Scansione dei domini prima delle simulazioni di phishing: cosa dovrebbero controllare i team di sicurezza

La scansione dei domini dovrebbe avvenire prima di un programma di simulazione di phishing, non dopo che la prima campagna ha creato confusione. Una scansione offre ai team di sicurezza una visione pratica dell’autenticazione delle e-mail, dei segnali dei domini esposti e del rischio di domini simili che possono influire sia sull’esposizione reale al phishing sia sull’affidabilità dei risultati della formazione.

Il punto non è trasformare la formazione sulla consapevolezza in un progetto DNS. Il punto è separare due questioni che spesso vengono confuse: gli aggressori possono impersonare tecnicamente l’organizzazione e i dipendenti sono in grado di riconoscere e segnalare i messaggi sospetti quando li vedono?

Questa guida spiega cosa controllare durante la scansione dei domini, come questa contribuisca a simulazioni di phishing più sicure e dove si ferma la scansione. Ha solo scopo difensivo e non include modelli di phishing, tattiche di invio, raccolta di credenziali o istruzioni per gli attacchi.

Perché la scansione dei domini va fatta prima di pianificare la simulazione

Le simulazioni di phishing misurano il comportamento dei dipendenti in un esercizio controllato. La scansione dei domini misura le parti dell’ambiente tecnico che influenzano l’affidabilità delle email, la resistenza allo spoofing e il rischio di usurpazione del marchio.

Se questi controlli vengono saltati, i team potrebbero interpretare male i risultati della simulazione. Un tasso di clic elevato potrebbe indicare una formazione inadeguata, ma potrebbe anche riflettere segnali di autenticazione deboli, pratiche poco chiare da parte dei mittenti o percorsi di segnalazione incoerenti. Un tasso di clic basso potrebbe sembrare rassicurante, ma non dimostra che il dominio sia difficile da impersonare.

Prima di lanciare una campagna, usa la scansione dei domini per rispondere a domande pratiche:

• SPF, DKIM e DMARC sono configurati in modo coerente per i domini che i dipendenti riconoscono?
• I servizi di invio importanti sono allineati alla politica aziendale?
• Ci sono domini vecchi o dimenticati ancora visibili e facili da usare in modo improprio?
• Vale la pena monitorare i domini simili o le permutazioni comuni?
• I dipendenti sono stati formati per segnalare messaggi sospetti provenienti sia da mittenti che sembrano interni sia da mittenti esterni?

La pagina scansione di sicurezza di AutoPhish è il punto di partenza ideale se vuoi affiancare i controlli sui domini alle attività di sensibilizzazione, invece di trattarli come progetti separati.

Cosa dovrebbe includere una scansione dei domini efficace

Una scansione dei domini non deve essere nulla di spettacolare. Quella davvero utile è noiosa, ripetibile e facile da spiegare ai responsabili IT, della sicurezza e della conformità.

Record di autenticazione delle email

Inizia dalle basi: SPF, DKIM e DMARC. Questi record non bloccano ogni tentativo di phishing, ma aiutano i sistemi di posta in arrivo a valutare se un messaggio è autorizzato a utilizzare un dominio.

I team di sicurezza dovrebbero verificare:

• se l’SPF esiste e rientra nei limiti di ricerca
• se sono presenti chiavi DKIM per i servizi di invio attivi
• se il DMARC esiste e ha una politica in linea con il livello di maturità dell’organizzazione
• se i rapporti vengono raccolti e analizzati
• se i sottodomini sono coperti in modo intenzionale

Non esagerare con questo aspetto. Un dominio con un’autenticazione forte può comunque essere oggetto di abusi tramite domini simili, account compromessi, furti d’identità da parte di fornitori o canali diversi dall’e-mail. Ma un’autenticazione debole rende più facile l’usurpazione d’identità e crea confusione inutile durante i corsi di sensibilizzazione.

Inventario dei servizi di invio

Molte organizzazioni inviano email legittime tramite strumenti di marketing, sistemi di helpdesk, piattaforme HR, sistemi di fatturazione, CRM e suite di produttività cloud. Se l’inventario è disordinato, i dipendenti vengono addestrati ad accettare comportamenti incoerenti da parte dei mittenti.

Prima che inizino le simulazioni, documenta i modelli di invio legittimi di cui i dipendenti dovrebbero fidarsi. Ciò include domini, sottodomini, convenzioni sui nomi visualizzati e la procedura per verificare le richieste insolite.

