Oltre i protocolli email: perché SPF, DKIM e DMARC non bastano contro i deepfake

By Mirko Peters · 2026-08-26

Quando si tratta di proteggere le caselle di posta aziendali, le organizzazioni si sono a lungo affidate ai protocolli standard di autenticazione delle email come primo scudo. Se hai passato un…

Automatically translated with AI from the original post. Read the English original

Quando si tratta di proteggere le caselle di posta aziendali, le organizzazioni si sono a lungo affidate ai protocolli standard di autenticazione email come primo scudo. Se hai passato un po' di tempo nella sicurezza IT, conosci il trio sacro della difesa email: Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) e Domain-based Message Authentication, Reporting, and Conformance (DMARC). Per anni, configurare correttamente questi record significava poter bloccare efficacemente lo spoofing dei domini, tenere lontane le email di phishing e garantire che i messaggi che affermavano di provenire dalla tua organizzazione provenissero davvero da infrastrutture autorizzate. Ma il panorama della cybersicurezza è cambiato radicalmente, e gli strumenti su cui abbiamo fatto affidamento per decenni stanno affrontando un punto cieco senza precedenti.

Ed eccoci nell'era dell'intelligenza artificiale e dei media sintetici. I criminali informatici non si affidano più solo alle goffe email di phishing piene di errori di battitura. Sfruttano invece l'IA generativa avanzata per mettere in atto sofisticati attacchi di Business Email Compromise (BEC) potenziati dai deepfake. Queste minacce aggirano senza sforzo i controlli tecnici dei protocolli tradizionali, perché il problema non riguarda più solo chi ha inviato l'email, ma l'intento malevolo nascosto nei contenuti, che i protocolli tecnici semplicemente non sono in grado di leggere. In questo post vedremo perché la tua attuale architettura di sicurezza email non regge di fronte alle minacce deepfake e cosa deve fare la tua organizzazione per costruire una difesa davvero resiliente.

Introduzione alla sicurezza email e alle minacce deepfake

Per capire la portata della sfida, dobbiamo prima vedere come si sono adattati i threat actor. I protocolli tradizionali di sicurezza email sono stati progettati per un internet più semplice. Servivano a impedire che malintenzionati dirottassero il nome di dominio o inserissero intestazioni false nei messaggi. Se implementati correttamente, DMARC, SPF e DKIM creano un ciclo di verifica robusto che indica ai server di ricezione se un'email è autorizzata e integra. Tuttavia, questi protocolli sono fondamentalmente validatori dell'infrastruttura, non arbitri del contenuto. Non leggono il testo, non ascoltano l'audio allegato e non verificano se la persona che chiede un bonifico è davvero chi dice di essere.

Con la democratizzazione degli strumenti di intelligenza artificiale, la barriera d'ingresso alla creazione di media sintetici iperrealistici è crollata. Oggi gli attaccanti possono raccogliere video pubblici, registrazioni di conferenze e messaggi vocali dei dirigenti aziendali per clonarne voce e aspetto con una precisione sorprendente. I dati mostrano un'impennata impressionante di queste tecniche. Nel 2023, meno del 5 per cento degli attacchi di Business Email Compromise includeva tecnologia deepfake. Nel 2026, la percentuale è salita al 40 per cento. Inoltre, l'FBI ha segnalato un aumento del 25 per cento su base annua degli attacchi BEC resi possibili da deepfake, mentre gli incidenti deepfake complessivi sono cresciuti di oltre il 300 per cento all'anno. Quando un attaccante riesce a combinare un'email correttamente autenticata con un clone vocale o un deepfake video in tempo reale, i filtri email standard diventano praticamente inutili.

Gli attacchi BEC deepfake spiegati

Cos'è il BEC deepfake

Probabilmente conosci il Business Email Compromise tradizionale, in cui un truffatore si finge un fornitore o un dirigente di alto livello per chiedere pagamenti urgenti o dati sensibili. Il BEC deepfake prende questo stesso schema malevolo e lo potenzia con l'intelligenza artificiale. Invece di fermarsi a un messaggio di testo o a un'email, gli attaccanti inseriscono audio, video o elementi conversazionali sintetici nella catena dell'attacco. Possono imitare esattamente il ritmo, l'accento e le particolarità vocali del tuo CEO o del direttore finanziario. Questi attacchi non cercano di ingannarti con un indirizzo email pieno di errori; sfruttano invece la tua fiducia, facendoti credere di interagire direttamente con una figura autorevole nota, via voce o video.

