Quanto spam ricevi? La verità sui messaggi truffaldini

Un direttore amministrativo di un’azienda mantovana ha aperto un’email che sembrava arrivare dal suo CEO. Chiedeva un bonifico urgente a un fornitore, raccomandando massima riservatezza. Era falsa. È così che oggi, nel 2026, funziona davvero lo spam: non più il principe nigeriano che ti regala milioni, ma messaggi credibili che colpiscono persone competenti.

1. Cosa intendiamo davvero per spam
2. Perché ti arriva (e cosa fanno gli spammer del tuo indirizzo)
3. Come si riconosce un’email di spam
4. 5 consigli pratici contro lo spam
5. Quando lo spam smette di essere fastidio e diventa rischio aziendale
6. Le domande che ci fanno sempre

La sera in cui abbiamo sfiorato la tragedia

Era una giornata come tante, in una nota azienda meccanica di Mantova. Il direttore amministrativo apre la posta e trova un messaggio dal suo amministratore delegato: la richiesta è di versare una somma di denaro a un fornitore, in vista dell’arrivo di nuovi materiali. Il tono è asciutto, autorevole. Una postilla: tenere riservata l’operazione fino a conferma di pagamento.

Qualcosa non torna. Il direttore alza la cornetta e chiama direttamente il CEO, che cade dalle nuvole. Della richiesta non sa niente. È stata una truffa, e per pochi minuti l’azienda non ha perso decine di migliaia di euro.

Ci hanno chiamati subito dopo. Reparto tecnico in azione: verifica della rete, messa in sicurezza della posta, pianificazione di un corso di formazione cyber per i dipendenti. Questa volta è andata bene. Non sempre va così: a livello mondiale la sola truffa del CEO ha sottratto oltre 3 miliardi di dollari, e l’Italia è il secondo paese al mondo più colpito, dopo gli Stati Uniti.

Vi racconto questo caso in apertura perché oggi quando parliamo di spam, parliamo di questo. Non di pubblicità invadenti, non di catene di Sant’Antonio, non del principe nigeriano. Parliamo di messaggi truffaldini sempre più verosimili, costruiti per ingannare anche le persone più attente. E vale la pena capire come stanno le cose, prima di pensare di esserne al riparo.

Cosa intendiamo davvero per spam

Tecnicamente lo spam è una comunicazione elettronica indesiderata e inviata in massa. Lo dice Spamhaus, l’organizzazione internazionale che da decenni monitora il fenomeno: perché si possa parlare di spam servono due condizioni, l’indesideratezza (al destinatario non interessava, il messaggio è applicabile a chiunque) e la massività (il mittente non ha ricevuto un’autorizzazione esplicita e revocabile per scrivere).

In pratica, sotto questa etichetta cade di tutto. C’è lo spam pubblicitario classico — offerte di prodotti dubbi, integratori miracolosi, software pirata. C’è lo scam, le truffe vecchio stile in cui qualcuno vi promette un’eredità o una vincita. C’è il phishing, in cui qualcuno imita la vostra banca o il corriere per rubarvi le credenziali. C’è il malspam, posta con allegati infetti che installano malware appena cliccate. E poi ci sono le forme nuove, sofisticate, mirate, come la CEO Fraud che abbiamo visto in apertura.

Tutte queste cose si chiamano “spam”, ma il rischio è molto diverso. Il fastidio commerciale lo cancellate e bona. Il malspam vi può infettare il PC. Il phishing vi può svuotare il conto. La truffa del CEO può costare alla vostra azienda decine di migliaia di euro in pochi minuti.

Perché ti arriva (e cosa fanno gli spammer del tuo indirizzo)

Una domanda che ci sentiamo fare spesso: come hanno trovato la mia email? La verità è che non vi hanno scelti. Hanno scelto qualche milione di indirizzi insieme, e voi siete finiti nella lista.

Le strade attraverso cui finiscono in possesso del vostro indirizzo sono diverse e ben rodate. La più frequente è la registrazione a siti web di dubbia affidabilità: voi accettate frettolosamente le condizioni d’uso, i dati finiscono in un database, il database viene venduto. Un’altra è il web scraping: software automatici che spazzolano siti, forum, social network e raccolgono indirizzi pubblicati in chiaro. Una terza è il data breach: se in passato Yahoo, LinkedIn, Facebook hanno subito furti di dati, milioni di email sono finite sul dark web e da lì vengono riutilizzate.

