Mail Forensics: capire i rischi di una email sul Mac

Arriva un messaggio con un nome familiare, un oggetto normale e una richiesta apparentemente ragionevole. Prima di rispondere, pagare o seguire un collegamento, vuoi capire da chi dichiara di provenire e se gli elementi disponibili sostengono quella versione dei fatti. Un client di posta è progettato per rendere leggibile la corrispondenza. I dettagli tecnici utili a rispondere a queste domande, spesso, sono altrove.

Mail Forensics porta quei dettagli in uno spazio di lavoro nativo per Mac. Importi un messaggio, osservi la mappa delle evidenze disponibili e apri i controlli che richiedono attenzione. Le incoerenze del mittente, le dichiarazioni di autenticazione e le informazioni sulla consegna diventano risultati consultabili, accompagnati da una spiegazione.

L’app è utile per esaminare una fattura inattesa, una richiesta relativa a un account, un messaggio che sembra impersonare un collega o una email di origine poco chiara. Analizza i messaggi che scegli di importare. Non sorveglia continuamente la casella, non sostituisce il client di posta e non blocca automaticamente i messaggi in arrivo.

Le nove schermate di questo articolo sono state acquisite dall’interfaccia nativa dell’app usando messaggi dimostrativi inventati. Gli indirizzi e gli IP dei relay sono esempi riservati alla documentazione. Per queste acquisizioni i controlli di rete sono disattivati e non è stata inviata alcuna richiesta AI. L’interfaccia mostrata è in inglese; spiegazioni e didascalie sono disponibili in entrambe le lingue.

Una email contiene diversi livelli di informazione. Il nome visualizzato può essere diverso dall’indirizzo effettivo. Le risposte possono essere indirizzate verso un altro dominio. I risultati di autenticazione possono comparire nel sorgente, mentre le intestazioni Received descrivono il percorso dichiarato dai server di posta. Mail Forensics legge insieme questi elementi e ne rende visibile la provenienza.

Questa distinzione conta. Una intestazione importata che riporta “pass” non è, da sola, una prova indipendente dell’identità del mittente. Allo stesso modo, l’assenza di informazioni sull’autenticazione non dimostra che una email personale sia una truffa. La vista Authentication conserva gli esiti dichiarati e identifica come non verificate le informazioni importate. Questa versione non esegue autonomamente la verifica crittografica delle firme DKIM.

La valutazione grafica segue lo stesso criterio. Un nodo rosso segnala un indicatore forte, il giallo richiede una revisione, il verde indica che quel controllo non ha rilevato indicatori nelle evidenze disponibili e il grigio distingue informazioni mancanti, non verificate o non analizzate. La mappa non trasforma questi colori in una probabilità statistica di truffa. Un nodo verde non certifica la sicurezza della email, dei suoi collegamenti o degli allegati.

Un secondo messaggio dimostrativo rende visibile la differenza: una semplice conferma di riunione non presenta incoerenze di identità, quindi quel nodo è verde. Autenticazione, infrastruttura e analisi del contenuto restano chiaramente incomplete. L’assenza di un risultato sospetto e l’assenza di un controllo vengono rappresentate separatamente.

Si parte dal messaggio

Trascina una email da Apple Mail o da un altro client di posta supportato dentro l’app. Quando il client fornisce un sorgente compatibile o un file promesso durante il trascinamento, non serve salvare prima il messaggio in una cartella. La compatibilità dipende dai dati che il client di origine rende disponibili. Puoi anche aprire file EML o EMLX, importare più messaggi insieme oppure incollare il sorgente e le intestazioni. Fornire soltanto le intestazioni limita necessariamente ciò che sarà possibile analizzare in seguito.

Uno spazio di lavoro organizzato intorno alle evidenze

Overview è il punto di partenza di ogni indagine. La sua mappa a nodi collegati distingue i controlli tecnici dall’analisi AI facoltativa del contenuto. Il ramo tecnico riguarda identità, autenticazione, infrastruttura di posta e indicatori del dominio. Il ramo del contenuto riguarda richieste di pagamento, credenziali, impersonificazione, collegamenti ingannevoli, pressione e urgenza, oltre agli altri contenuti. Selezionando un nodo si aprono le evidenze che spiegano il suo stato. Il report tecnico e la spiegazione restano disponibili sotto la mappa.

Il navigatore a sinistra apre le viste specialistiche mantenendo il messaggio selezionato. La cronologia della sessione conserva fino a venti messaggi importati mentre l’app rimane aperta. Puoi cercare per mittente, oggetto, Message-ID o nome del file, combinare la ricerca con un filtro di rischio e tornare a un’indagine precedente. L’ispettore a destra mantiene vicini i dettagli della sorgente, la dimensione, i destinatari e il dominio dichiarato dal mittente.

