# Analisi di una email sospetta e dei suoi allegati

> Trascina la mail o l'allegato e scopri se contiene macro, PDF con azioni, script o link che imitano banche e Poste. Il file non viene caricato.

Strumento gratuito nel browser (nessun upload): https://www.mauriziofonte.it/strumenti/analisi-email-sospetta

Trascina qui la mail salvata o l'allegato che ti preoccupa. Lo strumento lo smonta nel browser senza aprirlo e ti dice **cosa proverebbe a fare**: far partire una macro, scaricare un programma, portarti su una pagina che imita la tua banca. Non è un antivirus e non ti dirà mai che un file è innocuo.

## Come si usa

1. **Salva la mail o l'allegato** - In Gmail apri la mail, menu a tre puntini, Scarica messaggio: ottieni un file .eml. In Outlook trascina la mail sul desktop (file .msg) oppure salva solo l'allegato. Dalla webmail della PEC scarica il messaggio intero.
2. **Trascinalo nel riquadro** - Oppure toccalo per scegliere il file dal telefono. L'analisi parte da sola e dura pochi secondi; il file non lascia il tuo dispositivo.
3. **Leggi l'esito e le frasi sotto** - In alto trovi uno dei quattro esiti, sotto l'elenco di cosa farebbe il file, dal punto più grave al meno grave, e la tabella dei domini che contiene.
4. **Se serve, passa il report a chi ti segue** - Copia il report o scarica il JSON per il tuo tecnico. Il dettaglio tecnico mostra ogni elemento del file e la regola che ha prodotto ogni segnalazione.

## Perché smontare il file invece di aprirlo

Un documento pericoloso non fa nulla finché non lo apri con il programma giusto: Word esegue la macro, il lettore PDF esegue il JavaScript, Windows esegue il collegamento. Questo strumento non usa nessuno di quei programmi. Legge il file come una sequenza di byte, ne ricostruisce la struttura (lo ZIP dentro il .docx, il progetto VBA dentro il .xlsm, gli oggetti dentro il PDF, gli allegati dentro la mail) ed elenca le parti che sono in grado di agire da sole.

Un antivirus confronta il file con le firme di attacchi già visti, e un attacco di ieri sera spesso non ha ancora una firma. Qui il ragionamento è un altro: si cercano le capacità che un documento non dovrebbe avere. Una macro che parte all'apertura e avvia PowerShell, un modello Word scaricato da un server sconosciuto, un PDF in cui un unico link copre tutta la pagina. Queste tecniche cambiano molto più lentamente dei singoli attacchi, e si riconoscono senza sapere chi le ha usate.

Dal 2022 Office blocca le macro nei file scaricati da internet, e chi attacca si è spostato su altro: archivi con dentro script, immagini disco, collegamenti .lnk, pagine HTML che fabbricano un file nel browser, PDF che portano a una pagina di login falsa. Per questo lo strumento guarda anche la mail che contiene l'allegato: chi la manda, a chi va la risposta, dove portano davvero i link e da quanti giorni esistono i domini.

## Glossario

- **Macro**: Piccolo programma dentro un documento Office. Può partire all'apertura e fare quasi tutto quello che può fare l'utente sul computer.
- **Phishing**: Mail che si finge un mittente noto, come una banca, un corriere o Poste, per farti aprire un allegato o inserire le credenziali su un sito falso.
- **SPF, DKIM e DMARC**: Controlli con cui il server che riceve la mail accerta che il mittente sia autorizzato a usare quel dominio. Il risultato è scritto nell'intestazione Authentication-Results.
- **HTML smuggling**: Pagina HTML che costruisce un file direttamente nel browser e lo fa scaricare, così il file non passa dai filtri della posta come allegato.
- **Quishing**: Phishing con un codice QR: il link non è scritto nella mail ma in un'immagine, e si apre dal telefono, dove spesso non ci sono filtri.
- **Collegamento .lnk**: Scorciatoia di Windows. Può avere l'icona di un PDF e avviare in realtà PowerShell o un altro programma con un comando a scelta.
- **Dominio sosia**: Nome di dominio che imita quello di un'azienda, con lettere cambiate o parole aggiunte (poste-it-verifica, paypa1, intesasanpaolo-sicurezza).
- **RDAP**: Servizio dei registri dei domini che dice, tra l'altro, quando un dominio è stato registrato. Per i domini .it si usa il whois del Registro .it.