In che modo il BEC deepfake si differenzia dalle minacce tradizionali

La differenza fondamentale tra il BEC tradizionale e il BEC deepfake moderno sta nel mezzo dell'inganno. Le minacce tradizionali si basano interamente sulla manipolazione testuale. Se ricevi un'email dal tuo capo che ti chiede di acquistare carte regalo o di spostare fondi, il tuo campanello d'allarme interno potrebbe suonare se il tono ti sembra leggermente strano. Il BEC deepfake manda in frantumi questi meccanismi di rilevamento tradizionali introducendo audio o video realistici. Potresti ricevere una telefonata che suona identica alla voce del tuo responsabile, oppure partecipare a una rapida videoconferenza in cui un avatar sintetico annuisce mentre parla con la voce del tuo direttore. Questo approccio multicanale sfrutta la nostra naturale tendenza a fidarci e a reagire di fronte all'urgenza, in modi che i filtri testuali non possono assolutamente intercettare.

La tecnologia deepfake ha cambiato le minacce BEC permettendo ai criminali di impersonare figure di autorità in modo molto più convincente. Questo rende loro più facile manipolarti e aggirare i filtri di sicurezza tradizionali.

Ecco una tabella che mostra le principali differenze:

Gli attacchi BEC deepfake possono manipolarti in modo più efficace grazie a voce o video realistici. Sfruttano urgenza e autorità, rendendoli più pericolosi del phishing tradizionale. I controlli di sicurezza interni spesso non riescono a bloccare questi attacchi, aumentando il rischio per la tua organizzazione.

Il ruolo dell'IA nel BEC deepfake

L'intelligenza artificiale è il motore di queste frodi complesse. Gli autori delle minacce utilizzano modelli di IA per analizzare siti web aziendali, profili sui social media e registrazioni delle conference call sugli utili, raccogliendo dati di addestramento sul personale chiave. Clonano voci e stili di scrittura per far sembrare autentico il primo contatto di phishing. Una tipica campagna BEC deepfake segue una progressione calcolata:

1. Gli attaccanti raccolgono informazioni OSINT (Open Source Intelligence) su dirigenti e struttura gerarchica dell'azienda.
2. Inseriscono campioni audio e video in modelli di IA per generare cloni vocali convincenti o video deepfake.
3. Vengono inviate email di phishing o messaggi introduttivi personalizzati ai destinatari, spesso superando tutti i controlli tecnici di autenticazione.
4. Gli attaccanti intensificano l'interazione passando a telefonate, messaggi vocali o videoconferenze per rafforzare la pressione.
5. L'obiettivo finale viene raggiunto quando la vittima trasferisce fondi o consegna le credenziali nella convinzione di un'approvazione da parte di un dirigente.

Importanti istituti finanziari e aziende hanno segnalato incidenti allarmanti legati a frodi con clonazione vocale che hanno aggirato i controlli di sicurezza standard. In un caso significativo, un dipendente ha trasferito somme considerevoli dopo aver interagito con un flusso audio deepfake. Il BEC deepfake non è semplicemente un'evoluzione del phishing: è una categoria completamente nuova di frode sintetica.

SPF, DKIM e DMARC: come funzionano

Panoramica su SPF

Per capire perché questi protocolli non reggono di fronte ai deepfake, dobbiamo prima vedere che cosa fanno davvero. SPF, o Sender Policy Framework, verifica se il server di posta che trasmette un messaggio è esplicitamente autorizzato a inviare email per conto di un determinato dominio. Quando un'email arriva al tuo gateway, il sistema ricevente controlla nei record DNS del dominio la presenza di una voce SPF. Se l'indirizzo IP del server mittente corrisponde all'elenco approvato, il messaggio supera SPF. Sebbene questo meccanismo blocchi lo spoofing di base, in cui gli attaccanti falsificano il dominio nell'envelope, ignora completamente l'indirizzo "Da" visibile all'utente finale, lasciando ampio spazio all'ingegneria sociale.

