Team MailSniper
Autore
Stai dormendo tranquillo e il tuo server email sta mandando spam a 50.000 destinatari. Non sei tu a farlo — qualcuno lo sta usando come relay aperto.
È successo a PCPJack, un threat actor che ha accidentalmente esposto online i propri tool, log e file C2. I ricercatori hanno scoperto una rete di 230 nodi cloud usati come relay email per inviare spam e phishing a nome di domini rubati. Il dettaglio divertente? Il criminale ha lasciato aperta la porta di casa.
Ma il punto non è ridere del malvivente distratto. Il punto è: come fai a sapere che non stai già contribuendo alla stessa rete?
Un open relay è un server email che accetta email da chiunque e le inoltra a qualsiasi destinatario, senza verificare che il mittente sia autorizzato a usarlo. Quando un server è configurato così, diventa il bersaglio perfetto per spammer e phisher. E spesso il sysadmin non se ne accorge finché non riceve 500 segnalazioni di spam o — peggio — il blocco delle liste RBL.
Se il tuo dominio finisce in una lista nera, prepareti a dire addio alla deliverability. Le email legittime non arrivano più. Il CEO urla, il cliente chiede spiegazioni, e tu devi spiegare che il server è stato abusato per tre giorni.
Questa guida ti mostra come capire se il tuo server è un open relay e come chiuderlo prima che qualcuno lo usi come PCPJack ha fatto con i suoi 230 nodi.
Prima di iniziare, assicurati di avere:
Se usi un provider gestito (Office 365, Google Workspace, MailSniper), hai meno controllo diretto ma puoi comunque verificare i log di invio dal pannello admin.
Il modo più diretto è testarlo da fuori. Puoi usare il tool online MXToolbox (gratuito) oppure farlo manualmente.
Per test manuale:
# Connettiti al tuo server SMTP
telnet tuodominio.com 25
# Se il server risponde, prova a inviare senza autenticazione
EHLO test
MAIL FROM:<test@tuodominio.com>
RCPT TO:<destinatario@esterno.com>
DATA
Test email
.
QUITSe il server accetta RCPT TO verso un dominio esterno senza chiederti autenticazione, **hai un problema.
Il test con MXToolbox è più semplice:
I log sono la tua migliore amica. Cerca pattern anomali:
# Esempio per Postfix (Linux)
tail -n 5000 /var/log/mail.log | grep -i "relay"
# Cerca invii verso domini sconosciuti in gran quantità
grep "RCPT TO" /var/log/mail.log | cut -d'<' -f3 | cut -d'>' -f1 | sort | uniq -c | sort -rn | head -20Cosa cercare:
Questi record DNS sono la prima linea di difesa. Se sono configurati male, il tuo dominio può essere facilmente spoofato.
SPF — Autorizza chi può inviare email per il tuo dominio:
v=spf1 include:_spf.google.com ~allIl ~all (softfail) è meglio di -all (hardfail) per chi inizia, ma l'ideale è usare -all e testare bene.
DKIM — Aggiunge una firma crittografica alle email. Se non l'hai, il tuo server può essere usato per firmare email fasulle.
DMARC — Dice ai destinatari cosa fare se SPF e DKIM falliscono:
v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@tuodominio.comp=quarantine significa "metti in quarantena", p=reject è più aggressivo.
Se usi Postfix, il file main.cf deve avere:
# Blocca relay senza autenticazione
smtpd_relay_restrictions = permit_mynetworks, reject
smtpd_sender_restrictions = permit_mynetworks, reject_sender_login_mismatch
# Limita chi può usare il server
mynetworks = 127.0.0.0/8, 10.0.0.0/8, 192.168.0.0/16Se usi Exchange, vai in Receive Connectors e disabilita l'anonymous access per i connector esterni. Lascia solo i connector interni con autenticazione.
Se il tuo IP finisce in una lista nera (Spamhaus, SORBS, UCEPROTECT), le tue email vengono bloccate. Configura un allarme:
# Script semplice per controllare le RBL (da mettere in cron)
#!/bin/bash
DOMAIN="tuodominio.com"
IP=$(dig +short $DOMAIN A | tail -n1)
for list in spamhaus.org sorbs.net; do
result=$(dig +short ${IP}.${list} | grep ".")
if [ -n "$result" ]; then
echo "ATTENZIONE: $IP in $list" | mail -s "RBL Alert" admin@tuodominio.com
fi
doneL'autenticazione deve essere obbligatoria per inviare email. Nessuna eccezioni.
Per Postfix:
# Richiedi autenticazione per tutti
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_tls_security_options = noanonymousPer Office 365: vai nel centro admin, Exchange > Mail flow > Connectors e assicurati che solo gli utenti autenticati possano inviare.
Dopo aver applicato le modifiche, verifica che tutto funzioni:
Il server accetta ancora email senza autenticazione dopo la modifica
Riavvia il servizio SMTP. Su Postfix: systemctl restart postfix. Su Exchange: riavviai i servizi Transport.
SPF fallisce sempre anche se configurato bene
Il record potrebbe essere troppo lungo (più di 255 caratteri). Usa il meccanismo include: per dividere gli IP autorizzati. Verifica con dig tuodominio.com TXT.
Il dominio è già in una lista nera — come rimuoverlo?
Ogni lista ha una procedura diversa. Di solito:
Non ho accesso ai log del server — cosa faccio?
Se usi un provider cloud gestito, cerca nel pannello admin la sezione "Email Logs" o "Audit Logs". Se non trovi nulla, apri un ticket di supporto e chiedi conferma che il relay sia bloccato.
DMARC report mostra migliaia di tentativi da IP sconosciuti — è normale?
Dipende. Se sono pochi e vengono rifiutati, è OK. Se sono tanti e alcuni passano, il tuo SPF/DKIM è debole. Aumenta le restrizioni.
PCPJack ha lasciato esposta la propria infrastruttura e i ricercatori hanno scoperto 230 nodi di relay email. Il lesson? Anche i criminali sbagliano, ma tu non aspettare che qualcuno sbagli dal tuo lato.
Un open relay è come una porta di casa aperta con un cartello "entrate liberi". Qualcuno prima o poi entra. E quando entra, il danno è fatto.
La verifica è semplice: 30 minuti di test possono salvarti da giorni di casino, blacklist e chiamate furibonde del CEO.
Se non hai tempo di fare tutto manualmente o vuoi una soluzione che semplifica il monitoraggio, considera un servizio di protezione email che gestisca relay, autenticazione e monitoraggio RBL automaticamente. MailSniper offre queste funzionalità con dashboard dedicata e alert in tempo reale.
Il tuo server è un open relay? Fammi sapere nei commenti se il test ha rivelato sorprese.
Team MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoLe truffe WhatsApp nel 2026 hanno raggiunto un livello di sofisticazione senza precedenti. Dalla classica frode del 'finto figlio' ai task scam con investimenti crypto, fino al voice cloning AI-driven, gli attaccanti sfruttano psicologia, urgenza e la fiducia implicita nel canale. Analisi completa delle tecniche, impatto aziendale e strategie di mitigazione.
LeggiUn threat actor ha compromesso 230 server cloud per inviare spam e phishing. Il problema? Le email sembrano provenire da provider affidabili. Ecco il costo reale per la tua PMI e il piano d'azione in 3 mosse.
LeggiPer mesi un gruppo di hacker ha avuto accesso diretto alla casella email di un dirigente di borsa. Nessun malware complesso, solo strumenti che Windows già ha. La storia di come un attacco silenzioso può passare mesi inosservato.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.