{"id":13225,"date":"2026-08-05T06:10:15","date_gmt":"2026-08-05T06:10:15","guid":{"rendered":"https:\/\/avvocatotelematico.studiolegalearcella.it\/public_html\/?p=13225"},"modified":"2026-08-05T06:10:15","modified_gmt":"2026-08-05T06:10:15","slug":"la-finta-notifica-docusign-che-arriva-da-un-mittente-vero","status":"publish","type":"post","link":"https:\/\/avvocatotelematico.studiolegalearcella.it\/public_html\/2026\/08\/05\/la-finta-notifica-docusign-che-arriva-da-un-mittente-vero\/","title":{"rendered":"La finta notifica DocuSign che arriva da un mittente vero"},"content":{"rendered":"

Anatomia di una truffa che non si riconosce guardando il mittente – e che prende di mira, in modo tutt\u2019altro che casuale, gli studi legali. Arrivata, non per caso, nei giorni delle partenze.<\/em><\/p>\n

Le prime settimane di agosto sono il momento pi\u00f9 pericoloso dell\u2019anno per la posta elettronica di uno studio legale. Non perch\u00e9 gli attacchi aumentino – anche se aumentano – ma perch\u00e9 cambia il modo in cui leggiamo.<\/p>\n

Si controlla la casella di sfuggita, dal telefono, con lo schermo che riflette il sole e met\u00e0 dell\u2019attenzione occupata altrove. Si scorre in piedi aspettando un caff\u00e8, sotto l\u2019ombrellone, la sera prima di cena. La soglia si abbassa: si apre la posta per liberarla, non per esaminarla. In pi\u00f9 si \u00e8 soli – il collega a cui si sarebbe detto \u00abguarda un attimo questa\u00bb \u00e8 in ferie anche lui – e sullo schermo di un telefono l\u2019indirizzo di destinazione di un collegamento non si vede, a meno di andarlo a cercare apposta.<\/p>\n

Chi costruisce queste campagne lo sa, e calibra il calendario di conseguenza. Vale la pena tenerlo a mente leggendo quel che segue.<\/p>\n

Il 4 agosto 2026 \u00e8 arrivata nella casella dello Studio una email che, a un controllo distratto, non presentava alcuna anomalia: mittente reale, dominio esistente, nessun allegato sospetto, tutti i controlli di autenticazione superati. In cima, il riquadro blu e il pulsante giallo di DocuSign<\/strong>: \u00abYou have been sent a document to review and sign<\/em>\u00bb. Sotto, una conversazione commerciale in inglese lunga decine di schermate, con firme aziendali, loghi, importi e citazioni annidate.<\/p>\n

Quella email era una truffa. Ma non nel modo in cui siamo abituati a immaginarla, e per questo merita di essere raccontata nel dettaglio: \u00e8 il modello di attacco che oggi funziona meglio contro gli studi professionali.<\/p>\n\n\n\n
In breve<\/strong><\/p>\n

Un\u2019email autentica, inviata da una casella davvero compromessa, con dentro una vera conversazione d\u2019affari rubata e cinque righe di esca aggiunte in cima. Nessun allegato infetto: l\u2019unico pericolo \u00e8 un collegamento. Chi lo apre e inserisce le proprie credenziali consegna la casella di posta dello studio – e con essa la corrispondenza di tutti i clienti.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

 <\/p>\n

    \n
  1. Il punto che cambia tutto: il mittente non era falsificato<\/strong><\/li>\n<\/ol>\n

    La prima regola che tutti abbiamo imparato – \u00abcontrolla l\u2019indirizzo del mittente\u00bb – qui non serve a nulla. L\u2019email non era spedita da un indirizzo somigliante a quello vero: era spedita dall\u2019indirizzo vero.<\/p>\n

    L\u2019analisi tecnica delle intestazioni lo dimostra senza margini di dubbio. Tutti i protocolli di autenticazione della posta risultano superati: SPF<\/strong> (il server di invio era autorizzato dal dominio), DKIM<\/strong> (il messaggio era firmato con la chiave crittografica privata del dominio mittente), ARC<\/strong> (la catena di inoltro era integra). Il Message-ID ha il formato nativo di Gmail e il messaggio \u00e8 transitato dal relay che Google riserva agli utenti gi\u00e0 autenticati.<\/p>\n

    Sono condizioni che un falsificatore non pu\u00f2 riprodurre: per firmare con DKIM occorre possedere la chiave privata del dominio. La conclusione obbligata \u00e8 che qualcuno aveva effettuato l\u2019accesso a quella casella aziendale e inviava dall\u2019interno.<\/p>\n\n\n\n
    Perch\u00e9 conta<\/strong><\/p>\n

    Nessun filtro antispam pu\u00f2 bloccare in modo affidabile un messaggio correttamente autenticato che proviene da un dominio con buona reputazione. Le difese basate sul \u00abchi scrive\u00bb sono cieche davanti a questa tecnica: l\u2019unica difesa che resta \u00e8 il comportamento di chi legge.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

     <\/p>\n

      \n
    1. Anatomia: il 99,7% del messaggio \u00e8 autentico<\/strong><\/li>\n<\/ol>\n

      La tecnica si chiama thread hijacking<\/em><\/strong>, dirottamento di conversazione. Chi controlla la casella violata non scrive un messaggio nuovo: pesca nell\u2019archivio una discussione reale e ancora aperta, vi antepone poche righe di esca e la rispedisce.<\/p>\n

