Newsgroup: it.comp.sicurezza.varie
Titolo: Spin.it - Dopo tutte le vicissitudini societarie, c'è ancora da fidarsi?

 
Scrivo qui, sperando di trovare ancora qualcuno che ha o aveva la mailbox
@
spin.it
. C'è ancora da fidarsi? Riassumo le mie (e loro) vicissitudini:
 
- In luglio 2019: arriva un comunicato da Spin contenente la notizia
dell'acquisizione di Spin da parte di InAsset.
 
- Più nessuna notizia mi si palesa finché solo ora, solo per curiosità, apro
con tutte le cautele un PDF allegato a un "sollecito di pagamento" che era
finito giustamente nello spam e lì a buon diritto era restato. Volevo capire
come mai né NOD32 né VirusTotal mi segnalavano niente. Mi insospettisce il
fatto che dentro ci trovo un mio vecchio recapito nonché il "sollecito di un
precedente sollecito" relativo a una misteriosa "fattura" precedente,
intestata a una società a me sconosciuta, Retelit, e per cui non era
specificato nulla, nemmeno la causale. Poi vedo la cifra totale, e mi suona
vagamente familiare. Mi viene in mente che coincide col canone Spin.
 
Allora comincio a ravanare e scopro che:
 
- InAsset è "passata" successivamente a Retelit. 
 
- Le mailbox Spin sono ora gestite da Retelit. Ma nessuno ha detto nulla di
niente agli ex clienti Spin! E sia InAsset prima sia Retelit dopo hanno
spedito mail che in tutto e per tutto appaiono come spam con allegato
fraudolento. Per dire, ecco alcuni testi:
 
| Invio Fattura
| Ricevi questa email contenente la copia del documento Fattura numero [...] del [...] in formato PDF secondo gli accordi presi con InAsset.
| La fattura elettronica è disponibile nell'area riservata del sito dell'Agenzia delle Entrate.
 
Oppure
 
| da un controllo della Vostra posizione contabile, risultano scadute le fatture,
| come da estratto conto allegato. Vi preghiamo di voler effettuare debiti controlli e di comunicarci gli estremi
| dell’avvenuto pagamento.
 
Questa seconda è un capolavoro. Se non c'era la cifra a farmi saltare la mosca
al naso io non potevo supporre in alcun modo, nemmeno aprendo l'allegato, che
era relativa alla mailbox Spin. 
 
Mentre ravanavo m'è pure saltata fuori una comunicazione, ancora
apparentemente da Retelit, che notificava il cambio del sistema di webmail per
le mailbox Spin. Ho capito che era davvero fraudolenta solo perché il link
puntava a un improbabile dominio indiano, ma come contenuto e forma, dati i
precedenti, poteva persino essere ritenuta plausibile.
 
Allora mi chiedo: è ancora il caso di stare con @
spin.it
? Ci si può mai fidare
di questo modo a dir poco sciatto nel gestire le cose? 
 
-- 
Luca - e-mail: p.stevens at 
libero.it
 

 fidare di questo modo a dir poco sciatto nel gestire le cose?
 
non ho idea di chi fossero 
spin.it
, ma da una breve ricerca non vedo 
traccia e il dominio principale ridirige come giustamente hai notato a 
retelit.it
. 
 
andando a vedere fra i servizi offerti da questa azienda:
 
https://www.retelit.it/it/servizi-ict
 
 
non vi è traccia di servizi e-mail.
 
morale della favola: stai utilizzando, pagando, un prodotto palesemente 
abbandonato. a te la conclusione...
 

 non ho idea di chi fossero 
spin.it
,
 
Allora prima ti serve un po' di storia, magari 
https://www.safemail.it/
 e
http://users.spin.it/informazioni/
, e i post degli anni '90 o primi 2000 di
Furio Ercolessi su it.news.net-abuse, se ancora stanno da qualche parte.
 
Prima di trarre conclusioni non mi fermerei a qual che (non) c'è sui siti di
Retelit. Servirebbe sapere quanto del vecchio staff o comunque delle loro
competenze è trasmigrato nella nuova gestione. Ossia se il problema è solo nel
nuovo reparto commerciale o si estende anche all'area tecnica.


 
 
[---]
 
ERA (anz, fu, ormai) tra i migliori, se non il migliore, fornitore in tema di
anti spam in Italia. Trovi ampia partecipazione passata di personale Spin nel
NG it.news.net-abuse
Purtroppo con l'uscita anni fa dei teschioni tecnici, mi sa che il tutto è
allo sbando, ma non so i dettagli.
 
