Esperienza (poco consolante) con la PEC

Il 20 Novembre ricevo un email da Aruba, il provider della mia PEC personale.

Caso da manuale di email da trattare con attenzione, perché:

1. Non avevo inviato nessuna richiesta ad Aruba.
2. Mi invitava ad aprire un allegato PDF.

Ovviamente mi sono comportato come dico sempre di fare nei corsi di sensibilizzazione sulla sicurezza informatica: non ho scaricato l'allegato e mi sono collegato alla mia area personale Aruba (senza seguire nessun link nell'email). Se il messaggio fosse stato autentico, infatti, nella mia area personale ci sarebbe stata una copia della richiesta.

Come mi aspettavo, nella mia area personale non c'era nessuna richiesta da parte mia. 

Visto che neanche 24 ore prima era stata resa pubblica una intrusione molto grave in un provider PEC, invece di archiviare l'email e segnalarlo come spam ho speso qualche minuto per approfondire. Ho analizzato gli header del messaggio email per verificare il cammino seguito dal messaggio (informazioni normalmente non visibili): da una analisi superficiale il messaggio email sembrava inviato effettivamente da Aruba. Il che ha fatto diventare la faccenda molto interessante (o molto preoccupante, dipende dai punti di vista). Abbiamo infatti un messaggio email che:

• Invita ad aprire un allegato PDF per risolvere un problema inesistente.
• Ha aspetto identico a quelli inviati da Aruba.
• Non viene rilevato come spam da Gmail.
• Appare inviato da Aruba.

Il tutto neanche 24 ore dopo che è stata resa pubblica una intrusione gravissima in un provider PEC. Ci sono elementi più che sufficienti per temere un tentativo di attacco.

L'unico dubbio che mi rimaneva era che pochi giorni prima avevo rinnovato l'abbonamento annuale per la mia casella PEC. Il messaggio avrebbe potuto forse essere stato inviato automaticamente dalla procedura di rinnovo e, per un qualche errore software, essere stato catalogato come un "Reclami - Altro" dai sistemi Aruba.

Ho fatto quindi il mio dovere di bravo cittadino: mi sono collegato al servizio di assistenza Aruba per segnalare il problema: "Ho ricevuto un email apparentemente inviato da voi in cui vengo invitato ad aprire un allegato PDF per la gestione di una mia richiesta. Richiesta che non ho mai fatto...Ho analizzato rapidamente gli header dell'email e gli header Received sembrano legittimi (cioè sembrano essere associati a voi). Cosa devo fare? Spero che questo email sia veramente un tentativo di attacco e non un email legittimo provocato dalla mia richiesta di rinnovo annuale PEC (questo secondo caso sarebbe, a mio parere, un pessimo modo di gestire queste pratiche).".

La risposta è stata, per me, sconsolante: "...a seguito di verifiche le comunico che la segnalazione di cui ci invia il numero non risulta esser presente sui nostri terminali e di conseguenza la invito a ritenerla nulla. Per ciò che concerne il rinnovo da lei richiesto risulta normalmente eseguito senza problemi di sorta...". In altre parole, non hanno neanche capito il problema.

Ho insistito, ancora con l'illusione di compiere un servizio: "OK, per me non ci sono problemi. Ma a mio parere non dovreste trascurare il fatto che si verifichino attacchi a vostri utenti (a questo punto è evidente che sono stato fatto oggetto di un tentativo di attacco) con email che sfuggono ai filtri antispam di Google ed i cui header indicano che sono stati inviati da voi. Specialmente se tali attacchi si verificano il giorno successivo ad un incidente molto grave ad un provider di PEC italiano. Il tentativo di attacco e la vostra gestione non mi tranquillizzano molto.".

Nessuna risposta. Insisto dopo 5 giorni. Ancora nessuna risposta, solo una notifica che "sono necessarie alcune verifiche ma cercheremo di risponderti nel più breve tempo possibile".

Sto ancora aspettando (3 Dicembre ore 12.35).

Vedo due possibili spiegazioni per questa vicenda:

1. Non è un tentativo di attacco. Al contrario di quanto mi è stato detto dall'assistenza, il rinnovo del mio abbonamento PEC ha provocato l'invio automatico di un allegato PDF (magari a causa dell'adeguamento di Aruba alla GDPR) e questo invio è stato catalogato erroneamente come mia richiesta di assistenza.
2. E' un tentativo di attacco.

Non ho elementi sufficienti per affermare con ragionevole certezza se siamo nel caso 1 o nel caso 2.

Posso però affermare con certezza che se siamo nel caso 1 allora l'assistenza clienti ed il processo di gestione di queste tematiche da parte di Aruba lascia molto a desiderare (eufemismo).

Cosa interessante da notare: il "messaggio sospetto" è visualizzato da Gmail in modo leggermente diverso dai messaggi legittimi, cioè da quelli effettivamente provocati da mie interazioni con l'assistenza:

(interazione reale con l'assistenza)

(messaggio sospetto)