Come funziona l'Analizzatore di Email Truffa

L'Analizzatore di Email Truffa ti permette di caricare un singolo file .msg o .eml (max 5 MB) e ricevere immediatamente un verdetto a schermo – Sicuro, Sospetto, Pericoloso o Sconosciuto – insieme a risultati concisi. Solo un file può essere inviato alla volta; un secondo file nella stessa richiesta viene rifiutato con “Only a single file may be uploaded”. I file di altri tipi vengono rifiutati con “Only .msg and .eml files are supported”, e i file illeggibili restituiscono “Could not parse this file — it may be corrupted or password‑protected”.

Limiti di utilizzo

Gli utenti gratuiti possono analizzare fino a cinque file al giorno, mentre un abbonamento a pagamento eleva il limite a quindici. Quando il limite è raggiunto lo strumento mostra una finestra di dialogo che confronta i tier gratuiti e premium. Dopo che un risultato è visualizzato è possibile avviare una nuova analisi cliccando il pulsante “Analyze Another File”, che reimposta l’interfaccia.

Determinazione del verdetto

Il verdetto parte da Sicuro e viene solo elevato – mai diminuito – dal ritrovamento più grave nell'email. I quattro possibili risultati sono:

• Sicuro: nessun ritrovamento tecnico o basato su AI eleva il livello.
• Sospetto: almeno un ritrovamento di gravità Sospetto (es. fallimento SPF, nome allegato sospetto, link visualizzato non corrispondente).
• Pericoloso: qualsiasi ritrovamento Pericoloso (es. fallimento DKIM o DMARC, documento Office con macro, contraddizione corpo‑vs‑allegato, impersonazione rilevata da AI).
• Sconosciuto: l'analisi AI non è riuscita a raggiungere un giudizio e nessun controllo tecnico ha prodotto un risultato.

Ogni verdetto è accompagnato da brevi tag che indicano i controlli che l'hanno generato. Quando la decisione è guidata solo dall'AI il tag è ai-flagged; quando l'AI è semplicemente inconcludente il tag è inconclusive. Un rapporto completo, comprimibile, contiene una narrazione in linguaggio semplice e un elenco di tutti i singoli ritrovamenti, etichettati per gravità (Informativo, Sospetto, Pericoloso) e origine (controllo tecnico o revisione AI).

Controlli tecnici

Autenticazione del mittente

L'analizzatore legge i risultati SPF, DKIM e DMARC già registrati dal server di ricezione. Non vengono effettuate ricerche DNS live. Un fallimento DKIM o DMARC è trattato come Pericoloso, un fallimento SPF come Sospetto, e l'assenza di qualsiasi record di autenticazione è segnalata come “non verificabile” senza influenzare il verdetto. Quando esistono più record di autenticazione, viene usato quello più vicino al destinatario e il suo server di origine è mostrato nel report.

Controlli sugli allegati

I nomi dei file allegati sono scansionati per 22 estensioni eseguibili o di script note (es. .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Una corrispondenza è segnalata come Sospetto. Le doppie estensioni come invoice.pdf.exe sono esplicitamente riportate come “una tecnica comune per mascherare eseguibili come documenti”. I file Office con macro (.docm, .xlsm, .pptm) sono anche contrassegnati Sospetto. Lo strumento confronta la firma reale del file con l'estensione dichiarata; una discrepanza è riportata come Sospetto con entrambi i tipi indicati. Gli archivi Office moderni (.docx, .xlsx) sono riconosciuti correttamente e non segnalati come archivi mascherati. Il contenuto degli allegati non lascia mai il server e non viene inviato al modello AI; l'AI riceve solo il nome del file e il tipo dichiarato.

Controlli sui link

Ogni hyperlink nel corpo dell'email è esaminato per una discrepanza tra l'indirizzo visualizzato e l'URL di destinazione reale. Quando il testo visibile assomiglia a un indirizzo web o dominio e i due differiscono, il link è segnalato come Sospetto e entrambi gli host sono mostrati. Il testo generico di call‑to‑action come “Click here” non attiva questo controllo, assicurando che i pulsanti normali non vengano contrassegnati. I link non sono mai visitati e non viene consultato alcun servizio di reputazione esterno.

Revisione AI

Oltre ai controlli tecnici, una singola revisione AI elabora l'oggetto, il corpo in testo semplice, l'indirizzo del mittente, il nome visualizzato del mittente, l'elenco degli allegati e tutti i risultati tecnici. L'AI cerca nomi visualizzati non corrispondenti, brand‑typosquatting, domini simili e contraddizioni tra allegati dichiarati e reali. Qualsiasi contraddizione corpo‑vs‑allegato è classificata automaticamente come Pericoloso. L'AI genera una narrazione in linguaggio semplice per l'inizio del report completo, destinata a utenti non tecnici. Se la revisione AI non può essere completata ma i controlli tecnici hanno già prodotto risultati, viene mostrato il verdetto tecnico insieme a un avviso che l'analisi AI non era disponibile. Se l'AI non può essere eseguita e non esistono risultati tecnici, la richiesta fallisce anziché restituire un falso risultato “Sicuro”.

Limitazioni trasparenti

• Nessuna verifica DNS live di record SPF, DKIM o DMARC.
• I documenti con macro sono segnalati, ma il loro codice macro non è estratto né analizzato.
• Gli allegati non vengono mai eseguiti, aperti in sandbox o scansionati da un motore antivirus.
• I link sono analizzati solo come testo; non vengono seguiti e non si utilizza alcun database di reputazione.