. Link incoerenti sono un chiaro indicatore di frode.
-
4
Esamina gli allegati con cautela
Diffida da fatture in formato compresso, file HTML o documenti con macro da abilitare. Gli allegati inattesi sono spesso vettori di malware.
-
5
Valuta la coerenza della richiesta
Verifica che la richiesta sia in linea con i processi aziendali. Cambi di IBAN, pagamenti fuori procedura e richieste di credenziali su pagine esterne sono anomalie sospette.
-
6
Esegui una verifica attraverso canale alternativo
Per pagamenti o modifiche bancarie, contatta direttamente il fornitore usando numeri di telefono già presenti nei contatti aziendali, senza utilizzare recapiti forniti via email. Questo doppio controllo riduce significativamente il rischio di frodi.
-
7
Segnala immediatamente eventuali compromissioni
Se credenziali sono state inserite su una pagina contraffatta, modificale immediatamente e segnala al referente IT. Verifica gli inoltri automatici configurati sulla casella di posta.
Protezioni tecniche: SPF, DKIM, DMARC e secure email gateway
Le protezioni tecniche di base per la posta aziendale sono tre. I protocolli SPF, DKIM e DMARC autenticano il dominio, un secure email gateway filtra i messaggi prima della consegna e l'autenticazione Multi-Fattore protegge gli accessi alle caselle.
SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting and Conformance): tre protocolli che autenticano il dominio mittente. Dicono ai server riceventi come trattare i messaggi non autorizzati.
Secure Email Gateway (gateway di sicurezza email): servizio in cloud che analizza i messaggi prima della consegna. Blocca spam, phishing, allegati malevoli e collegamenti pericolosi.
SPF, DKIM e DMARC si configurano nei record DNS (Domain Name System) del dominio aziendale. Proteggono i destinatari dallo spoofing del dominio e migliorano la consegna della posta legittima. Il gateway lavora invece sulla posta in arrivo: apre gli allegati in ambiente isolato e riscrive i link prima della consegna.
| Misura | Cosa fa | Minaccia coperta | Complessità |
|---|---|---|---|
| SPF, DKIM, DMARC | Autentica il dominio mittente | Spoofing del dominio | Configurazione DNS una tantum |
| Secure Email Gateway | Filtra messaggi, link e allegati | Phishing di massa, malware | Attivazione in cloud, canone per casella |
| MFA | Blocca accessi con credenziali rubate | Furto di credenziali | Inclusa nelle suite di posta |
| Formazione periodica | Riduce i clic sui messaggi sospetti | Spear phishing, BEC | 2-4 ore l'anno per addetto |
Serve un Secure Email Gateway a una PMI?
Un Secure Email Gateway è una soluzione di sicurezza particolarmente utile per le PMI che utilizzano la posta elettronica per gestire pagamenti, dati dei clienti o documenti riservati. I normali filtri antispam inclusi nelle suite di posta elettronica offrono una protezione di base, soprattutto contro spam e minacce comuni. Un Secure Email Gateway aggiunge livelli di protezione più avanzati, come l'analisi degli allegati, il controllo dei collegamenti e il rilevamento dei tentativi di phishing e frodi mirate. Per un'azienda con16-50 dipendenti l'adozione può essere economicamente accessibile: le soluzioni cloud non richiedono infrastrutture dedicate e sono generalmente disponibili con un costo ricorrente per casella di posta. Secondo ENISA (Threat Landscape, 2025), il phishing resta tra i principali vettori di accesso iniziale in Europa.
Formazione, processi e budget: la difesa che regge nel tempo
La difesa organizzativa di una PMI poggia su tre elementi: formazione periodica del personale con simulazioni di phishing, procedure di verifica per pagamenti e cambi IBAN e un budget dedicato, sostenibile anche con gli incentivi pubblici.
La frodi mirate possono raggiungere direttamente la casella del destinatario legittimo. Per questo, le procedure organizzative sono importanti quanto i sistemi di filtraggio. Una procedura formalizzata che preveda la verifica tramite un canale indipendente per ogni richiesta di modifica dell'IBAN consente di prevenire le frodi sui pagamenti, anche quando il messaggio fraudolento risulta particolarmente credibile. La formazione è più efficace se erogata con continuità: sessioni brevi e periodiche, integrate da simulazioni pratiche, favoriscono una maggiore consapevolezza e capacità di riconoscimento delle minacce rispetto a un'unica sessione formativa annuale. Il voucher cloud e cybersecurity del MIMIT finanzia i servizi di sicurezza per le PMI, con domande dal 10 novembre 2026.
Secondo il Cyber Index PMI 2026, promosso da Generali e Confindustria con l'Agenzia per la Cybersicurezza Nazionale (ACN), l'indice medio di consapevolezza cyber delle PMI italiane è 55 su 100, sotto la soglia di sufficienza di 60. Circa una PMI su quattro ha subito una violazione negli ultimi tre anni.
Un ultimo punto riguarda l'infrastruttura. Filtri in cloud, aggiornamenti continui e autenticazione esterna richiedono una connessione stabile e dimensionata sulle postazioni. La verifica della copertura fibra dell'ufficio è il punto di partenza: dice quali tecnologie di accesso sono disponibili nella sede.
Le misure a costo nullo, come DMARC, MFA e la doppia verifica delle richieste di pagamento, costituiscono il primo livello di protezione. Successivamente, possono essere valutati l'adozione di un Secure Email Gateway e programmi di formazione, in funzione delle risorse disponibili e dell'eventuale budget previsto dal voucher.
Domande frequenti su email security e phishing PMI
Una email di phishing si riconosce dal dominio del mittente incoerente con quello ufficiale, dai toni di urgenza su pagamenti o credenziali, da link con destinazione diversa dal sito dichiarato e da allegati inattesi. Il nome visualizzato non basta: va controllato l'indirizzo completo. Nel dubbio, la conferma va chiesta al fornitore su un canale diverso dall'email.
Le prime azioni sono quattro: cambiare subito le password esposte, avvisare il referente IT, controllare gli inoltri automatici sulla casella e verificare i movimenti bancari recenti. Se sono coinvolti dati personali, il GDPR (Regolamento generale sulla protezione dei dati) impone di valutare la notifica al Garante privacy entro 72 ore dalla scoperta.
Sono tre protocolli di autenticazione della posta elettronica. SPF elenca i server autorizzati a inviare per il dominio, DKIM firma digitalmente i messaggi in uscita e DMARC dice ai server riceventi come trattare i messaggi che falliscono i controlli. Si configurano nei record DNS del dominio, senza software sulle postazioni.
La direttiva NIS2 (Network and Information Security 2) include la formazione sulla sicurezza tra le misure richieste ai soggetti nel suo perimetro. Gran parte delle PMI sotto i 50 dipendenti resta fuori dal perimetro. La formazione riduce comunque il rischio. I criteri sono descritti nella guida agli obblighi NIS2 per le PMI.
SPF, DKIM e DMARC hanno il solo costo dell'intervento tecnico sul DNS. Un secure email gateway in cloud costa indicativamente da 2 a 7 euro per casella al mese. La formazione con simulazioni vale poche decine di euro per addetto l'anno. Come benchmark, un'impresa di 30 addetti resta sotto i 3.000 euro annui, in parte finanziabili con il voucher.