Poi ci sono gli spambot, software che provano combinazioni casuali di nomi e domini — [email protected], [email protected], mario1990@… — sperando di indovinare. E infine c’è la strada più amara: un vostro contatto, magari un parente o un collega, è stato infettato da un malware che ha avuto accesso alla sua rubrica. Da lì, lo spammer ha pescato il vostro indirizzo direttamente dalla persona che vi conosceva.

Una verifica utile la potete fare gratis su Have I Been Pwned (haveibeenpwned.com): inserite la vostra email e vedete se è coinvolta in qualche data breach noto. Nel novanta per cento dei casi la risposta è sì.

Come si riconosce un’email di spam (i segnali che funzionano davvero)

I consigli su “come riconoscere un’email sospetta” circolano da vent’anni. Alcuni sono ancora validi, altri sono stati superati dall’evoluzione degli attacchi. Vediamo cosa guardare oggi, nel 2026.

Il mittente è il primo segnale. Le email vere di Poste Italiane non arrivano da indirizzi come @poste-comunicazioni-2024.com. Le banche scrivono dal loro dominio ufficiale, non da varianti creative. Se non riconoscete il dominio del mittente, già lì c’è un problema.

L’oggetto è il secondo. “Il tuo conto sarà bloccato”, “Hai vinto un iPhone”, “Verifica urgente dei tuoi dati”: sono formule pensate per innescare ansia o desiderio. Le aziende serie non comunicano così.

Il saluto generico (“Gentile cliente”, “Caro utente”) è un segnale che il mittente non sa chi siete. Le aziende vere, quelle a cui siete davvero registrati, vi chiamano per nome.

L’urgenza esasperata (“Agisci entro 24 ore o perdi l’accesso”) è la tecnica psicologica preferita degli scammer. Una banca seria non vi mette mai il coltello alla gola via email.

I link sospetti: passateci sopra il cursore senza cliccare e guardate l’URL che appare in basso a sinistra del browser. Se l’email dice di venire da Amazon ma il link punta a amaz0n-verify-account.xyz, è truffa.

Gli allegati inattesi sono pericolosi sempre. Fatture, ricevute, “documenti da firmare” che non avevate richiesto: cestinate senza aprire.

Le richieste di dati sensibili via email non sono normali. Nessuna banca seria, nessuna pubblica amministrazione vi chiede password, PIN o codici di sicurezza via email. Mai.

Detto questo, vi confesso una cosa che agli IT manager risulta scomoda da ammettere: oggi gli attacchi più sofisticati superano tutti questi controlli. Le email scritte con intelligenza artificiale sono grammaticalmente perfette, contestuali, personalizzate. La domanda “come riconoscere lo spam” sta diventando obsoleta. La domanda giusta è: cosa fare per ridurre quanto ne ricevi, e cosa fare quando ne ricevi uno. Ed è il punto a cui arriviamo adesso.

5 consigli pratici contro lo spam

1. Non rispondere e non aprire le email indesiderate

La prima regola sembra ovvia, ma non lo è. Quando aprite un’email di spam, i software per l’email marketing degli spammer registrano l’apertura e confermano che il vostro indirizzo è attivo. Significa che da quel momento riceverete più spam, non meno.

Attenzione anche alle finte opzioni di disiscrizione. Spesso le email truffaldine includono un link “Se non vuoi più ricevere questi messaggi, clicca qui”: cliccarlo, in molti casi, attiva il download di un malware o conferma allo spammer che l’indirizzo è vivo e vegeto. Sui mittenti chiaramente spam, evitate di cliccare qualsiasi cosa, compresi i pulsanti di unsubscribe.

2. Cancellati dalle newsletter legittime

A volte la sensazione di essere “sommersi di spam” arriva in realtà da newsletter a cui vi siete iscritti senza accorgervene, accettando condizioni d’uso frettolosamente. Tecnicamente non è spam: è marketing legittimo, e per legge ogni newsletter deve includere un pulsante di disiscrizione che funziona davvero. Aprite l’email, scorrete in fondo, trovate “Unsubscribe” o “Annulla iscrizione” e cliccate. La differenza con lo spam vero è che qui il link funziona davvero, perché chi vi scrive è obbligato a rispettare il GDPR.

3. Attiva il filtro anti-spam (e se hai un’azienda, fai un passo in più)

Tutti i principali provider — Gmail, Outlook, Apple iCloud — hanno filtri anti-spam attivi di default, e sono diventati molto efficaci. Verificate che siano configurati correttamente nelle impostazioni del vostro account.

Se gestite la posta di un’azienda però, i filtri base non bastano più. Quello che noi consigliamo, e che applichiamo ai nostri clienti, è un servizio professionale di Email Protection che lavora a livello di gateway: analisi dei contenuti, sandbox per gli allegati sospetti, protezione contro lo zero-day, scansione in entrata e uscita. Sono cose che un provider gratuito non fa, e che fanno la differenza tra una casella di posta sicura e una porta d’ingresso aperta.