      \"\"<\/a><\/p>\n

      Fig. 1 – La struttura del messaggio: cinque righe di esca sopra 62.689 caratteri di corrispondenza autentica sottratta alla casella violata. Nomi e riferimenti delle societ\u00e0 coinvolte sono stati oscurati.<\/em><\/p>\n

      Nel caso esaminato il rapporto \u00e8 impressionante: l\u2019esca occupa cinque righe, lo 0,3% del messaggio. Tutto il resto – 62.689 caratteri – \u00e8 corrispondenza vera fra una societ\u00e0 di spedizioni e i suoi corrispondenti: solleciti per fatture scadute da 85 giorni, un pagamento di 7.257 euro, l\u2019apertura di un conto presso una banca asiatica, verifiche antiriciclaggio, firme con loghi e condizioni generali di trasporto.<\/p>\n

      \u00c8 esattamente quel materiale a rendere credibile l\u2019esca. Il destinatario scorre, riconosce il tono e la grana di una corrispondenza d\u2019affari reale – perch\u00e9 reale \u00e8 – e non pensa a mettere in discussione le cinque righe in cima.<\/p>\n

        \n
      1. L\u2019unico pericolo \u00e8 un collegamento<\/strong><\/li>\n<\/ol>\n

        Il messaggio non conteneva allegati eseguibili, macro, script o codice di alcun tipo: la verifica tecnica sul file lo esclude. Le uniche immagini presenti erano loghi aziendali legittimi, integri, senza dati nascosti. Il vettore d\u2019attacco era uno solo, e richiedeva la collaborazione della vittima: il pulsante.<\/p>\n

        \"\"<\/a><\/p>\n

        Fig. 2 – Il riquadro come appare al destinatario. La grafica \u00e8 perfetta perch\u00e9 i loghi sono prelevati dal server ufficiale di DocuSign. Il collegamento, per\u00f2, porta altrove.<\/em><\/p>\n

        Il pulsante \u00abReview Documents Here\u00bb puntava a http:\/\/ud.xgcswix.com\/. Un dominio che non ha alcuna relazione con DocuSign, i cui indirizzi legittimi sono docusign.com e docusign.net. Si noti anche il protocollo: http in chiaro, mentre DocuSign usa esclusivamente https.<\/p>\n

        La grafica, per\u00f2, era autentica in senso letterale: i loghi non erano imitazioni, ma le immagini originali richiamate direttamente dal server ufficiale di DocuSign. Un espediente che rende il riquadro visivamente indistinguibile da una notifica vera – e che, va detto con chiarezza, non implica alcun coinvolgimento o responsabilit\u00e0 di DocuSign, il cui marchio \u00e8 qui la parte lesa insieme ai destinatari.<\/p>\n

        Che cosa ci sarebbe stato dall\u2019altra parte<\/strong><\/p>\n

        Al momento dell\u2019analisi il sottodominio era gi\u00e0 stato disattivato: la pagina viene tolta dopo poche ore, per sfuggire alle segnalazioni. Ma i domini \u00abgemelli\u00bb della stessa infrastruttura, ancora documentati negli archivi pubblici di scansione, ospitavano pagine di autenticazione contraffatte – finti accessi Microsoft 365 o Google.<\/p>\n\n\n\n
        Attenzione: l\u2019autenticazione a due fattori non basta pi\u00f9<\/strong><\/p>\n

        Le pagine di questo tipo funzionano sempre pi\u00f9 spesso come ponte in tempo reale: mentre la vittima digita, i dati vengono ritrasmessi al sito autentico. La pagina chiede anche il codice OTP, lo inoltra e ottiene in cambio il cookie di sessione. Da quel momento l\u2019aggressore \u00e8 dentro la casella senza dover pi\u00f9 superare alcun secondo fattore. Cambiare la password, da sola, non lo estromette: occorre revocare le sessioni attive.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

         <\/p>\n

          \n
        1. Dietro non c\u2019\u00e8 un truffatore, c\u2019\u00e8 un\u2019industria<\/strong><\/li>\n<\/ol>\n

          Vale la pena di guardare l\u2019infrastruttura, perch\u00e9 spiega perch\u00e9 questi attacchi non si esauriscono e perch\u00e9 i sistemi di blocco arrivano sempre un passo indietro.<\/p>\n

          \"\"<\/a><\/p>\n

          Fig. 3 – I domini della stessa infrastruttura, con data e ora di registrazione. Tutti sullo stesso server e sugli stessi nameserver.<\/em><\/p>\n

          Il dominio dell\u2019attacco era stato registrato il 2 luglio 2026: aveva 33 giorni di vita<\/strong> quando l\u2019email \u00e8 partita. Non \u00e8 solo: risiede su un server negli Emirati Arabi Uniti insieme a una dozzina di altri domini con lo stesso schema di denominazione – due lettere di sottodominio e una sequenza casuale di consonanti – e tutti appoggiati agli stessi nameserver<\/em>.<\/p>\n

          Il dettaglio decisivo sono gli orari di registrazione: due domini acquistati a ventidue secondi di distanza, altri due nello stesso identico secondo. Sono acquisti automatizzati in blocco. Il ricambio continuo dei nomi a dominio serve proprio a stare davanti alle liste di blocco: quando un indirizzo viene segnalato, la campagna successiva ne usa gi\u00e0 un altro.<\/p>\n

            \n
          1. Perch\u00e9 lo studio legale \u00e8 un bersaglio privilegiato<\/strong><\/li>\n<\/ol>\n

            La scelta dei destinatari non \u00e8 casuale. Un avvocato riunisce in una sola casella caratteristiche che, per chi conduce questo tipo di frode, valgono molto pi\u00f9 della media.<\/p>\n