Confermo che ci sono stati un po' di passaggi anche con Retelit e che le
fatture erano poco chiare, perché a un mio cliente era successa la stessa cosa
e l'ho fatto passare su Mailfence.

 nuovo reparto commerciale o si estende anche all'area tecnica.
 
Dubito che ci sia ancora qualcuno dei vecchi.
 
A un mio cliente è successa la stessa cosa con la fattura email Spin e l'ho
fatto passare su Mailfence: 
https://mailfence.com/it/?src=onenet
 
 
PS: se volete info su Mailfence chiedetemi pure che ho tradotto (sto ancora
traducendo) in italiano, se trovate errori ditemelo pure :-)

 traducendo) in italiano, se trovate errori ditemelo pure :-)
 
Da quel che capisco si tratta di un sistema orientato piuttosto alla
riservatezza dei dati, sbaglio?
 
Alternative a Spin come qualità dei sistemi antispam quali potrebbero essere?


 essere?
 
fastmail.com
 è ottimo sotto quasi tutti gli aspetti. se non basta il
loro antispam, è uno dei pochi provider ad avere reso disponibile sieve
agli utenti.
 
alternativa gratuita, gmail. se non ti piace l'antispam, te lo crei
(prendendo un serverino virtuale o un piccolo dispositivo always on con
*nix; personalmente utilizzo bogofilter attraverso imapfilter, che ha
anche il compito di smistare tra caselle e cartelle diverse)
 

 essere?
 
zoho mail ad esempio, passa a pieni voti lo stesso test che pubblicizza 
safemail in home page. lo uso per un dominio personale nella versione 
gratuita e mi trovo bene.
ovviamente anche gmail.
 
penso però che il problema dello spam sia un po' (permettimi il termine) 
superato, nel senso che sono nati nel frattempo standard per 
l'autenticazione e la firma delle email (dkim, spf, dmarc) e riconoscere 
lo spam non è più quella grande scienza.  
 

 Alternative a Spin come qualità dei sistemi antispam quali potrebbero essere?
 
Sinceramente non lo so.

 lo spam non è più quella grande scienza.  
 
Questo anche va al di là delle mie competenze. Mi verrebbe da dire che se
posso ricevere solo email "firmate", allora filtro facilmente mail non
altrettanto firmate, ma così non è. Cosa mi sfugge?


 non altrettanto firmate, ma così non è. Cosa mi sfugge?
 
non mi sono spiegato, intendevo dire che oggigiorno ci sono tecniche per 
individuare lo spam che non richiedono più particolari eccellenze nel 
provider di posta. certo c'è chi lo fa meglio e chi peggio, ma giusto 
degli scappati di casa non arriva ad un livello decente :-) 
 
ovvio se la posta te la gestisci da te serve la competenza ma non è il 
caso.
 
le firme di cui parlo non sono firme comunemente intese per le mail. in 
soldoni sono delle firme crittografiche che il server di partenza mette 
negli header e che il server di destinazione può verificare tramite una 
chiave pubblica che trova su un record dns del dominio mittente. in questo 
modo capisce se e quanto l'indirizzo mittente sia attendibile.

 lo spam non è più quella grande scienza.
 
 
In teoria, in pratica ancora oggi la maggior parte dei record SPF è "lasco" e
DMARC impostato con una percentuale di quarantena risibiile, credo che in
pochi usino il reject. Oltre a tanti che per colpa di indicazioni poco chiare
da parte dei fornitori, quando inviano newsletter tramite servizi terzi
mettono valanghe di IP come autorizzati quando non servirebbe.
 
Purtroppo non c'è coraggio per dire: siamo nel 2023, chi non adotta regole più
stringenti verrà tagliato fuori.

 come si faccia ad usarlo.
 
non è un servizio eccezionale, ma credo che in quello della scuola ci
sia qualche problema d'impostazione.
 
in ogni caso, si può "spegnere" con degli escamotage (il bypass non è
previsto per gli account individuali, ed anche in workspaces è
controintuitivo), per poi utilizzare qualcos'altro (sì, ci vuole un po'
di studio)
 

 autoritativo per il dominio.
 
