Anatomia di un attacco phishing: quando il Cloud diventa una trappola
Analisi tecnica di cybersecurity · Caso reale · 12 ottobre 2026
Il messaggio ricevuto è, con un livello di confidenza molto elevato, un tentativo di phishing. Non è una semplice comunicazione commerciale indesiderata e non ci sono elementi credibili per considerarlo un avviso autentico di un servizio cloud.
La cosa interessante, dal punto di vista della cybersecurity, è che l’attacco non cerca di convincere con argomenti tecnici particolarmente sofisticati. Cerca di provocare una reazione emotiva: la paura di perdere fotografie, documenti, contatti e backup personali.
È un ottimo caso da analizzare in un blog di divulgazione perché mostra come un attacco relativamente semplice possa diventare pericoloso quando combina una presentazione credibile, un falso problema tecnico e una richiesta urgente di intervento.
Qui la visione in modalità ‘SPAM’
1. Analisi del messaggio ricevuto
Valutazione del rischio: Phishing altamente probabile
- Mittente: news.makro.be Sospetto
- Link di destinazione: mebeli-za-hotela.info Non coerente
- Tecnica: Urgenza e perdita dei dati Social engineering
- Obiettivo probabile: Credenziali e dati di pagamento Da verificare
Primo indizio: il mittente non corrisponde al servizio dichiarato
Il messaggio si presenta come proveniente da:
Archiviazione Cloud <makro@news.makro.be>
Ma parla di backup di iPhone, iPad e Mac, lasciando intendere una relazione con iCloud di Apple.
Il dominio news.makro.be non è un dominio ufficiale Apple. Inoltre, il nome visualizzato Archiviazione Cloud non identifica alcun fornitore preciso.
Questo non dimostra da solo che l’indirizzo sia stato falsificato: potrebbe essere un indirizzo realmente utilizzato o abusato da terzi. Per capirlo servirebbero le intestazioni complete del messaggio.
Regola pratica: il nome del mittente è un’etichetta, non una prova d’identità.
Secondo indizio: la pressione psicologica
L’oggetto contiene tre elementi studiati per provocare una reazione:
- “Avviso finale”: fa credere che le precedenti opportunità siano scadute.
- “Eliminazione del file”: suggerisce una perdita imminente e irreversibile.
- “Il 95% dello spazio è occupato”: utilizza una percentuale precisa per dare apparente credibilità tecnica.
Nel corpo del messaggio compare un’ulteriore minaccia: un problema di pagamento potrebbe compromettere i dati e provocare malfunzionamenti del dispositivo.
Qui c’è un’importante incongruenza: avere poco spazio cloud non equivale a mettere in pericolo il funzionamento fisico del dispositivo. Uno spazio insufficiente può impedire nuovi backup o sincronizzazioni, ma non giustifica automaticamente gli scenari catastrofici descritti.
Terzo indizio: la destinazione del pulsante
Questo è l’elemento più significativo delle immagini.
La versione in testo semplice del messaggio mostra che il pulsante “Aggiorna ora” rimanda a un URL sul dominio:
mebeli-za-hotela.info
Non è un dominio Apple, né è coerente con il mittente.
Inoltre, sono presenti altri collegamenti verso lo stesso dominio e uno verso cleavegon.com.
Il dominio del collegamento è più importante del testo visualizzato sul pulsante. Un pulsante può chiamarsi “Aggiorna iCloud”, “Accedi ad Apple” o “Verifica account”, ma portare a un sito completamente diverso.
Non ho elementi per affermare che questi domini ospitino attualmente una pagina malevola: ciò che è certo è che non sono destinazioni coerenti con il servizio dichiarato.
Quarto indizio: l’aspetto grafico
Il messaggio usa una struttura visiva simile a quella di una comunicazione aziendale: intestazione blu, icone, avviso giallo, pulsante ben visibile e riferimenti alla privacy.
Sono tutti elementi facilmente riproducibili in HTML.
La presenza di un lucchetto, di una grafica professionale o di una firma di supporto non certifica l’autenticità di un messaggio.
C’è anche un dettaglio significativo: la comunicazione parla genericamente di “Cloud”, pur richiamando prodotti Apple. Un fornitore autentico tende a identificare chiaramente il servizio e a mantenere una terminologia coerente.