Panoramica su DKIM

DKIM, o DomainKeys Identified Mail, introduce la validazione crittografica nel processo. Allega una firma digitale alle email in uscita, che il sistema di posta ricevente verifica usando una chiave pubblica pubblicata nei record DNS del dominio. Se la firma corrisponde, hai la prova crittografica che il contenuto del messaggio non è stato alterato durante il transito. Sebbene DKIM garantisca l'integrità del messaggio, non può dirti nulla sulle intenzioni del mittente. Gli attaccanti sfruttano spesso account email legittimi compromessi, che superano naturalmente le firme DKIM, per lanciare campagne di phishing convincenti o preparare il terreno per un'escalation deepfake.

Panoramica su DMARC

DMARC unisce SPF e DKIM in un unico framework di criteri. Consente ai proprietari del dominio di definire istruzioni per i server di posta ricevente su come gestire i messaggi che non superano i controlli SPF o DKIM, fornendo al contempo utili report forensi. DMARC protegge l'intestazione visibile "Da", bloccando efficacemente lo spoofing con dominio esatto. Pur essendo un controllo di base fondamentale per qualsiasi organizzazione, DMARC non analizza il contenuto semantico né l'intento psicologico di un messaggio. Un attaccante può facilmente registrare un dominio simile, configurare record SPF, DKIM e DMARC validi per quel dominio fraudolento e poi usare l'IA per creare truffe basate su deepfake che superano senza problemi il gateway protetto da DMARC.

Suggerimento: SPF, DKIM e DMARC funzionano al meglio insieme. Bloccano molte email di phishing, ma non possono rilevare le minacce deepfake che usano audio o video per ingannarti.

Ecco una tabella che riassume le funzioni principali di questi protocolli:

Usa questi protocolli come parte della tua difesa, ma resta sempre all'erta contro gli attacchi deepfake e di phishing che possono aggirare i controlli tecnici.

Cosa proteggono questi protocolli

È fondamentale avere una visione chiara dei limiti dell'autenticazione delle email. SPF, DKIM e DMARC sono progettati esclusivamente per proteggere l'infrastruttura di messaggistica dall'impersonificazione a livello di trasporto. Garantiscono che i messaggi che dichiarano di provenire dal tuo dominio siano effettivamente collegati ai tuoi server di posta e che il testo non sia stato alterato durante il transito.

Vediamo cosa copre ciascun protocollo:

• SPF verifica che l'email provenga da un server autorizzato, bloccando i mittenti non autorizzati che usano il tuo nome di dominio.
• DKIM aggiunge una firma digitale, garantendo che il corpo e le intestazioni del messaggio non siano stati modificati dall'invio.
• DMARC rende operativi SPF e DKIM, definendo i criteri di quarantena o rifiuto per i messaggi che non superano i controlli e fornendo report di visibilità.

Ecco una tabella che ti aiuta a capire cosa proteggono questi protocolli:

Soprattutto, nessuno di questi protocolli valuta il contenuto cognitivo di un'email né i canali di comunicazione secondari che un attaccante potrebbe usare. Se un'email supera ogni controllo tecnico perché proviene dall'account compromesso di un fornitore, e a quella email segue una telefonata deepfake, i tuoi protocolli di autenticazione risulteranno perfettamente in regola mentre la tua organizzazione subisce una violazione di sicurezza catastrofica.

Nota: SPF, DKIM e DMARC aiutano a bloccare molte email di phishing, ma non proteggono dagli attacchi deepfake né dalle frodi avanzate. Servono ulteriori livelli di sicurezza per difendersi da queste minacce moderne.

Devi restare vigile di fronte all'evoluzione del phishing. I protocolli di autenticazione sono una base necessaria, ma da soli sono del tutto insufficienti di fronte alle moderne frodi.

Limitazioni per il BEC basato su deepfake

Autenticazione del mittente vs. verifica del contenuto

La vulnerabilità principale nell'affidarsi esclusivamente a protocolli come DMARC è il netto divario tra autenticazione del mittente e verifica del contenuto. SPF, DKIM e DMARC verificano l'allineamento tecnico, ma restano completamente ciechi di fronte alla semantica dannosa. Un attaccante può autenticare con successo un'email tramite un dominio simile o appena registrato, soddisfacendo ogni requisito DMARC, mentre il corpo del messaggio contiene un'esca di ingegneria sociale finemente calibrata, creata dall'intelligenza artificiale.

