Microsoft 365 "550 5.1.8 Access denied, bad outbound sender"

Cosa significa

Un utente Microsoft 365 prova a inviare un'email e riceve:

550 5.1.8 Access denied, bad outbound sender

Microsoft ha messo questo account nella sua lista delle Entità con restrizioni (Restricted entities). Lo fa quando un account invia molto spam o supera i limiti di invio. L'account può ancora ricevere email, ma non può più inviarne.

Nella maggior parte dei casi l'account è stato violato: qualcuno ha rubato la password (spesso con un'email di phishing) e l'ha usata per inviare spam. A volte è un invio di massa legittimo ma molto grande, fatto da una casella normale. Le caselle Microsoft 365 hanno limiti di invio giornalieri e non sono pensate per le newsletter.

Perché è importante

• L'utente non può inviare email finché un amministratore non sblocca l'account.
• Se l'account è stato violato, l'attaccante può avere ancora accesso, aver creato regole di inoltro nascoste o aver letto email riservate.
• Lo spam inviato dal tuo dominio può danneggiarne la reputazione e farlo finire in blacklist.

Come verificare

• Nel portale Microsoft Defender, apri la pagina Entità con restrizioni: l'utente bloccato è lì.
• Guarda la cartella Posta inviata e i log di accesso, alla ricerca di messaggi e accessi che l'utente non riconosce.
• Controlla le blacklist: inserisci il tuo dominio su /domain-scanner o verifica i tuoi IP di invio su /blacklists.

Come risolvere

1. Prima metti in sicurezza l'account. Reimposta la password, disconnetti l'utente da tutte le sessioni e attiva l'autenticazione a più fattori (MFA).
2. Cerca le trappole lasciate dall'attaccante. Togli le regole della posta in arrivo sconosciute, gli inoltri verso indirizzi esterni e le app o i dispositivi sconosciuti collegati all'account.
3. Analizza il computer dell'utente alla ricerca di malware, se la password può essere stata rubata da lì.
4. Sblocca l'utente. Nel portale Defender, vai alla pagina Entità con restrizioni, seleziona l'utente e scegli di sbloccarlo. Può servire fino a 24 ore perché funzioni. Microsoft limita il numero di sblocchi possibili per un account, quindi non saltare i passaggi precedenti.
5. Sposta gli invii di massa altrove. Se il blocco è arrivato da una vera newsletter, inviala tramite un servizio di email marketing dedicato, non da una casella normale.

Microsoft spiega tutta la procedura in Responding to a compromised email account.

Verifica che sia risolto

Una volta sbloccato, invia un'email breve dall'account a un indirizzo esterno. Poi invia un'email di test dallo stesso account all'indirizzo nella home page di Delivmail /: il report deve mostrare SPF, DKIM e DMARC che passano e nessuna blacklist. Con il monitoraggio DMARC della dashboard a pagamento, tieni d'occhio nelle settimane successive eventuali invii inattesi dal tuo dominio.