Come tracciare l'indirizzo IP di un'e-mail (Gmail, Outlook, Yahoo)

Qualcuno ti invia un'e-mail minacciosa. Un messaggio di phishing arriva nella tua casella di posta. Un cliente giura di averti inviato un'e-mail ma non l'hai mai ricevuta. In tutte queste situazioni, trovare l'indirizzo IP del mittente può dirti qualcosa di utile: da dove ha effettivamente avuto origine l'e-mail, quale server di posta l'ha inviata e se il mittente è chi dichiara di essere.

Ogni email porta una scia di indirizzi IP inseriti nelle sue intestazioni. Il trucco è sapere dove guardare, cosa significano effettivamente quelle voci e, soprattutto, quando la traccia è stata deliberatamente nascosta.

Come funzionano le intestazioni delle email

Quando invii un'e-mail, questa non viaggia direttamente dal tuo dispositivo alla casella di posta del destinatario. Passa attraverso una catena di server di posta e ognuno contrassegna il messaggio con un Received: : indirizzo IP, timestamp e una nota su da dove ha ricevuto il messaggio.

Leggendo queste intestazioni da dal basso verso l'alto ricostruisce il percorso effettivo seguito dall'email. La voce in basso è l'origine; ognuno sopra è il salto successivo nella catena.

Received: from mail.example.com (203.0.113.42) by mx.google.com
Received: from [192.168.1.5] (helo=laptop) by mail.example.com

In questo esempio, l'e-mail è stata inviata da 192.168.1.5 (un indirizzo privato, quindi su una rete locale), è passato mail.example.com (203.0.113.42 — questo è quello che vale la pena cercare) ed è stato finalmente ricevuto da Google.

Come visualizzare le intestazioni complete delle e-mail

Gmail

1. Apri l'e-mail
2. Fai clic sul menu con tre punti (⋮) nell'angolo in alto a destra del messaggio
3. Seleziona Mostra originale
4. Si apre una nuova scheda con le intestazioni dei messaggi non elaborati

Outlook (Web)

1. Apri l'e-mail
2. Fai clic sul menu con tre punti → Visualizza → Visualizza la fonte del messaggio

Oppure nell'applicazione desktop: File → Proprietà → la casella "Intestazioni Internet" in basso.

Yahoo Mail

1. Apri l'e-mail
2. Fai clic sul menu con tre punti → Visualizza il messaggio non elaborato

Apple Mail

1. Apri l'e-mail
2. Barra dei menu: Visualizza → Messaggio → Tutte le intestazioni (o premi Maiusc + Cmd + H)

Trovare l'IP del mittente nelle intestazioni

Una volta che hai le intestazioni grezze, cerca la catena di Received: linee. Vuoi il più basso (il più presto) Received: voce che contiene un indirizzo IP che non riconosci come infrastruttura interna.

Cerca modelli come questo:

Received: from [203.0.113.42] (unknown [203.0.113.42])
        by mx1.example.com (Postfix) with ESMTP id A1B2C

L'IP tra parentesi è quello che desideri. Copialo, quindi utilizza uno strumento come Ricerca IP per scoprire a quale paese, ISP e organizzazione appartiene.

Potresti anche vedere un X-Originating-IP in alcuni sistemi di posta: si tratta di un'intestazione comoda che nomina esplicitamente l'IP del mittente, quindi controlla anche quella. Viene visualizzata l'intestazione

Il problema di Gmail (e il problema di Outlook)

Ecco cosa salta la maggior parte delle guide: Gmail nasconde gli IP dei mittenti dal 2012.

Quando qualcuno ti invia un'e-mail utilizzando Gmail (o Google Workspace), Google rimuove il vero indirizzo IP del mittente dalle intestazioni prima della consegna. Quello che vedi invece è l'IP del server di Google, di solito qualcosa nel file 209.85.x.x gamma. Puoi cercarlo quanto vuoi; ti dirà semplicemente che è un server Google in un data center di Google.