Poiché questi protocolli operano interamente a livello di trasporto e DNS, non possono rilevare quando l'identità di un dirigente viene usata come arma nel testo. Questa lacuna consente ai criminali informatici di creare esche di phishing molto convincenti che aggirano del tutto i filtri di posta tradizionali. Il protocollo verifica l'infrastruttura, ma non sa nulla della persona che, presumibilmente, si trova dietro la tastiera.

Ecco una tabella che mostra i principali limiti:

Comprendere questi vincoli mostra perché i team di sicurezza non possono permettersi compiacenza. L'autenticazione tecnica garantisce la correttezza della consegna della posta, ma non fa nulla per fermare la frode deepfake o il business email compromise provenienti da mittenti autenticati.

Perché gli attacchi BEC deepfake hanno successo

Gli attacchi BEC deepfake riescono perché sfruttano le vulnerabilità psicologiche delle persone aggirando con facilità gli ostacoli tecnici. Quando un dipendente riceve un'email che supera tutti i controlli di sicurezza, accompagnata da un messaggio vocale o da un video che suonano e appaiono identici al suo responsabile, le difese cognitive si abbassano. Inoltre, le vulnerabilità strutturali nel routing globale della posta elettronica, come gli exploit di SMTP smuggling che interessano numerosi servizi di posta pubblici e privati, hanno storicamente permesso ad attaccanti sofisticati di aggirare del tutto i gateway di autenticazione.

Considerate i dati sulla fiducia di dirigenti e responsabili della sicurezza:

• Il 60% dei responsabili della cybersecurity non ha fiducia nella capacità di contrastare gli attacchi deepfake.
• Il 38% valuta la formazione di sensibilizzazione tradizionale come mediamente efficace o peggio contro l'audio deepfake.
• Il 39% valuta la formazione come mediamente efficace o peggio contro il video deepfake.
• Il 28% ritiene che il phishing generato dall'IA sia ancora agli inizi.
• Il 25% classifica gli attacchi con audio deepfake come minacce in fase iniziale, con ampi margini di escalation.

Questa mancanza di fiducia è fondata. Gli attaccanti combinano contenuti sintetici multicanale con email perfettamente autenticate, creando una ricetta per l'inganno che mette fuori gioco le difese tradizionali.

Misconcezioni comuni sulla sicurezza

Un mito diffuso nell'amministrazione IT è che ottenere un criterio DMARC p=none offra una protezione concreta. In realtà, p=none è solo uno stato di monitoraggio pensato per raccogliere dati di reportistica; non blocca in alcun modo la posta non autenticata o contraffatta. Le organizzazioni devono passare a p=quarantine o p=reject per applicare limiti di protezione efficaci.

Un'altra misconcezione comune è che i domini transazionali o riservati alla sola organizzazione non richiedano un'autenticazione rigorosa. Non proteggere questi domini lascia esposizioni laterali che gli attaccanti possono sfruttare. Infine, molti amministratori ritengono che implementare DMARC sia proibitivamente complesso, mentre gli strumenti di distribuzione moderni e le guide automatiche hanno reso la conformità molto più semplice.

Ecco una tabella che chiarisce i miti più diffusi:

Nota: devi capire che gli attacchi BEC deepfake possono aggirare i protocolli tradizionali. Devi combinare i controlli tecnici con la consapevolezza delle persone e con strumenti di rilevamento avanzati. Gli attaccanti usano la tecnologia deepfake per creare messaggi di phishing convincenti. Devi restare vigile e aggiornare le pratiche di sicurezza per difenderti dalle frodi moderne.

Metodi di attacco BEC deepfake

Scenari reali

Gli attacchi deepfake non sono più scenari fantascientifici teorici. Nel gennaio 2024, la multinazionale di ingegneria Arup è caduta vittima di una frode deepfake impressionante. Gli attaccanti hanno usato deepfake audio e video in tempo reale durante una videoconferenza, per impersonare il CFO dell'azienda e altri dirigenti di alto livello. Gli avatar sintetici e le voci erano così convincenti che i dipendenti dell'area finanza hanno trasferito volontariamente 25 milioni di dollari con più transazioni. Questo caso emblematico ha dimostrato che gli attori di minaccia più sofisticati combinano attivamente contenuti sintetici su più canali per aggirare completamente i normali flussi di verifica aziendali e le best practice di sicurezza.