Questo è particolarmente importante per le discussioni relative alla conformità e agli audit. È più facile difendersi da una simulazione di phishing quando questa si inserisce in un modello di comunicazione conosciuto, invece di sorprendere i dipendenti con messaggi che non assomigliano affatto alle normali email aziendali.

Rischio di somiglianza e permutazioni

La scansione dei domini dovrebbe anche controllare le evidenti possibilità di impersonificazione: errori ortografici comuni, caratteri scambiati, TLD fuorvianti e permutazioni di marchi ad alto rischio. L’obiettivo non è farsi prendere dal panico per ogni possibile somiglianza teorica. L’obiettivo è capire quali modelli meritano di essere monitorati, bloccati o richiedono una guida per i dipendenti.

Ad esempio, un team finanziario potrebbe dover sapere che i nomi di fornitori simili a quelli reali rappresentano un problema di verifica, mentre i team di assistenza potrebbero dover considerare le richieste di reimpostazione della password provenienti da domini inaspettati come segnali di escalation.

Mantieni la formazione orientata alla difesa. Insegna ai dipendenti a fermarsi un attimo, verificare tramite canali approvati e segnalare i messaggi sospetti. Non pubblicare elenchi che aiutino gli hacker a scegliere percorsi migliori per l’impersonificazione.

In che modo la scansione migliora la qualità delle simulazioni di phishing

La scansione dei domini rende le simulazioni di phishing più utili perché ripulisce l’ambiente prima che venga misurato il comportamento dei dipendenti.

Migliora la pianificazione in quattro modi.

In primo luogo, stabilisce la linea di base di sicurezza. Il team di simulazione può evitare scenari che sfruttano configurazioni interne errate non risolte o pratiche di invio confuse.

In secondo luogo, migliora il realismo dei messaggi senza sconfinare in territori non sicuri. La formazione può riflettere i rischi rilevanti per l’azienda, ma il programma non deve copiare pagine di accesso reali, richiedere dati segreti o imitare attacchi attivi.

Terzo, rende più comprensibili le prove riportate nei report. Se i dirigenti chiedono perché il programma si sia concentrato sull’usurpazione dell’identità dei fornitori, sulle notifiche SaaS o sui domini simili, la risposta può ricondursi al rischio osservato.

In quarto luogo, aiuta i team a separare le correzioni tecniche dalla formazione dei dipendenti. Risolvi i problemi relativi al DNS e all’allineamento dell’invio come attività tecniche. Usa le simulazioni per migliorare il riconoscimento, la segnalazione e il comportamento di follow-up.

Se il tuo team sta ancora decidendo come separare i risultati delle scansioni da quelli della formazione, la guida di AutoPhish su scansione anti-phishing vs simulazione di phishing spiega la differenza in modo più dettagliato.

Cosa non può dimostrare la scansione dei domini

La scansione dei domini non è un certificato di conformità. Non dimostra che i dipendenti siano stati formati, che gli incidenti vengano segnalati rapidamente o che l’organizzazione sia protetta da ogni possibile via di phishing.

Inoltre, non sostituisce le simulazioni di phishing. Una scansione può mostrare se un dominio è configurato bene o male. Non può però dimostrare se i dipendenti riconoscono una richiesta sospetta, se conoscono il canale di segnalazione o se il team di sicurezza è in grado di trasformare le segnalazioni in azioni concrete.

Questa distinzione è importante per i CISO e i team di conformità. Un programma valido dovrebbe mostrare entrambi gli aspetti:

• controlli tecnici che riducono l’esposizione allo spoofing e all’usurpazione d’identità
• prove di formazione che dimostrino che i dipendenti si esercitano a riconoscere e segnalare i casi
• azioni di follow-up che colleghino i risultati al miglioramento
• governance in materia di privacy, approvazioni e conservazione dei dati

Le linee guida delle autorità competenti puntano tutte nella stessa direzione. I consigli della CISA su come riconoscere e segnalare il phishing sottolineano l’importanza della segnalazione, della verifica e delle abitudini di protezione, piuttosto che affidarsi a un unico controllo tecnico.

Una checklist pratica prima della simulazione

Usa questa checklist prima del prossimo ciclo di simulazione di phishing.

1. Conferma l’ambito

Elenca i domini, i sottodomini e i servizi di invio che i dipendenti potrebbero riconoscere. Includi i domini regionali e quelli vecchi se ricevono ancora posta o compaiono nei flussi di lavoro rivolti ai clienti.