Quinto indizio: la firma e il testo di cancellazione
In fondo al messaggio compare un indirizzo postale a Dover, Delaware, e una funzione per interrompere le comunicazioni.
Questi elementi imitano le caratteristiche delle newsletter legittime. Non costituiscono, però, una garanzia di autenticità.
Il collegamento per disiscriversi porta anch’esso a un dominio estraneo al presunto servizio cloud. Non lo utilizzerei: anche un link di cancellazione può servire a registrare l’interazione dell’utente.
Sesto indizio: Outlook segnala un’anomalia
Nelle schermate Outlook riporta:
Il mittente effettivo di questo messaggio è diverso da quello normale.
Questo avviso merita attenzione perché indica una differenza rilevata dal client nella rappresentazione del mittente.
Non è una prova autonoma di phishing, ma è un motivo concreto per esaminare le intestazioni tecniche e l’autenticazione del messaggio.
Anche il fatto che l’email sia finita nello spam è un segnale aggiuntivo, non una prova definitiva.
2. Come verificare un messaggio sospetto usando strumenti gratuiti
Un utente non deve essere un esperto informatico per effettuare controlli efficaci. Bastano alcuni strumenti online, gratuiti o utilizzabili gratuitamente, e soprattutto un metodo.
Consente di consultare analisi e segnalazioni di sicurezza relative a indirizzi web, domini e file. È utile per vedere se diversi motori di sicurezza hanno già classificato un indirizzo come pericoloso.
Attenzione: zero rilevamenti non significa sito sicuro. Evitare di inviare URL privati contenenti token o dati personali.
Permette di verificare se Google conosce un sito come potenzialmente pericoloso. È un buon primo controllo e non richiede competenze tecniche.
Un sito non segnalato potrebbe essere semplicemente nuovo o non ancora rilevato.
Fornisce informazioni sulla registrazione dei domini, quando disponibili: registrar, date di registrazione, scadenza e alcuni dati tecnici.
Un dominio registrato di recente può essere un indizio, non una prova di frode.
Consente di consultare analisi di pagine web, screenshot, richieste di rete e domini contattati. È particolarmente utile per osservare comportamenti sospetti senza visitare direttamente il sito.
Preferire ricerche di scansioni esistenti. Le nuove scansioni possono esporre pubblicamente URL e dati sensibili.
Offre strumenti per esaminare configurazioni DNS, server di posta e alcuni indicatori di reputazione. Utile soprattutto per utenti più esperti.
Le verifiche DNS e di reputazione non dimostrano da sole l’autenticità di una singola email.
Altro sito che si può usare per avere una’anteprima del sito di destinazione è SITE-SHOT (www.site-shot.com)
Site-Shot è un servizio online che consente di generare screenshot di pagine web partendo semplicemente da un URL, anche a pagina intera e simulando differenti dispositivi, risoluzioni e localizzazioni geografiche. Offre inoltre un’API per automatizzare le acquisizioni e la possibilità di programmare screenshot periodici dello stesso sito.
Utilità nella difesa cibernetica
In ambito Cybersecurity e OSINT, può essere particolarmente utile per:
- Analizzare URL o siti sospetti senza visitarli direttamente dal proprio browser, utilizzando il rendering effettuato dal servizio.
- Documentare visivamente siti di phishing, pagine fraudolente, fake login e altre risorse sospette.
- Creare evidenze fotografiche dello stato di una pagina durante un’attività di analisi o investigazione.
- Automatizzare il monitoraggio visivo nel tempo di siti o URL di interesse, sfruttando screenshot pianificati e API.
- Osservare come una pagina viene presentata da Paesi differenti, grazie a proxy e geolocalizzazione, caratteristica interessante nell’analisi di campagne che mostrano contenuti diversi in base alla provenienza del visitatore.
In sintesi: è uno strumento semplice ma interessante per OSINT, analisi del phishing, raccolta di evidenze e monitoraggio di siti sospetti, perché consente di ottenere rapidamente una rappresentazione visiva di una pagina senza doverla aprire direttamente nel proprio browser.
Un esempio concreto con il messaggio ricevuto
Il dominio mebeli-za-hotela.info è un buon punto di partenza per una verifica. Non è necessario aprirlo.