Risultati che si possono esaminare

Findings mostra le osservazioni alla base della valutazione tecnica, con livelli di gravità e ricerca nelle evidenze. Nel nostro messaggio di pagamento inventato, l’indirizzo visualizzato è diverso dal mittente effettivo e le risposte vengono indirizzate a un terzo dominio. Sono discrepanze concrete da approfondire. Gli esiti negativi di autenticazione importati vengono mostrati insieme alla loro incertezza, senza trasformarli in fatti verificati in modo indipendente.

Autenticazione con la sorgente in vista

La pagina Authentication raggruppa gli esiti SPF, DKIM e DMARC, mostra il servizio che li dichiara e conserva i valori sottostanti. I dettagli delle firme DKIM comprendono il dominio dichiarato, il selettore e l’algoritmo. Puoi così vedere cosa dice effettivamente la sorgente, comprese le informazioni mancanti o contraddittorie, prima di formulare una conclusione.

Seguire il percorso di consegna dichiarato

Delivery path organizza le intestazioni Received in una catena di relay con nomi host, indirizzi, protocolli dichiarati e orari. Puoi esaminare i singoli passaggi e confrontarne le informazioni temporali. Si tratta del percorso dichiarato nella email: l’indirizzo di un relay non identifica la posizione fisica o l’identità personale dell’autore.

Scegliere quando usare le informazioni di rete

Con Network attivo, l’app può arricchire l’indagine con geolocalizzazione dei relay, controlli di reputazione IP, DNS inverso e informazioni sulla registrazione dei domini. La pagina Network checks espone separatamente lo stato di ogni interrogazione. Un servizio che non risponde lascia una verifica indisponibile: non diventa un risultato senza anomalie. I controlli si possono interrompere o ripetere.

Disattiva Network per lavorare sulle sole intestazioni. La lettura tecnica avviene localmente; l’arricchimento invia le interrogazioni pertinenti su indirizzi o domini a servizi esterni. La schermata mostra volutamente i controlli disattivati, senza presentare gli indirizzi dimostrativi come risultati di rete reali.

Tornare ai dati originali

Source & headers offre campi interpretati, ispezione delle intestazioni, dettagli di autenticazione e sorgente grezzo. È il luogo in cui confrontare una spiegazione con i dati che l’hanno prodotta. Una panoramica leggibile è utile; poter consultare i campi originali permette anche di metterla in discussione.

AI facoltativa, con il tuo fornitore

AI Settings supporta OpenAI, Anthropic Claude e DeepSeek. Scegli fornitore e modello, salva la chiave API nel Portachiavi di macOS e verifica la connessione. Salvare la chiave e verificare con successo l’accesso al modello sono due operazioni distinte, ciascuna con un proprio messaggio di esito. Il test di connessione non invia il contenuto delle email.

L’analisi del messaggio parte da Overview con Add AI analysis. Se manca una chiave configurata, l’app ti indirizza alle impostazioni. Puoi scegliere se includere il testo del messaggio, mascherare identificatori personali comuni, limitare l’input e consultare un’anteprima preparata. Il mascheramento riduce alcune esposizioni, ma non garantisce l’anonimizzazione. Il materiale selezionato viene inviato al fornitore scelto, secondo la sua politica sui dati, e utilizza i tuoi crediti API. Gli allegati sono esclusi e il componente che prepara l’anteprima non apre i collegamenti estratti.

La valutazione ricevuta affianca al ramo del contenuto della mappa un riepilogo scritto, risultati per categoria, citazioni delle evidenze, limiti e azioni suggerite. Integra le verifiche tecniche. Un linguaggio normale non cancella una incoerenza del mittente e il parere di un modello non dimostra l’autenticità del messaggio. Le schermate mostrano la configurazione e i nodi del contenuto non ancora analizzati, senza presentare una risposta simulata come risultato AI reale.

Conservare un report e conoscere le nuove release

Puoi copiare l’analisi corrente come testo, esportare un report PDF da leggere o condividere oppure salvare le evidenze strutturate in JSON. Le esportazioni documentano l’indagine in quel momento, con i risultati disponibili e i loro limiti. La cronologia della sessione è temporanea: esporta il materiale che vuoi conservare.

Mail Forensics 1.6.0 è disponibile gratuitamente come download diretto per Mac con Apple Silicon e macOS 14 Sonoma o successivo. App e DMG sono firmati con Developer ID e notarizzati da Apple. Non serve un account Mail Forensics; l’eventuale uso dei servizi AI viene fatturato separatamente dal fornitore.

L’app controlla automaticamente il canale delle release firmate mentre è aperta, normalmente ogni sei ore, e offre anche Check for Updates nel menu. Una build successiva compatibile produce un avviso. La versione 1.6.0 non scarica e non installa automaticamente l’aggiornamento. Il pannello di download di questa pagina legge il canale pubblicato, così puoi trovare qui la release corrente.