2. Controlla l’autenticazione delle e-mail

Controlla SPF, DKIM e DMARC per i domini inclusi nell’ambito. Annota lo stato attuale, il responsabile e l’azione successiva. Se qualcosa non è ancora stato applicato di proposito, spiega perché.

3. Esamina i modelli dei mittenti legittimi

Documenta come si presentano le normali email aziendali per le comunicazioni relative a risorse umane, finanza, IT, assistenza e dirigenza. Usa queste informazioni per progettare scenari di formazione sicuri che insegnino a verificare i messaggi senza minare la fiducia.

4. Identifica i temi di impersonificazione ad alto rischio

Cerca scenari di difesa realistici: cambi di fornitori, autorizzazioni SaaS, pressioni per il pagamento delle fatture, avvisi sulla condivisione di documenti, codici QR, messaggi sul cellulare e richieste all’helpdesk. Concentrati sulle decisioni dei dipendenti, non sulle istruzioni degli aggressori.

5. Definisci le procedure di segnalazione e follow-up

Assicurati che i dipendenti sappiano dove segnalare i messaggi sospetti, cosa succede dopo la segnalazione e come verrà fornito il feedback. Una simulazione senza un ciclo di segnalazione è per lo più una messinscena.

6. Conserva le prove in modo responsabile

Salva il riepilogo della scansione, l’approvazione della simulazione, l’ambito di applicazione, i risultati aggregati, le azioni formative e le decisioni correttive. Evita di esporre inutilmente i dipendenti. I team di conformità di solito hanno bisogno di prove che dimostrino che i controlli funzionano, non di un foglio di calcolo pieno di situazioni imbarazzanti.

Come trasformare i risultati della scansione in una formazione più efficace

L’uso migliore della scansione dei domini non è un rapporto voluminoso. È un piano di formazione migliore.

Se l’autenticazione è debole, risolvila prima di eseguire uno scenario che si basa sull’affidabilità del mittente. Se i dipendenti notano domini mittenti incoerenti provenienti da strumenti legittimi, standardizza i modelli di comunicazione prima di testarli. Se il rischio di domini simili è alto, forma il personale sulla verifica e la segnalazione in base a decisioni aziendali realistiche.

Questo crea un programma più solido. I dipendenti non vengono incolpati per ambiguità tecniche. Il reparto IT ottiene un elenco concreto di misure correttive. La sicurezza riceve segnali di segnalazione più chiari. La conformità ottiene una traccia probatoria più chiara.

Per i team che vogliono il flusso di lavoro di scansione e simulazione tutto in un unico posto, AutoPhish può aiutarti a controllare la linea di base dei domini, eseguire esercitazioni di sensibilizzazione in sicurezza e tenere organizzate le prove. Iscriviti per iniziare a costruire un programma di simulazione di phishing più sicuro.

Domande frequenti

È necessaria una scansione dei domini prima di ogni simulazione di phishing?

Non sempre. Esegui una scansione di riferimento prima di avviare il programma, poi ripeti l’operazione quando cambiano i domini, i servizi di invio, le politiche di posta o i principali sistemi aziendali. I team più esperti eseguono anche controlli chiave a cadenza regolare.

Un DMARC forte rende superflue le simulazioni di phishing?

No. Il DMARC aiuta con l’autenticazione dei domini, ma i dipendenti devono comunque affrontare domini simili, account compromessi, furti d’identità da parte di fornitori, codici QR, app di messaggistica e richieste di consenso SaaS. Le simulazioni allenano il riconoscimento e il comportamento di segnalazione che i record DNS non possono misurare.

I risultati della scansione dovrebbero essere mostrati ai dipendenti?

Di solito no, non in forma grezza. I dipendenti hanno bisogno di indicazioni chiare: come verificare le richieste, dove segnalarle e quali modelli di mittenti sono normali. I risultati dettagliati sulla verifica dei domini dovrebbero rimanere di competenza dei team IT e di sicurezza.

La scansione dei domini può dimostrare la conformità?

No. Può supportare una documentazione a sostegno della conformità, ma di per sé non è una prova di conformità. Considerala come uno degli elementi di controllo insieme ai registri dei corsi di sensibilizzazione, alle politiche, alla risposta agli incidenti, alla governance degli accessi e ai miglioramenti documentati.