Si può copiare soltanto il nome del dominio, senza il percorso lungo presente nell’email, e cercarlo nei servizi indicati.
La procedura consigliata è questa:
- Cercare il dominio su VirusTotal e controllare eventuali rilevamenti e precedenti analisi.
- Ripetere la verifica con Google Safe Browsing.
- Consultare ICANN Lookup per vedere i dati di registrazione disponibili.
- Cercare su urlscan.io eventuali analisi già effettuate da altri ricercatori.
- Confrontare il dominio con il sito ufficiale del servizio che il messaggio dichiara di rappresentare.
Nota importante: non ho eseguito una scansione attiva dei domini del messaggio e non sto attribuendo loro punteggi di reputazione che non ho verificato. La valutazione di phishing deriva dagli indicatori visibili nell’email.
3. Il controllo più efficace: verificare il problema alla fonte
Immaginiamo che il messaggio sia stato ricevuto da una persona che utilizza davvero iCloud.
La domanda corretta non è: “Questo pulsante è sicuro?”
È: “Il mio spazio iCloud è davvero esaurito?”
Verifica indipendente su iCloud
Aprire manualmente icloud.com oppure controllare lo spazio iCloud nelle impostazioni del proprio dispositivo Apple.
Su iPhone: Impostazioni → proprio nome → iCloud. Da qui è possibile controllare lo spazio effettivamente utilizzato e gestire il piano.
Se c’è davvero un problema, lo si potrà gestire direttamente dal servizio ufficiale, senza usare i collegamenti dell’email.
Questo metodo è molto più affidabile della sola analisi grafica o linguistica del messaggio.
4. Il livello tecnico: cosa raccontano le intestazioni email
Per un approfondimento professionale, le intestazioni complete sono il passo successivo.
In Outlook classico si apre il messaggio in una finestra separata e si seleziona File → Proprietà → Intestazioni Internet. Nel nuovo Outlook e nella versione web si utilizza Altre azioni → Visualizza → Dettagli messaggio.
Microsoft Support
Tre controlli sono particolarmente importanti.
| Controllo | Che cosa verifica |
| SPF | Se il server mittente è autorizzato a inviare posta per il dominio verificato |
| DKIM | Se il messaggio dispone di una firma crittografica valida per il dominio firmatario |
| DMARC | Se l’autenticazione SPF o DKIM è allineata al dominio visibile nel campo From, secondo le regole DMARC |
Un’intestazione potrebbe contenere, ad esempio:
Authentication-Results:
spf=fail
dkim=fail
dmarc=fail
È soltanto un esempio, non il risultato di questo messaggio.
Se SPF, DKIM e DMARC falliscono, il sospetto aumenta. Ma attenzione: anche tre risultati positivi non dimostrano che l’email sia innocua. Un criminale può utilizzare un dominio che controlla e configurarlo correttamente, oppure sfruttare un account legittimo compromesso.
Per questo messaggio sarebbe particolarmente interessante confrontare From, Return-Path, i domini DKIM e i risultati DMARC. Servirebbero le intestazioni originali per farlo.
5. Perché questo attacco potrebbe funzionare
Il phishing non sfrutta soltanto vulnerabilità informatiche. Sfrutta il modo in cui prendiamo decisioni.
La catena psicologica dell’attacco
1. Paura => “Potresti perdere foto, documenti e backup”
2. Urgenza => “Avviso finale, devi intervenire subito”
3. Soluzione apparentemente semplice => “Aggiorna ora, basta un clic”
4. Possibile compromissione => Inserimento di credenziali, dati di pagamento o altre informazioni sensibili
La quarta fase rappresenta un possibile esito dell’attacco, non un evento osservato nelle immagini.
L’attaccante cerca di ridurre il tempo dedicato alla verifica. Non vuole necessariamente che la vittima creda a ogni singola frase: gli basta che il timore di perdere qualcosa di importante sia più forte del dubbio.
Questa è la componente più interessante da spiegare a un pubblico non tecnico.
6. La checklist per riconoscere un tentativo di phishing
Questa è una verifica pratica che qualunque utente può effettuare in uno o due minuti, senza installare software.
Controlli completati
- Controllo l’indirizzo completo del mittente => Non mi fermo al nome visualizzato.
