n8n Abusato per Phishing: Come Rilevarlo nei

TL;DR

• Cosa imparerai: Come identificare email phishing che passano attraverso n8n, analisi degli header, comandi di hunting
• Tempo richiesto: 15 minuti per la lettura, 30 minuti per l'implementazione
• Difficoltà: Intermedia — servono familiarità con log email e header

---

IL PROBLEMA

Stai controllando i log del tuo gateway email e noti qualcosa di strano: diverse email in uscita verso URL n8n.io, alcune con payload sospetti. Il problema? Gli attacker hanno scoperto che possono usare n8n come infrastruttura di comando e controllo per le loro campagne.

Da ottobre 2025, ricercatori di sicurezza hanno documentato un aumento significativo di attacchi che sfruttano la piattaforma di automazione n8n. Il motivo è semplice: è legittima, gratuita, e i filtri di sicurezza la considerano attendibile.

Come funziona l'attacco:

1. L'hacker crea un workflow n8n pubblico o compromette un'istanza
2. Invia email di phishing con link verso il workflow n8n
3. L'utente clicca, il workflow raccoglie credenziali o scarica malware
4. Il tutto passa attraverso un dominio "fidato" che i filtri non bloccano

Se stai leggendo questo articolo, probabilmente hai già visto nei tuoi log email strane verso n8n.io o hai notato un incremento anomalo di email sospette. Oppure vuoi prepararti prima che succeda.

---

PREREQUISITI

Prima di iniziare, assicurati di avere:

• Accesso ai log del tuo gateway email (MailSniper, Exchange, Postfix, etc.)
• Possibilità di analizzare header email completi
• Accesso admin al pannello di gestione email
• Conoscenza base di come funzionano SPF, DKIM e DMARC

---

STEP-BY-STEP

Step 1: Identifica le email sospette nei log

Il primo passo è cercare nei tuoi log le email che contengono riferimenti a n8n. Ecco come farlo sui sistemi più comuni.

Se usi Postfix:

grep -i "n8n" /var/log/mail.log | grep -E "(outbound|incoming)" | head -50

Se usi Exchange (PowerShell):

Get-MessageTrackingLog -ResultSize 1000 | Where-Object {$_.MessageSubject -match "n8n" -or $_.Recipients -match "n8n.io"}

Se usi MailSniper:

Cerca nella quarantine o nei log di protezione inbound per URL contenenti:

• n8n.io
• n8n.cloud
• sottodomini come workflow-n8n

Cerca anche stringhe come:

• webhook
• http + n8n
• callback

Step 2: Analizza gli header dell'email sospetta

Una volta identificata un'email sospetta, scarica gli header completi. Cerca questi elementi:

Received: from n8n-worker-xxxxx.herokuapp.com (10.x.x.x)
  by mx.example.com with ESMTP;
  Tue, 15 Apr 2025 14:32:00 +0200

X-Originating-IP: [54.x.x.x]  # IP Heroku/n8n cloud
X-Mailer: n8n

Gli header da controllare:

• Received: Verifica l'origine. Se vedi Heroku, AWS, o altri provider cloud pubblici, è un primo segnale
• X-Mailer: Alcuni client nastrano "n8n" o tool simili
• Return-Path: Spesso diverso dal sender visualizzato
• Message-ID: Cerca pattern automatici come UUID lunghi

Step 3: Blocca i domini n8n non autorizzati

Se la tua azienda non usa n8n per workflow legittimi, puoi bloccare tutto il traffico verso i domini n8n. Aggiungi questa regola al tuo gateway:

Configurazione Postfix (main.cf):

# Blocca domini n8n sconosciuti
smtpd_sender_restrictions = 
    check_sender_access hash:/etc/postfix/n8n_block,
    permit_mynetworks

File /etc/postfix/n8n_block:

n8n.io REJECT Untrusted n8n domain
n8n.cloud REJECT Untrusted n8n domain
*.n8n.io REJECT Untrusted n8n domain

Se usi MailSniper:

Configura una regola di blocco URL nel pannello admin:

