Ricevo email da sconosciuti: come gli spammer ti trovano

Gli spammer trovano gli indirizzi email nelle violazioni dei dati (data breach), nelle liste che le aziende vendono o condividono, con lo scraping di siti web e profili pubblici, tirando a indovinare i nomi più comuni, nelle rubriche di altre persone e nei vecchi dati di registrazione dei domini. Poi verificano quali indirizzi sono attivi osservando aperture, clic e risposte. Puoi ricevere email da sconosciuti anche su un indirizzo che non hai mai dato a nessuno, perché indovinato, raccolto con lo scraping o preso dai contatti di qualcun altro, e solo alcune di queste strade puoi chiuderle tu. Per le strade che partono da te, CatchNone dà a ogni negozio e newsletter il suo indirizzo e mostra a quale è arrivato ogni messaggio, così una violazione o una lista venduta rivela la sua fonte, su iPhone, iPad e Mac.

Come fanno gli spammer ad avere il tuo indirizzo email: le 7 strade

1. Violazioni dei dati e le liste di password ricavate da queste.
2. Vendita e condivisione di liste, tramite data broker e “partner”.
3. Scraping di pagine web, profili social e codice.
4. Tentativi con i nomi più comuni, soprattutto sui domini che accettano qualsiasi indirizzo.
5. Rubriche di altre persone: caricamento dei contatti, malware e lunghe catene in Cc.
6. Vecchi record WHOIS precedenti al 2018.
7. Conferma: immagini di tracciamento, clic, risposte e messaggi di prova vuoti che dimostrano che un indirizzo funziona.

Violazioni dei dati e combo list

Quando un’azienda subisce una violazione, l’elenco dei suoi clienti può finire fuori insieme al resto, che tu usi ancora il servizio o no. Have I Been Pwned (HIBP) elencava 1.038 violazioni e oltre 17,8 miliardi di record di account violati al 25 settembre 2026. Il totale conta un indirizzo una volta per ogni violazione in cui compare, quindi misura gli account, non le persone. Cerca lì il tuo indirizzo per vedere in quali violazioni compare, quando sono avvenute e quali dati sono stati esposti. Se non compare in nessuna, è più probabile una vendita di liste, lo scraping o un indirizzo indovinato.

Gli indirizzi violati vengono riutilizzati. Le combo list sono coppie di email e password raccolte da violazioni precedenti e usate per il credential stuffing, cioè per provare la stessa password su altri siti. HIBP descrive Collection #1 (2019) come “773 milioni di indirizzi email unici insieme alle password che quegli indirizzi avevano usato su altri servizi violati”. Gli stealer log sono una terza fonte: il malware su un dispositivo infetto registra “indirizzi email, password e il sito web in cui vengono inseriti al momento dell’accesso”.

Puoi chiuderla? No. Puoi limitare quello che espone una singola violazione: una password diversa per ogni sito, la verifica in due passaggi sul tuo account email e un indirizzo separato per ogni azienda, così una violazione espone un indirizzo di scorta invece di quello principale. Gli avvisi gratuiti di HIBP, Notify Me (“avvisami”), ti informano della prossima.

Liste vendute, data broker e “i nostri partner”

La FTC statunitense lo dice chiaramente: “Quando dai il tuo indirizzo email a un’azienda, questa potrebbe condividerlo o venderlo a terzi”. I moduli di iscrizione alimentano lo stesso commercio. L’agenzia statunitense per la cybersicurezza e la sicurezza delle infrastrutture (CISA) osserva che le opzioni per ricevere email su altri prodotti a volte sono selezionate per impostazione predefinita, “quindi se non le deselezioni, potresti iniziare a ricevere email anche da quelle liste”. Lo alimentano anche concorsi a premi, sondaggi retribuiti e offerte di buoni regalo: secondo HIBP le liste di spam vengono spesso aggregate “ottenendo dati personali dalle persone con la promessa di una ricompensa in denaro”.