## Domande frequenti

### È un antivirus?

No. Un antivirus confronta il file con attacchi già noti e ti dà un verdetto. Questo strumento smonta il file e ti dice cosa contiene di attivo e cosa proverebbe a fare, senza mai dichiararlo innocuo. È un secondo parere da affiancare alla protezione che hai già, non un sostituto.

### Il mio file viene caricato da qualche parte?

No. Il file viene letto nel tuo browser da un componente a cui è vietata ogni connessione. Al server arrivano solo i nomi dei domini trovati, per controllarne età e reputazione, e le statistiche d'uso della pagina. Trovi l'elenco completo nella sezione [Cosa resta sul tuo dispositivo](#cosa-esce).

### L'esito dice che non ha trovato nulla: posso aprire il file?

Vuol dire che il file non mostra nessuno dei segnali che lo strumento conosce, non che sia innocuo. Se la mail era attesa e il mittente è chi dice di essere, puoi procedere. Se non te l'aspettavi, chiedi conferma con una telefonata o scrivendo a un indirizzo che conosci già, non rispondendo alla mail.

### Ho ricevuto una fattura via PEC o un file .p7m: funziona?

Sì. Lo strumento apre la busta PEC, il messaggio originale e i suoi allegati, ed estrae il documento contenuto nei file firmati .p7m. Ricorda che anche una PEC può arrivare da una casella violata: la certificazione riguarda la consegna, non il contenuto.

### L'allegato è uno ZIP con la password scritta nella mail: cosa faccio?

Lo strumento elenca i file contenuti e ti segnala se tra questi c'è qualcosa che si esegue, ma non apre gli archivi chiusi con una password. Un archivio con la password nel testo della mail è una tecnica tipica per far passare un malware dai filtri: se non te lo aspettavi, non aprirlo.

### Ho la password di un documento cifrato: posso analizzarlo?

Sì, per i documenti Word, Excel e PowerPoint cifrati e per i PDF con password. Quando lo strumento trova un file cifrato compare un campo: scrivi la password e premi Analizza. La password viene usata solo nel tuo browser e non viene inviata.

### Perché un Excel con macro non è segnalato come pericoloso?

Perché molte aziende usano fogli con macro per lavoro. Lo strumento distingue: una macro presente ma inerte è un segnale basso, una macro che parte all'apertura è da chiarire, una macro che parte all'apertura e avvia programmi, scarica file o chiama funzioni di sistema è critica. È la stessa logica usata dagli strumenti di analisi professionali come mraptor di oletools.

### Cosa vuol dire che un dominio è stato registrato da pochi giorni?

Chi fa phishing registra domini nuovi per ogni campagna e li abbandona dopo pochi giorni, quando finiscono nelle liste di blocco. Un link a un dominio nato la settimana scorsa che si presenta come la tua banca è un segnale forte. Un dominio vecchio, da solo, non dimostra nulla.

### Come capisco se una mail di Poste o della mia banca è vera?

Guarda il dominio reale del mittente e dei link, non il nome visualizzato: lo strumento te li mostra e segnala quelli che imitano un marchio. Poste, banche e Agenzia delle Entrate non chiedono password o codici via mail. Nel dubbio entra nel sito digitando tu l'indirizzo, o usa l'app ufficiale.

### Ho già aperto l'allegato: cosa faccio adesso?

Scollega il computer dalla rete, non spegnerlo e avvisa chi segue l'informatica in azienda. Da un altro dispositivo cambia le password usate su quel computer, a partire da posta e banca. Puoi segnalare la mail alla Polizia Postale e, per le aziende, al CSIRT Italia.

### Funziona anche dal telefono?

Sì. Su Android scarica l'allegato e sceglilo dal riquadro; su iPhone salva prima l'allegato in File, poi sceglilo da lì. L'analisi gira nel browser del telefono come sul computer.

---
Uno strumento di Maurizio Fonte, senior backend engineer. Tutti gli strumenti: https://www.mauriziofonte.it/strumenti/