Backscatter: rimbalzi di email che non hai inviato (cosa fare)

Cosa significa

Ricevi molti messaggi "Undelivered Mail Returned to Sender", "Delivery Status Notification (Failure)" o "Undeliverable" per email che non hai mai scritto. Si chiama backscatter.

Ecco come succede: uno spammer invia spam a migliaia di indirizzi e mette il tuo indirizzo come mittente. Alcuni server riceventi prima accettano lo spam, poi scoprono che il destinatario non esiste e inviano un messaggio di mancato recapito al mittente scritto nel messaggio, cioè a te. Tu ricevi i rimbalzi, non lo spam.

Il backscatter è fastidioso ma di solito non significa che il tuo account sia stato violato. Devi comunque verificarlo prima di tutto.

Perché succede

• L'indirizzo mittente in SMTP è facile da falsificare. Senza l'applicazione di SPF, DKIM e DMARC, qualsiasi server può dichiarare di inviare per il tuo dominio. Lo spoofing in generale è trattato in email false inviate con il tuo dominio.
• Server riceventi configurati male accettano ogni messaggio e generano il rimbalzo dopo, invece di rifiutare i destinatari non validi durante la conversazione SMTP.
• Un indirizzo catch-all sul tuo dominio riceve i rimbalzi inviati a indirizzi casuali (xk3h@yourdomain.com) inventati dagli spammer.

Come verificare

È backscatter o un account violato?

Apri uno dei rimbalzi e guarda il messaggio originale allegato o citato in fondo. Leggi le sue intestazioni Received:

• Se la prima riga Received mostra un IP e un server che non sono tuoi (paese sconosciuto, connessione domestica) e non c'è una firma DKIM valida per il tuo dominio, è backscatter.
• Se il messaggio è davvero uscito dal tuo provider di posta o dal tuo server (hostname del tuo provider, il tuo login nelle intestazioni, copie nella tua Posta inviata), il tuo account o il tuo sito potrebbero essere compromessi. Segui invece account email violato che invia spam.

Controlla anche i log di invio o la traccia messaggi del tuo provider.

Controlla la tua autenticazione

Cerca il tuo dominio nello scanner di domini: hai un record SPF che termina con -all o ~all, e un record DMARC? Invia un test dalla tua vera casella all'indirizzo unico indicato nella home page di Delivmail per confermare che la tua posta reale passa SPF, DKIM e DMARC. Controlla anche l'IP del tuo server nelle blacklist pubbliche: se il tuo server genera rimbalzi verso lo spam, può essere inserito in blacklist come fonte di backscatter.

Come risolvere

Non puoi impedire agli spammer di scrivere il tuo indirizzo, ma puoi ridurre il numero di server che accettano la posta falsa e filtrare i rimbalzi.

1. Pubblica un'autenticazione rigorosa. Un record SPF corretto, DKIM su tutta la tua posta reale e una policy DMARC che porti a quarantine e poi a reject (vedi passare DMARC a quarantine o reject in sicurezza). I server che controllano questi record rifiutano la posta falsa durante la connessione, quindi nessun rimbalzo ti viene inviato.
2. Rimuovi il catch-all se non ti serve, così i rimbalzi verso indirizzi inventati vengono rifiutati.
3. Filtra i rimbalzi. Crea una regola che sposti in una cartella i messaggi di mancato recapito il cui messaggio originale non è stato inviato da te. In Microsoft 365, l'impostazione avanzata del filtro antispam per il backscatter NDR può contrassegnarli come spam:

   Set-HostedContentFilterPolicy -Identity Default -MarkAsSpamNdrBackscatter On

4. Sul tuo server, valuta BATV (Bounce Address Tag Validation): il tuo server aggiunge un tag firmato al mittente della busta della posta reale e rifiuta i rimbalzi che non contengono un tag valido.
5. Non creare tu stesso backscatter. Configura il tuo server per rifiutare i destinatari sconosciuti durante la sessione SMTP invece di accettare e poi generare un rimbalzo. In Postfix, mantieni completi local_recipient_maps o virtual_mailbox_maps e usa relay_recipient_maps per i domini in relay, e fai in modo che il tuo filtro antispam rifiuti, non generi rimbalzi.

Le ondate di solito si fermano dopo qualche giorno, quando la campagna di spam finisce.

Verifica che sia risolto

Dopo qualsiasi modifica DNS, attendi la propagazione e ricontrolla i tuoi record con lo scanner di domini. Invia un nuovo test Delivmail per confermare che la tua posta passa ancora DMARC. Poi osserva il numero di rimbalzi nei giorni successivi; dovrebbe diminuire. Se i rimbalzi mostrano messaggi davvero inviati dai tuoi sistemi, trattalo come un incidente di sicurezza.