Redazione MailSniper
Autore
Nella parte 1 abbiamo analizzato i 5 limiti strutturali di Microsoft Defender per Office 365 nella sua versione base (EOP). Nessuna AI semantica, nessun sandboxing, nessun URL rewriting, anti-BEC limitato e zero personalizzazione per PMI.
Ma i limiti sulla carta sono una cosa. Vedere cosa succede davvero quando un'email di phishing arriva nella casella e' un'altra. Cosi' abbiamo fatto una prova pratica: 10 email di phishing simulate, con livelli di sofisticazione crescente, inviate a una casella Office 365 protetta solo da EOP.
Spoiler: i risultati non sono rassicuranti. Ma partiamo dall'inizio.
Per rendere il test il piu' realistico possibile, abbiamo definito un protocollo chiaro e ripetibile.
Non e' un test certificato da un laboratorio indipendente. E' una simulazione realistica che replica quello che succede ogni giorno nelle caselle email delle aziende italiane. I risultati parlano da soli.
Ecco i 10 scenari, dal piu' semplice al piu' sofisticato.
La piu' basica di tutte. Oggetto in inglese, mittente sconosciuto, corpo pieno di keyword spam, link a un sito farmaceutico sospetto. E' il tipo di spam che esiste dal 2005.
Nessuna sorpresa. Entrambi i sistemi gestiscono lo spam tradizionale senza problemi. E' il livello minimo.
Email che imita una notifica PayPal: "Il tuo account e' stato limitato, clicca qui per verificare". Template copiato da una campagna nota, link verso un dominio gia' presente in blacklist.
Anche qui, entrambi funzionano. Il link era in blacklist da settimane, il mittente era flaggato. Questo e' lo spam che Defender sa fermare bene. Ma da qui in poi le cose cambiano.
Email che imita una notifica di Microsoft: "La tua sessione e' scaduta, accedi di nuovo per continuare". Logo Microsoft perfetto, layout identico alle email reali di Microsoft 365. Il link punta a un dominio registrato da meno di 24 ore con un certificato SSL valido. La pagina di destinazione e' una replica esatta della schermata di login di Microsoft.
Perche' Defender fallisce: EOP controlla i link contro database di URL noti come malevoli. Un dominio registrato da poche ore non e' ancora in nessuna blacklist. Ci vogliono ore o giorni prima che venga segnalato. Nel frattempo, l'email e' gia' nella tua inbox.
Email da un presunto fornitore italiano con una "fattura" allegata in formato PDF. Il PDF contiene una macro che, se attivata, scarica ed esegue codice malevolo dal server dell'attaccante.
Perche' Defender fallisce: senza sandboxing (disponibile solo con Defender Plan 1+), EOP puo' solo confrontare l'hash del file con il database di malware conosciuti. Se il malware e' nuovo o offuscato, passa. E' come cercare un criminale confrontando la foto segnaletica — se non l'hai mai visto prima, lo lasci entrare.
Email che sembra arrivare dal CEO dell'azienda (display name corretto, dominio simile con una lettera cambiata). Testo: "Ciao Marco, sto chiudendo un'acquisizione riservata. Ho bisogno che tu disponga un bonifico di 18.500 euro entro oggi. Ti mando le coordinate. Non ne parlare con nessuno per ora, questioni di riservatezza.".
Perche' Defender fallisce: EOP non capisce il significato dell'email. Guarda firme, URL, allegati. Un'email di testo puro senza link e senza allegati e' invisibile ai suoi filtri. Ma e' esattamente questo il tipo di attacco che costa alle aziende italiane decine di migliaia di euro per singolo incidente.
Email che cita il nome reale del destinatario, il suo ruolo in azienda, un progetto menzionato su LinkedIn e il nome di un collega reale. "Ciao Laura, come anticipato durante la call con Alessandro sul progetto di migrazione cloud, ti giro il documento aggiornato con le specifiche tecniche." Link a un documento su un dominio che imita Google Drive.
Email con un link che punta a un sito legittimo (ad esempio un servizio di URL shortening o un redirect di Google). Il sito legittimo redirige a un secondo sito, che redirige a un terzo — la destinazione finale e' una pagina di phishing. Al momento dell'invio, la catena di redirect porta a una pagina innocua. Dopo 3 ore, la destinazione finale viene cambiata con la pagina di phishing.
Email da "support@micros0ft.com" (con uno zero al posto della "o") che chiede di aggiornare le impostazioni di sicurezza dell'account Microsoft 365. Template perfetto, logo autentico, tono professionale.
Email che contiene solo un'immagine con un QR code. Nessun link testuale, nessun allegato eseguibile. Il QR code punta a una pagina di phishing ottimizzata per mobile. L'email dice: "Scansiona il codice QR per accedere al documento condiviso".
Perche' e' importante: il QR code phishing e' esploso nel 2025-2026 proprio perche' bypassa la maggior parte dei filtri email tradizionali. Nessun link testuale significa nessun URL da controllare — a meno che il sistema non sappia leggere le immagini.