- Controllo dove portano i collegamenti => Su PC passo il mouse senza cliccare; su smartphone evito di aprirli.
- Cerco richieste di intervento urgente => Scadenze, blocchi, pagamenti e perdita di dati sono segnali da approfondire.
- Verifico che il dominio appartenga al servizio dichiarato => Non mi fido del logo o della grafica.
- Controllo il problema sul sito o nell’app ufficiale => Apro il servizio autonomamente, senza utilizzare i link ricevuti.
- Consulto uno strumento di reputazione => Uso VirusTotal o Google Safe Browsing come controllo aggiuntivo.
- Non fornisco password, codici MFA o dati bancari => Finché l’identità del richiedente non è stata verificata.
7. Cosa fare se si è già cliccato
La risposta dipende da ciò che è effettivamente accaduto.
| Situazione | Azione consigliata |
| Ho soltanto letto l’email | Segnalarla come phishing e cancellarla. |
| Ho aperto il collegamento, senza inserire dati | Chiudere la pagina, aggiornare browser e sistema e verificare eventuali download. Il solo clic non dimostra una compromissione. |
| Ho inserito una password | Cambiarla immediatamente dal sito ufficiale, verificare le sessioni attive e attivare MFA. |
| Ho fornito dati della carta | Contattare immediatamente la banca, richiedere le misure di protezione appropriate e controllare i movimenti. |
| Ho installato un programma o un profilo | Interrompere l’utilizzo dell’elemento sospetto e richiedere una verifica tecnica del dispositivo. |
In Outlook è possibile utilizzare Segnala → Segnala phishing. Microsoft raccomanda inoltre di raggiungere autonomamente i siti ufficiali e di non utilizzare i collegamenti contenuti nei messaggi sospetti.
8. Valutazione conclusiva
Questo messaggio é un esempio molto rappresentativo di phishing basato sul social engineering.
L’attacco presenta numerosi indicatori convergenti: un mittente non coerente con il servizio dichiarato, domini di destinazione estranei, minacce di perdita dei dati, richieste di aggiornamento dei pagamenti e un’interfaccia costruita per sembrare autorevole.
Il dettaglio più significativo è che non occorre conoscere SPF, DKIM, DNS o analisi forense per riconoscere il pericolo. Sono sufficienti due verifiche: controllare il dominio reale del collegamento e accedere autonomamente al servizio ufficiale.
Per un blog di divulgazione proporrei questa riflessione finale:
Il problema del phishing non è che le persone non conoscono abbastanza la tecnologia. È che gli aggressori conoscono molto bene le persone.
Sanno che abbiamo paura di perdere le nostre fotografie, i nostri ricordi, i nostri documenti. Sanno che quando qualcosa sembra urgente tendiamo ad agire prima di verificare.
Per questo la difesa più efficace non consiste nell’imparare a riconoscere ogni nuova truffa, ma nell’acquisire un’abitudine: quando un messaggio ci spinge a fare qualcosa immediatamente, verifichiamo la richiesta attraverso un canale indipendente.
Non dobbiamo fidarci di un messaggio perché sembra autentico. Dobbiamo poter verificare che lo sia.
Un ultimo approfondimento che farei su questo caso
Ci sono due dettagli che meritano un’analisi ulteriore: il prefisso RE: nell’oggetto, che può essere usato per simulare una conversazione precedente, e la presenza di un dominio del mittente diverso dai domini dei collegamenti.
Per stabilire se ci siano spoofing, abuso di un servizio di mailing o un account compromesso, occorrerebbe analizzare il messaggio originale, non soltanto gli screenshot.
Se mi fornisci le intestazioni complete dell’email di Outlook, posso effettuare una seconda analisi più tecnica, ricostruendo i server di transito, i risultati SPF/DKIM/DMARC e le eventuali anomalie di autenticazione.
Per il blog, ti consiglierei di pubblicare entrambe le schermate, perché il confronto fra la versione HTML e quella testuale è particolarmente istruttivo: la prima mostra ciò che il criminale vuole farci vedere; la seconda rende visibili gli indirizzi a cui vuole portarci. Prima della pubblicazione, oscura gli indirizzi personali e rendi non cliccabili gli URL sospetti.