Lo stesso vale per:

• Outlook/Hotmail/Microsoft 365 — Microsoft rimuove gli IP dei mittenti
• Apple iCloud Mail — Apple rimuove gli IP dei mittenti
• ProtonMail — in base alla progettazione, per privacy

Cosa tu lattina si capisce ancora da un'intestazione Gmail:

• Che l'email è stata inviata tramite Gmail (i timbri del server lo confermano)
• L'ora di invio approssimativa
• Se proviene dal sito web di Gmail, da un'app mobile o da un client di terze parti (a volte)

Cosa tu non può indica: l'IP reale, la posizione o l'ISP del mittente.

Quando il tracciamento delle e-mail funziona davvero

Il tracciamento IP delle e-mail fornisce informazioni reali quando il mittente utilizza:

• Server di posta aziendali o self-hosted — questi includono quasi sempre l'IP di origine
• Yahoo Mail — Yahoo include gli IP dei mittenti nelle intestazioni (almeno al momento della stesura)
• ProtonMail a destinatari non ProtonMail — ProtonMail aggiunge X-Originating-IP in alcune configurazioni per consegna esterna
• Provider di posta elettronica più piccoli : molti host economici e account di posta elettronica forniti dagli ISP espongono ancora gli IP del mittente
• E-mail di spam e phishing : ironicamente, lo spam spesso ha le intestazioni più ricche perché non viene inviato dai principali provider

Cosa fare con l'IP che trovi

Una volta che hai un indirizzo IP dalle intestazioni delle email, hai a disposizione alcuni utili passaggi successivi:

Consulta la geolocalizzazione. Usa il Strumento di ricerca IP per visualizzare il Paese, la città (approssimativa), l'ISP e l'organizzazione associata all'indirizzo. Per un'e-mail di phishing, scoprire che proviene da un noto provider di hosting a prova di proiettile è un'informazione utile.

Controlla se è su una lista nera. Esegui l'IP attraverso il file Controllo lista nera IP per vedere se il server di invio è già contrassegnato per spam o attività dannose.

Esegui una ricerca WHOIS. Il Strumento WHOIS può darti più contesto su chi possiede il blocco IP: utile per segnalare abusi.

Controlla il record PTR. A Ricerca DNS inversa sull'IP ti mostrerà a quale nome host si risolve. I server di posta legittimi di solito hanno un record PTR corrispondente al loro dominio. Un IP che si risolve in modo inverso in qualcosa di simile dynamic-pool-37.isp.net è un IP residenziale: probabilmente qualcuno lo ha inviato da una connessione domestica.

Lettura delle prove del timestamp

Anche quando non riesci a ottenere un IP utilizzabile, i timestamp nelle intestazioni delle email possono comunque raccontare una storia. Ciascuno Received: hop ha un timestamp con un offset del fuso orario. Confronta il fuso orario nel file Date: intestazione (impostata dal client di posta del mittente) per i timestamp di elaborazione del server. Intestazione

Se qualcuno afferma di averti inviato un'e-mail da Londra ma il Date: Intestazione +0530 (India Standard Time), è un segnale degno di nota.

Segnalazione di email abusive

Se hai tracciato un IP e desideri segnalare un abuso, la maggior parte degli ISP ha un contatto per l'abuso. Il Registro WHOIS per l'IP di solito include un abuse@ indirizzo e-mail. Per lo spam, servizi come SpamCop possono automatizzare la segnalazione su più reti.

Per qualsiasi cosa che coinvolga minacce o attività illegali, conserva le intestazioni complete e non elaborate e contatta le autorità competenti: le intestazioni costituiscono una prova.

Il risultato finale

Il tracciamento IP delle e-mail funziona bene per le e-mail inviate tramite server di posta aziendali, Yahoo e provider più piccoli. Per Gmail, Outlook e Apple Mail, l'IP del mittente è scomparso: vedrai solo l'infrastruttura server di quelle aziende.

Quando trovi un IP:

1. Cercalo con Ricerca IP per geolocalizzazione e ISP
2. Controlla se è nella lista nera per il contesto della reputazione
3. Esegui una ricerca DNS inversa per vedere il nome host
4. WHOIS l'IP per trovare il contatto dell'abuso

Le intestazioni non elaborate sono l'unico elemento forense affidabile in un'e-mail: impara a leggerle e saprai a più del 99% delle persone da dove proviene effettivamente un messaggio.