Eppure così non è. Le email partono con 
smtp.gmail.com
, tutte scambiate tra
email istituzionali del tipo @dominiogoogle. Penso che l'"antispam" Google sia
talmente paranoico da interpretare la semplice quantità di destinatari come
parametro per valutare lo spam. Addirittura ci sono difficoltà per l'invio a
gruppi numerosi di studenti. A volte si deve suddividere i destinatari in
gruppi meno numerosi o l'invio fallisce. E se non fallisce, l'email molto
spesso gli finisce nella cartella spam.



premesso che non sono un fan di google (anzi), ma ho co-amministrato per 
molti anni la g-suite della mia vecchia azienda e non ho mai avuto di 
questi problemi. con un particolare però: con la suite di google si 
possono definire i gruppi (quanti ne vuoi, fra l'altro) nei quali puoi 
aggiungere tutti gli utenti che vuoi, interni o esterni. facendo così non 
ho mai avuto problemi in ingresso o in uscita.
certo mandare mail con decine o centinaia di destinatari nell'header crea 
dei problemi non solo con google.

 dei problemi non solo con google.
 
Non capisco proprio. Se fosse sensato cassare un messaggio esclusivamente
sulla base del fatto che ci sono una cinquantina di destinatari in Cc, non
solo non esisterebbe più lo spam, ma nemmeno l'email commerciale legittima. 
 
Non capisco nemmeno il senso della "cartella" spam. Non ho mai avuto niente di
simile su Spin. Se un messaggio è davvero spam, classificato sulla base del
server di provenienza o di altri fattori indubbi, deve essere proprio
respinto. Se invece è dubbio, deve essere recapitato e valutato dal
destinatario, non può finire in un cestino che /forse/ il destinatario, una
volta ogni morte di papa apre. 
 
Se a uno gli apri di default una cartella che si chiama spam, quello non la
aprirà mai. E se dentro ci sbatti palate di messaggi dubbi, questo è proprio
il modo per rendere inaffidabile la posta elettronica.


 l'email commerciale legittima.
 
chi mette 50 destinatari in cc merita la crocifissione in sala mensa al 
fianco di tutti quelli che, immancabilmente, fanno "rispondi a tutti" :-P
 
scherzi a parte, non esiste email commerciale legittima inviata a 50 
destinatari in cc. al massimo in bcc, che è un'altra cosa perché in quel 
caso non parte la lista di tutti i destinatari negli header di tutti i 
messaggi... e infatti in quel caso nessun problema.

 messaggi... e infatti in quel caso nessun problema.
 
Purtroppo no, nei casi di cui parlo gli invii rifiutati e i falsi positivi che
finiscono nello spam sono tutti con alcune decine di destinatari regolarmente
in BCC. 
 
Penso che l'espediente della "cartella spam" e il falso positivo siano oramai
sia considerati normali, vedo anche sul web avvisi di enti legittimi che
mettono le mani avanti, dicendo di controllare che le loro email non siano
finite nello spam. La mia impressione è che i sistemi siano troppo basati su
una analisi dei contenuti sommaria ed aggressiva, invece che sul "colore del
cappello" del server di provenienza. Non funziona più il sistema delle RBL?
Spamcop serve ancora?


 (-:
 
Oltre a questo devi mettere in TO un indirizzo valido, magari il tuo.
Forse l'hai fatto, ma meglio precisare. :-)
 
    ..._skipped!_
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-errare humanum est-
#v-
 
 

 Forse l'hai fatto, ma meglio precisare. :-)
 
Mo perbacco! E poi Gmail non lo fa proprio partire, se non c'č un To: valido.
Cosě come tutti i provider non truffaldini, penso, o no?


 
 
[...]
 
Scusa, questo Zoho mail è lo stesso che sviluppa Password Manager Pro e altri
prodotti "ManageEngine"?
perché nel caso va aggiornato ASAP, ci sono dei bug che permettono delle SQL
injection.

 valido. Così come tutti i provider non truffaldini, penso, o no?
 
È obbligatorio un indirizzo in To, è il campo che indica a chi deve 
andare la mail, dopodiché puoi usare gli altri campi, e questo è il modo 
correto d'inviare una mail.
 
Se inserisci i vari indirizzi in Bcc, senza il campo To, gl'indirizzi 
del campo Bcc passano tutti nel campo To, quindi la mail viene respinta 
o finisce nello Spam.
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-ad maiora-
#v-
 
 

 o finisce nello Spam.
 