Chi compra indirizzi email? I marketer li comprano da venditori di liste e data broker, e gli spammer se li comprano a vicenda: le FAQ per i consumatori di Spamhaus citano tra le loro fonti gli indirizzi “comprati da altri spammer”. Le liste aziendali sono un prodotto a sé. Nel 2016 una lista di oltre 33 milioni di persone del mondo aziendale statunitense, proveniente dal servizio NetProspex di Dun & Bradstreet, è finita online, e secondo D&B l’aveva persa un cliente che l’aveva acquistata.

Negli Stati Uniti, la legge CAN-SPAM non richiede alcun consenso per inviare email di marketing. Una volta che ti sei disiscritto, però, un’azienda deve smettere di scriverti entro 10 giorni lavorativi e, dal momento in cui lo chiedi, “non può vendere né trasferire” il tuo indirizzo.

Puoi chiuderla? In parte. Togli la spunta dalle caselle preselezionate, disiscriviti dal marketing che non leggi e dai a ogni azienda un indirizzo diverso, così la prossima vendita rivelerà chi l’ha fatta. Come scoprire chi ha venduto il tuo indirizzo email approfondisce intestazioni, controlli sulle violazioni e richieste di accesso ai dati.

Scraping: siti web, profili e codice

“Gli spammer possono raccogliere qualsiasi indirizzo email pubblicato su un sito web”, avverte la CISA. In un esperimento della FTC del 2002, l’86% degli indirizzi pubblicati su pagine web ha ricevuto spam entro sei settimane, e un indirizzo pubblicato in una chat room ha ricevuto spam nove minuti dopo il primo utilizzo (risultati ripubblicati da ICANN). Non contava il punto della pagina in cui si trovava: “se l’indirizzo conteneva il simbolo ‘@’, attirava spam”.

I profili vengono raccolti su larga scala. Nel 2021 alcuni attaccanti hanno fatto scraping di centinaia di milioni di profili pubblici di LinkedIn, ricavandone circa 125 milioni di indirizzi email unici, secondo HIBP. Hanno anche sfruttato un’API di Twitter che associava gli indirizzi email agli account, e oltre 200 milioni di record raccolti in quel modo sono emersi nel 2023.

Anche il codice pubblico espone gli indirizzi: ogni commit Git riporta l’indirizzo email del suo autore. Su GitHub, vai in Settings (Impostazioni) > Emails, seleziona “Keep my email addresses private” (mantieni privati i miei indirizzi email) e “Block command line pushes that expose my email” (blocca i push da riga di comando che espongono la mia email), poi imposta Git sul tuo computer con l’indirizzo @users.noreply.github.com indicato lì. I commit fatti prima della modifica “restano associati al tuo indirizzo email precedente” (GitHub Docs). Come tenere il tuo indirizzo fuori dai commit di GitHub e GitLab riporta tutti i passaggi.

Puoi chiuderla? Per il futuro. Tieni il tuo indirizzo principale fuori dalle pagine pubbliche, usa al suo posto un modulo di contatto o un indirizzo separato e imposta i profili social in modo che solo le persone di cui ti fidi possano vedere la tua email, come consiglia la CISA. Quello che è già stato raccolto resta in circolazione.

Indirizzi indovinati: gli spammer possono semplicemente tirare a indovinare?

Sì, e non serve nessuna lista. Il comitato per la sicurezza di ICANN ha descritto il metodo nel 2007: gli spammer provano “nomi e cognomi comuni, singoli e concatenati”, oppure ogni combinazione di caratteri, e tengono gli indirizzi che un server di posta accetta. Si chiama directory harvest attack (attacco di raccolta degli indirizzi). In uno dei test del comitato, il 70% dello spam è arrivato a indirizzi dei domini di prova che non erano mai stati pubblicati da nessuna parte. I nomi brevi e comuni sono i bersagli più facili, e lo schema first.last@example.com di un’azienda permette a chiunque di ricostruire gli indirizzi dei dipendenti.

Un catch-all accetta ogni tentativo. Se il tuo dominio consegna la posta per qualsiasi indirizzo, admin@example.com e info@example.com ti raggiungono che tu li abbia mai usati o no. Le FAQ di addy.io avvertono che “spammer e bot provano spesso indirizzi email a caso”, e cPanel spiega che un catch-all “può ricevere una grande quantità di spam” quando gli spammer prendono di mira un dominio. Cos’è un indirizzo email catch-all? spiega nel dettaglio pro e contro.