• URL pattern: ://.n8n.io/*
• Azione: Quarantena + notifica admin

Step 4: Se usi n8n legittimo, segmenta il traffico

Se la tua azienda usa n8n per workflow interni, non puoi bloccare tutto. Devi segmentare:

1. Identifica i workflow autorizzati: Elenca tutti gli URL n8n usati internamente
2. Crea una allowlist: Solo questi domini sono permessi
3. Monitora i pattern: Cerca variazioni negli URL autorizzati

Esempio di allowlist Postfix:

# /etc/postfix/n8n_allowed
company-n8n.example.com OK
internal-workflow.example.com OK

Step 5: Configura alert automatici

Non vuoi cercare manualmente ogni volta. Configura alert automatici:

Cron + logcheck:

# /etc/cron.d/n8n-alert
*/15 * * * * root grep -i "n8n" /var/log/mail.log | tail -5 >> /var/log/n8n-alert.log

Se hai un SIEM:

Query esempio per Splunk:

source=mail_logs | regex _raw="n8n\.(io|cloud)" | stats count by src_ip, subject | where count > 3

---

VERIFICA

Ora che hai implementato le difese, verifica che funzionino correttamente.

Test 1: Invia un'email di test verso te stesso

Crea un'email con un link di test verso n8n.io e inviala al tuo indirizzo di test:

To: test@tuodominio.it
Subject: TEST n8n detection
Body: Clicca qui: https://n8n.io/test-phishing-attempt

L'email dovrebbe essere:

• Quarantenata (se hai attivato il blocco)
• Marcata con tag sospetto
• Visibile nei log con flag WARNING

Test 2: Controlla i log dopo il test

grep -i "n8n" /var/log/mail.log | tail -20

Dovresti vedere:

• L'email ricevuta/processata
• Il motivo del blocco/quarantena
• L'IP sorgente

Test 3: Verifica la protezione in uscita

Se i tuoi utenti provano a inviare email contenenti link n8n sconosciuti:

grep "REJECT.*n8n" /var/log/mail.log

Dovresti vedere i tentativi bloccati con il codice di errore appropriato.

---

TROUBLESHOOTING

Problema 1: Falsi positivi su workflow legittimi

Sintomo: Email legittime che usano n8n vengono bloccate.

Soluzione: Aggiorna la allowlist con gli URL autorizzati. Controlla con il reparto IT se ci sono nuovi workflow n8n approvati.

Problema 2: Gli attacker usano domini simili a n8n

Sintomo: Vedi domini come n8n-api.com o n8n-automation.io.

Soluzione: Usa regex più aggressive nel blocco:

smtpd_sender_restrictions = 
    check_sender_access pcre:/etc/postfix/n8n_block_regex,
    permit_mynetworks

Con regex: /n8n/i

Problema 3: L'header non mostra n8n chiaramente

Sintomo: L'attacco è subdolo, non trovi tracce evidenti nei log.

Soluzione: Cerca pattern secondari:

• URL corti (bit.ly, tinyurl) che puntano a n8n
• Redirect HTTP
• Parametri GET sospetti nei webhook

Problema 4: Il blocco blocca anche email in uscita verso n8n

Sintomo: I tuoi workflow n8n legittimi non funzionano più.

Soluzione: Separa le regole inbound da outbound. Usa smtpd_recipient_restrictions per il blocco in ricezione.

---

CONCLUSIONE

Gli attacchi che sfruttano piattaforme di automazione come n8n sono una realtà. I filtri tradizionali si fidano di domini "legittimi" — e gli hacker lo sanno.

La difesa non è complicata: analizza i log, identifica i pattern sospetti, blocca o segmenta il traffico. Se hai un'antispam cloud come MailSniper che include URL analysis in tempo reale, hai già un vantaggio — il sistema può rilevare e bloccare questi link prima che arrivino agli utenti.

Il punto chiave: non basta più bloccare lo spam. Devi analizzare il comportamento, non solo il contenuto. E devi farlo ora, prima che il prossimo dipendente clicchi su quel link apparentemente innocuo.

Hai già visto qualcosa di sospetto nei tuoi log? Fammi sapere nei commenti — o meglio, vai a controllare adesso.