Ah, cosě si farebbe oggi? Mai saputo e mai notato. Giusto per farmi una
cultura sulle moderne usanze ho provato Libero, Tiscali Gmail, oltre a Spin: 
 
- con campo To: vuoto tutti inviano e arriva regolarmente una mail senza campo
To:
 
- con dominio inesistente nel campo To: tutti impediscono l'invio.


 o finisce nello Spam.
 
uhm, ti direi anche no. e sarebbe anche un comportamento bizzarro: il 
motivo dell'esistenza della blind carbon copy è nascondere ai destinatari 
chi sono gli altri destinatari, così sarebbe ovviamente vanificato. 
 
ad ogni modo basta provare per dimostrare che non è affatto vero quello 
che dici.

 respinta o finisce nello Spam.
 
Gli indirizzi Bcc NON "passano al campo To" , semplicemente il server
SMTP di invio li usa, uno alla volta, nell'envelope From.
 
 
 
 

 SMTP di invio li usa, uno alla volta, nell'envelope From.
 
mi correggo, stamattina mi serve altro caffè; non nel "FROM" ma nel
"RCPT TO" 
 


Il mio vecchio OE si comporta come ho descritto. :-/
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
Tutto il futuro è racchiuso nella sacra sillaba "bo!".
#v-
 
 

 Il mio vecchio OE si comporta come ho descritto. :-/
 
Non mi risulta che OE facesse una cosa del genere :P
 
 
 
 

 Il mio vecchio OE si comporta come ho descritto. :-/
 
 
 
Vabbè, come sparare sulla croce rossa

 Vabbè, come sparare sulla croce rossa
 
Da tempo uso Thunderbird per scaricare la posta, perché con certe mail 
OE ha problemi, quindi quando dovrò usare il campo Bcc lo farò con 
quello. ^_^
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
Guardo il cielo e sorrido, spero in una foto satellitare.
#v-
 
 

 quello. ^_^
 
e perché non anche quando non devi usare il campo bcc? :-P


Confermo tutto quanto ho scritto.
OE per *alcune cose* che riguardano le mail è superato; il *mio OE* è
ancora un ottimo NR, migliore di Thunderbird.
 
Inviando mail in Bcc (facendo come ho descritto) la mail viene
consegnata a ciascun indirizzo del campo Bcc.
Chi leggerà la mail vedrà che, sia il From che il To sono la stessa
persona. Tutto qui.
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-errare humanum est-
#v-
 
 

 e perché non anche quando non devi usare il campo bcc? :-P
 
Perché per inviare le mail con OE non ci sono problemi, i problemi ci
sono nel ricevere alcune mail.
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-do ut des-
#v-
 
 


Obi mi spargo il capo di cenere, *hai ragione tu.* :-/
 
Non convinto che OE facesse il contrario degli altri MR, ho voluto
ricontrollare con attenzione.
 
Come sai uso Fidolook, e tempo fà stavo "pasticciando" nelle
impostazioni per provare non ricordo cosa, fu allora che deve essere
successa l'anomalia Bcc descritta.
 
Dopo aver reimpostato il tutto, posso affermare che OE ci comporta come
gli altri MR riguardo all'invio in Bcc. :-)
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-panem et circenses-
#v-
 
 

 come gli altri MR riguardo all'invio in Bcc. :-)
 
Se non ricordo male, avendo usato FL per parecchio tempo, ci dovrebbe
essere un'impostazione, non ricordo se in OE o in FL che attiva quel
comportamento che hai descritto, ma di norma non è necessario usarla
 
comunque, per lo meno mi confermi che OE si comporta "normalmente" :)
 
Personalmente ho abbandonato OE dopo l'abbandono dello stesso da parte
di MS, sia perchè "trapiantarlo" sui nuovi OS non è esattamente una
cosa indolore, sia (e soprattutto) perchè, alcune delle librerie che
usa OE hanno vulnerabilità e problemi di sicurezza che ormai non
verranno più corretti
 
Per quanto mi riguarda, dopo aver provato vari client di posta e news,
ho deciso, anni fa, di passare a 
https://www.claws-mail.org/
 e debbo
dire che, con un minimo di personalizzazione e pratica, mi ci trovo
piuttosto bene, inoltre l'ultima versione (uso la 3.x non sono ancora
passato alla serie 4.x) è molto stabile
 
 
 
 
 
 

 passato alla serie 4.x) è molto stabile
 
Buon per te, io ancora sono troppo affezionato a Fidolook. :-)
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
È un genio della scrittura, ha inventato il paragrafo senza fili.
#v-