4. Segnala lo spam, non limitarti a cancellarlo

Quando ricevete un’email di spam, non limitatevi a eliminarla. Usate il pulsante “Segnala come spam” del vostro client di posta. Funziona così: il provider riceve una copia dell’email, la analizza, e usa quei dati per migliorare i filtri automatici di tutti gli utenti. Più gente segnala, più i filtri diventano efficaci.

Devo essere onesto: non è una soluzione definitiva. Gli spammer cambiano IP, dominio, mittente nell’arco di poche ore. Però è la cosa più efficace che un singolo utente possa fare per contribuire alla difesa collettiva.

5. Prevenire la diffusione del tuo indirizzo

Il modo migliore di gestire lo spam è non riceverlo. Alcuni accorgimenti che funzionano.

Non pubblicate l’indirizzo email principale su siti pubblici, forum, profili LinkedIn o biografie Instagram. Se vi serve un indirizzo di contatto pubblico, createne uno secondario apposito.

Quando vi registrate a siti di cui non vi fidate del tutto, usate un’email “usa e getta”. Esistono servizi gratuiti che generano caselle temporanee proprio per questo scopo.

Quando inviate un’email a più persone, usate il campo copia conoscenza nascosta (CCN o BCC) invece di mettere tutti in copia. Così gli indirizzi dei destinatari non sono visibili l’uno all’altro, e basta uno solo dei destinatari malevolo per ritrovarsi tutti gli indirizzi finiti in una mailing list di spam.

Cambiate periodicamente le password degli account più importanti e, dove possibile, attivate l’autenticazione a due fattori. Anche se uno spammer dovesse avere la vostra email, non potrebbe entrare nel vostro account.

Quando lo spam smette di essere fastidio e diventa un rischio per l’azienda

Tutto quello che abbiamo detto finora vale per la posta personale. Quando passiamo all’azienda, lo scenario cambia.

In azienda lo spam non è una seccatura, è un rischio operativo. Un’email phishing aperta dal dipendente sbagliato può aprire la porta a un ransomware che blocca la produzione per giorni. Una richiesta finta di bonifico, come quella che abbiamo raccontato in apertura, può costare decine di migliaia di euro in pochi minuti. Un attacco BEC riuscito può portare alla violazione di dati personali, con conseguenti sanzioni GDPR.

Per questo le imprese devono affrontare il problema con strumenti diversi dai filtri spam personali: gateway email professionali, configurazioni DNS (SPF, DKIM, DMARC), formazione del personale, simulazioni di phishing periodiche, procedure interne per le richieste sensibili. Se siete IT manager o responsabili sicurezza della vostra azienda, abbiamo dedicato un articolo specifico all’anti-spam aziendale, alla protezione della posta nel 2026 e ai requisiti NIS2 e GDPR.

Le domande che ci fanno sempre

Lo spam può infettare il computer anche senza cliccare?
Aprire un’email di spam, di per sé, non è quasi mai pericoloso con i client moderni. Il rischio vero nasce quando cliccate su un link, scaricate un allegato, o abilitate le macro in un documento Word o Excel. La regola è semplice: non interagite mai con un messaggio sospetto.

Junk email e spam sono la stessa cosa?
Sì. “Junk” è il termine che usa Outlook al posto di “spam”. È la stessa cosa: posta indesiderata e potenzialmente pericolosa.

I link “annulla iscrizione” funzionano davvero?
Dipende. Sui mittenti legittimi sì, e sono obbligatori per legge: un’azienda vera deve permettervi di disiscrivervi. Su email chiaramente spam, no, ed è meglio non cliccare: spesso quei link confermano allo spammer che l’indirizzo è attivo.

Cosa significa “presunto spammer” sulle chiamate o su WhatsApp?
È un’etichetta che WhatsApp, Google, e gli operatori telefonici applicano a contatti segnalati da molti utenti come fonte di messaggi o chiamate indesiderate. Non è una conferma assoluta che si tratti di spam, ma è un avviso forte a usare cautela.

Sei responsabile della posta elettronica di un’azienda e vuoi proteggerla davvero da spam, phishing e attacchi BEC come quello che abbiamo raccontato in apertura? Onorato Informatica gestisce la sicurezza email di oltre 4.500 clienti italiani con il servizio di Email Protection: anti-spam, anti-phishing, sandbox per allegati sospetti, protezione anti-ransomware. Azienda certificata ISO 27001, socia CLUSIT.