Puoi chiuderla? In parte. Un indirizzo breve e comune resta facile da indovinare, ma il prossimo non deve esserlo per forza: scegline uno difficile da indovinare, come consiglia l’ICO, l’autorità britannica per la protezione dei dati. Sul tuo dominio, disattivare il catch-all impedisce ai tentativi di raggiungerti. Se lo tieni, blocca i nomi indovinati presso il tuo provider. In Cloudflare Email Routing, per esempio, vai in Compute > Email Service > Email Routing > Routing Rules (regole di routing) e aggiungi una regola per quell’indirizzo con l’azione Drop (scarta), che “elimina le email che corrispondono alla regola senza instradarle”. Cloudflare avverte che l’indirizzo continua a sembrare valido ai mittenti: invia un messaggio di prova per verificare che la regola prevalga sul catch-all.

Rubriche e caselle di posta altrui

Il tuo indirizzo si trova nei contatti di tutte le persone a cui hai scritto, e quelle copie sfuggono al tuo controllo.

• Caricamento dei contatti. Quando qualcuno sincronizza i contatti con Facebook, Messenger o Instagram, Meta carica ogni giorno “i nomi, i numeri di telefono e gli indirizzi email presenti nella sua rubrica”, compresi quelli delle persone che non usano le app di Meta. Questo da solo non lo consegna agli spammer, ma Meta afferma che prima di settembre 2019 alcuni scraper hanno usato in modo improprio il suo strumento di importazione dei contatti per associare numeri di telefono agli account.
• Malware sul computer di qualcun altro. Il malware Emotet poteva “raccogliere indirizzi email da Outlook” e dirottare vere conversazioni email per diffondersi (avviso CISA AA20-280A).
• Catene in Cc e mailing list. Un lungo inoltro porta con sé ogni indirizzo della conversazione, e il comitato per la sicurezza di ICANN ha descritto spammer che si iscrivono alle mailing list per raccogliere indirizzi dalle intestazioni From, Reply-To e Cc.
• Qualcuno ti iscrive. La guida di Gmail descrive persone che usano il tuo indirizzo “per iscriversi a email, come promozioni o newsletter”, per errore o di proposito.

Puoi chiuderla? Non direttamente. Usa il Ccn (copia nascosta) per le email di gruppo, togli gli indirizzi altrui da una conversazione prima di inoltrarla e chiedi agli altri di fare lo stesso.

Vecchi record WHOIS

I dati di registrazione dei domini un tempo pubblicavano l’indirizzo email del proprietario. Nel 2007 il comitato per la sicurezza di ICANN concluse che un indirizzo nel WHOIS “garantisce praticamente l’arrivo dello spam”.

Questa strada si è in gran parte chiusa. Dal 25 maggio 2018, la Temporary Specification (specifica temporanea) di ICANN ha imposto ai registrar di oscurare i dati di contatto per le registrazioni legate all’Europa e ha permesso loro di farlo ovunque, offrendo al loro posto un indirizzo di inoltro o un modulo web. Uno studio di Interisle del 2021 ha rilevato che solo il 13,5% dei domini generici, come .com, indicava ancora un vero intestatario. La Registration Data Policy (politica sui dati di registrazione) permanente di ICANN, in vigore dal 21 agosto 2025, mantiene lo stesso modello.

La strada esiste ancora dove hai acconsentito alla pubblicazione, presso i registrar che pubblicano i dati di organizzazioni o di intestatari fuori dall’Europa, secondo le regole proprie di alcuni domini nazionali e negli archivi a pagamento dei record precedenti al 2018.

Puoi chiuderla? Per lo più è già chiusa in partenza. Se possiedi un dominio, cercalo su ICANN Lookup per vedere cosa è pubblico, lascia attiva l’opzione di privacy del tuo registrar e non acconsentire alla pubblicazione dei tuoi dati di contatto.