Tecniche deepfake nel BEC

I truffatori fanno largo affidamento sull'impersonificazione dei vertici aziendali, perché le gerarchie organizzative inducono naturalmente alla conformità. Quando un attore di minaccia clona con successo la voce o l'aspetto video di un CEO, di un responsabile di divisione o di un direttore finanziario, usa l'autorità contro i dipendenti di livello inferiore che gestiscono transazioni finanziarie sensibili. Queste tecniche producono costantemente perdite finanziarie enormi, perché bypassano lo scetticismo razionale.

Le campagne deepfake BEC sfruttano tipicamente diverse tattiche sovrapposte:

• Clonazione vocale sintetica inviata tramite telefonate o messaggi vocali.
• Manipolazione video in tempo reale durante le riunioni virtuali per simulare la presenza di un dirigente.
• Redazione di email assistita dall'IA che riproduce esattamente lo stile di comunicazione e il lessico del dirigente preso di mira.
• Attacchi coordinati su più canali, in cui un'email autenticata viene subito supportata da una telefonata deepfake.

Fattori umani nel deepfake BEC

In definitiva, il deepfake BEC colpisce la psicologia umana più che il codice tecnico. Gli attaccanti si affidano in larga misura a principi consolidati di ingegneria sociale per indurre le vittime a conformarsi immediatamente.

Mantieni la prudenza. Il deepfake BEC non è solo un problema tecnico. Colpisce la tua fiducia, le tue abitudini e la tua disponibilità ad aiutare.

Difendersi dal deepfake BEC

Formazione dei dipendenti

Poiché il deepfake BEC prende di mira la percezione umana, la formazione dei dipendenti resta una linea di difesa essenziale. Tuttavia, la formazione tradizionale incentrata solo sul riconoscere errori grammaticali o intestazioni email sospette non basta più. Le organizzazioni devono investire in piattaforme di simulazione immersiva dei deepfake, che espongano il personale a scenari di contenuti sintetici in un ambiente controllato. Partecipando durante la formazione a videochiamate deepfake simulate o a cloni vocali di dirigenti sintetici, i dipendenti sviluppano l'automatismo necessario per fermarsi, riflettere e verificare le richieste insolite prima di agire.

Rilevamento avanzato delle minacce

La tecnologia deve integrare la consapevolezza umana. Le architetture di sicurezza moderne incorporano sistemi avanzati di rilevamento delle minacce basati su intelligenza artificiale e machine learning. Questi strumenti analizzano le baseline comportamentali sui vari canali di comunicazione per segnalare anomalie che i filtri email standard non individuano.

Verifica fuori banda

Una delle contromisure più semplici ma anche più efficaci contro il deepfake BEC è il rigoroso rispetto dei protocolli di verifica fuori banda. Ogni volta che un dipendente riceve una richiesta urgente o ad alto rischio, che riguardi bonifici, condivisione di credenziali o deroghe ai criteri, deve verificarla tramite un canale indipendente e preconfigurato, indipendentemente da quanto sembrino autentici l'email, la voce o la videochiamata.

• La verifica fuori banda richiede di confermare le richieste insolite tramite un secondo mezzo di comunicazione indipendente, ad esempio richiamando un interno aziendale noto.
• Gli utenti dovrebbero convalidare le istruzioni sensibili attraverso due canali separati e preapprovati, così che un canale primario compromesso non comprometta l'intero ciclo di verifica.

Miglioramenti dei criteri

I controlli tecnici e la formazione devono essere supportati da criteri organizzativi rigorosi. Rivedi il tuo framework di governance aziendale per assicurarti che le azioni finanziarie e amministrative ad alto rischio richiedano flussi di approvazione multipersona e controlli di accesso in base al ruolo severi. Definisci procedure di segnalazione molto chiare, così che i dipendenti si sentano autorizzati a segnalare le comunicazioni sospette senza timore di ritorsioni.

Suggerimento: criteri chiari ti aiutano a bloccare gli attacchi di phishing e deepfake. Quando tutti conoscono le regole, riduci gli errori e proteggi la tua organizzazione.