Email con un allegato .html che, quando aperto nel browser, esegue JavaScript offuscato per mostrare una pagina di login fake e inviare le credenziali all'attaccante. L'HTML e' costruito per eludere la scansione: il codice malevolo e' frammentato, codificato in base64 e assemblato dinamicamente a runtime.
Ecco il quadro completo:
| # | Scenario | Defender (EOP) | MailSniper |
|---|---|---|---|
| 1 | Spam classico (viagra) | BLOCCATA | BLOCCATA |
| 2 | Phishing PayPal (link in blacklist) | BLOCCATA | BLOCCATA |
| 3 | Phishing Microsoft 365 (URL nuovo) | PASSA | BLOCCATA |
| 4 | PDF con macro malware | PASSA | BLOCCATA |
| 5 | BEC CEO Fraud (testo puro) | PASSA | BLOCCATA |
| 6 | Spear phishing personalizzato | PASSA | BLOCCATA |
| 7 | URL redirect chain (delayed phishing) | PASSA | BLOCCATA |
| 8 | Brand impersonation (dominio simile) | PASSA | BLOCCATA |
| 9 | QR code phishing (nessun link testuale) | PASSA | BLOCCATA |
| 10 | HTML con JavaScript offuscato | PASSA | BLOCCATA |
Defender (EOP): 2 su 10 bloccate (20%) MailSniper: 10 su 10 bloccate (100%)
Le 2 email che Defender blocca sono spam e phishing che esistono da 10 anni — minacce gia' in blacklist, con pattern noti e riconosciuti. Le 8 che passano sono le minacce del 2026: phishing con URL nuovi, BEC senza link, QR code, allegati offuscati, redirect chain.
Non e' che Defender sia rotto. Fa esattamente quello per cui e' stato progettato: filtrare lo spam di massa e il malware gia' catalogato. Il problema e' che le minacce si sono evolute, e EOP e' rimasto al 2018.
I risultati non sono casuali. Derivano da differenze architetturali fondamentali tra i due sistemi.
EOP si basa su tre pilastri:
MailSniper aggiunge:
La differenza non e' quantitativa — e' qualitativa. Sono due approcci fondamentalmente diversi alla sicurezza email. Uno cerca quello che conosce gia'. L'altro analizza tutto quello che arriva, noto o sconosciuto.
Se la tua azienda usa Office 365 con solo EOP, hai tre strade.
La soluzione piu' rapida ed efficace. MailSniper si posiziona come layer aggiuntivo davanti a Office 365 senza sostituire nulla. EOP continua a funzionare come primo filtro, MailSniper aggiunge tutto quello che manca.
Puoi aggiungere Defender for Office 365 Plan 2 (circa /utente/mese). Ottieni Safe Attachments, Safe Links e threat investigation. E' una soluzione valida, ma costa di piu', richiede configurazione avanzata e non ha AI semantica per il rilevamento BEC allo stesso livello.
Per un confronto dettagliato tra le diverse opzioni, consulta la nostra pagina dedicata.
Puoi decidere che il rischio e' accettabile. Ma considera questo: basta una sola email delle 8 che passano per causare un danno. Un bonifico BEC da 15.000 euro. Un ransomware che blocca l'azienda per giorni. Una violazione dati che richiede notifica al Garante. Vuoi sapere quanto costerebbe alla tua azienda? Usa il nostro calcolatore del costo di un attacco.
Abbiamo visto i limiti teorici (parte 1) e i risultati pratici (questo articolo). Nella parte 3 calcoliamo i numeri: quanto costa davvero alla tua azienda un attacco email riuscito?
Fermo operativo, recupero dati, sanzioni GDPR, danni reputazionali, costi legali. Lo quantifichiamo con numeri reali basati su casi italiani. E ti mostriamo perche' il costo di un antispam serio e' una frazione microscopica del danno che previene.
Se nel frattempo vuoi verificare il livello di sicurezza delle tue email, puoi fare il test di phishing gratuito o il nostro quiz di sicurezza email. Ci vogliono 2 minuti.
Redazione MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoAlle 3:47 di una notte qualsiasi, un analista scopre i dati di AstraZeneca su un forum underground. Dietro c'è TeamPCP, con una tattica rara: il doppio ransomware. Ecco come funziona l'attacco alla supply chain che ha messo in ginocchio due colossi
LeggiQuarantotto ore senza nuovi host compromessi. Per la campagna TeamPCP non è un segnale positivo: significa che il gruppo ha smesso di espandersi e ha iniziato a raccogliere. Analisi della fase di monetizzazione, TTPs e raccomandazioni operative per i team di sicurezza.
LeggiUn add-in malevolo per Microsoft Outlook ha sottratto oltre 4.000 credenziali aziendali. Analizziamo come funziona questo nuovo vettore di attacco, perché sfugge ai controlli tradizionali e quali contromisure adottare per proteggere la tua organizzazione.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.