Soluzione Microsoft Entra Verified ID

Come funziona Entra Verified ID

Per risolvere davvero la crisi dei deepfake BEC, le organizzazioni devono passare da una fiducia basata sul riconoscimento a una verifica crittografica basata sulle prove. Microsoft Entra Verified ID offre una solida soluzione di identità decentralizzata che consente alle organizzazioni di verificare crittograficamente sia l'identità sia l'autorità delle persone prima di concedere l'accesso o approvare azioni ad alto rischio.

Entra Verified ID integra meccanismi di verifica visiva, tra cui il controllo di un documento d'identità con foto rilasciato dalle autorità e il rilevamento della presenza dal vivo durante l'onboarding, che garantisce che la persona in possesso di una credenziale sia fisicamente presente e verificata. Combinando l'attestazione del dispositivo, la biometria comportamentale e le credenziali verificabili, elimini le vulnerabilità legate al fidarsi di una voce o di un volto familiare.

Nota: Entra Verified ID non sostituisce i controlli attuali. Aggiunge un livello solido che si basa sulla prova, non solo sul riconoscimento.

Verifica dell'autorità e verifica dell'identità a confronto

La verifica dell'identità conferma chi è una persona, mentre la verifica dell'autorità stabilisce se quella persona ha il mandato specifico per eseguire un'operazione ad alto rischio. Entra Verified ID utilizza un'architettura emittente-titolare-verificatore che offre alle organizzazioni un controllo preciso sull'emissione e sulla revoca delle credenziali.

Integrazione di Entra Verified ID con la sicurezza esistente

Non devi abbandonare gli investimenti esistenti in sicurezza di Microsoft 365 per adottare Entra Verified ID. Si integra senza problemi nella tua strategia Zero Trust, operando insieme ai criteri di accesso condizionale, alla protezione degli endpoint e all'analisi avanzata delle minacce. Richiedendo una credenziale verificabile per i flussi di lavoro sensibili, come i trasferimenti di grandi somme o le sostituzioni amministrative, neutralizzi i tentativi di deepfake BEC, perché un attaccante non può falsificare un'autorità crittografica.

Suggerimento: usa Entra Verified ID per confermare sia l'identità sia l'autorità. Questo passaggio ti aiuta a bloccare gli attacchi deepfake BEC e a proteggere la tua organizzazione.

Non puoi affidarti solo a SPF, DKIM e DMARC per fermare gli attacchi deepfake BEC. Questi strumenti non bloccano i domini simili né l'impersonificazione basata sull'IA.

SPF, DKIM e DMARC non impediscono gli attacchi con domini simili, gli attacchi con domini "cugini" o l'impersonificazione tramite account webmail gratuiti. Questi protocolli si basano sul giudizio umano, che può essere facilmente manipolato da contenuti generati dall'IA.
Ti serve una difesa a più livelli. Inizia con la formazione dei dipendenti, la gestione del rischio e le buone pratiche. Aggiungi soluzioni avanzate come Microsoft Entra Verified ID per la verifica dell'autorità.

• Nel 2024, gli attacchi BEC hanno causato perdite per 2,9 miliardi di dollari solo negli Stati Uniti.
• Il costo medio di una truffa BEC è stato di 137.132 dollari per singolo incidente.
  Usa simulazioni di phishing, monitoraggio continuo e formazione periodica per misurare le difese e proteggere la tua organizzazione.

🎧 Ascolta questo episodio

Vuoi una spiegazione pratica di Stop Deepfake Business Email Compromise with Verified ID? Questo episodio affronta l'argomento con un linguaggio chiaro e mostra perché è importante per Microsoft 365, Azure, Power Platform, sicurezza, AI e il lavoro moderno.

Ascolta questo episodio se vuoi:

• Capire i concetti chiave alla base di Stop Deepfake Business Email Compromise with Verified ID
• Vedere come si inserisce nel più ampio ecosistema tecnologico Microsoft
• Scoprire dove può creare valore concreto per la tua organizzazione

Potrebbero interessarti anche questi episodi correlati di M365 FM:

• Service Principal Security: Stop Using Personal Accounts
• Bloccare la prompt injection su Microsoft Copilot con Azure Logic Apps
• Stop Outsourcing Human Judgment to Microsoft Copilot
• Bloccare l'entropia dei costi di Azure con controlli di responsabilità e budget
• Come impedire agli agenti AI di eliminare email importanti

Scopri altre conversazioni pratiche su Microsoft su M365 FM.