Conferma: aperture, clic, risposte e messaggi vuoti

Un indirizzo vale di più quando si sa che funziona. Gli spammer “vendono gli indirizzi attivi a prezzo maggiorato come indirizzi ‘a consegna confermata’ ad altri spammer ancora”, dicono le FAQ per i consumatori di Spamhaus. Confermano gli indirizzi tramite:

• Immagini di tracciamento. “Quando il tuo programma di posta scarica l’immagine dal loro server web, gli spammer sanno che hai aperto il messaggio” (CISA).
• Clic e risposte. Qualsiasi clic o risposta, compresa una richiesta di “cancellatemi”, conferma che qualcuno legge quell’indirizzo.
• Link di disiscrizione. Lo standard per la disiscrizione con un clic, RFC 8058, osserva che disiscriversi “fornisce al mittente un forte indizio che l’indirizzo a cui è stato inviato il messaggio era valido”.
• Messaggi vuoti. “Per verificare se gli indirizzi email sono validi, gli spammer inviano spesso email senza contenuto nel corpo o nell’oggetto”, spiega la guida di Gmail. Gli indirizzi che funzionano ricevono spam in seguito.

Puoi chiuderla? Sì. Con la posta di sconosciuti, non rispondere, non cliccare e non disiscriverti: segnalala come spam. Per i marchi che riconosci o a cui ti sei iscritto, usa il pulsante per annullare l’iscrizione della tua app di posta, come suggerisce Gmail, oppure l’opzione di disiscrizione nel messaggio, come consiglia l’ICO; quando i link di disiscrizione sono sicuri spiega la regola in base al mittente.

Poi evita che le immagini ti tradiscano. In Mail di Apple su iPhone (iOS 27), vai in Impostazioni > App > Mail > Protezione della privacy e attiva “Proteggi le attività di Mail”, che carica le immagini in privato in background, così il mittente non può sapere se o quando leggi un messaggio (guida di Apple). In Gmail su computer, vai in Impostazioni > “See all settings” (Visualizza tutte le impostazioni), imposta “Images” (Immagini) su “Ask before displaying external images” (Chiedi prima di visualizzare immagini esterne) e fai clic su “Save Changes” (Salva modifiche) (guida di Google). Nessuna delle due protegge i link o gli allegati. Come bloccare i pixel di tracciamento spiega i passaggi per le altre app di posta e cosa rivela ancora ciascuna.

Come capire da quale strada arrivano le email da sconosciuti

Il Ccn nasconde gli altri destinatari, e la guida di Gmail osserva che “a volte gli spammer aggiungono indirizzi email casuali nel campo ‘Ccn’ per cercare di ottenere una risposta”, quindi non rispondere.

Esiste una lista di spam da controllare o da cui farti togliere?

Non esiste un elenco ufficiale dei destinatari dello spam, né un modo per farti togliere dalle liste degli spammer. Puoi però verificare se il tuo indirizzo è comparso in una lista di spammer trapelata: cercalo su Have I Been Pwned, che al 25 settembre 2026 include 16 liste di questo tipo. Le più grandi sono Onliner Spambot (711 milioni di indirizzi, 2017) e River City Media (393 milioni, 2017). Se uno di questi nomi compare nei risultati, uno spammer aveva il tuo indirizzo.

Le blocklist sono un’altra cosa: tengono traccia della provenienza dello spam. Spamhaus ne definisce una come “un database contenente indirizzi IP, domini o hash”, ciascuno inserito perché è stato visto inviare spam o causare altri danni, oppure perché ha una cattiva reputazione. La sua Hash Blocklist può includere indirizzi email, ma si tratta di indirizzi che inviano spam o che vi compaiono, come un account compromesso. Gli strumenti di verifica delle blocklist come il Blacklist Check di MxToolbox controllano l’indirizzo IP di un server di posta, non il tuo indirizzo email.

Nemmeno una lista di esclusione dalle email (do-not-email) servirebbe. Nel 2004 la FTC disse al Congresso che un registro del genere probabilmente si sarebbe ritorto contro, perché “gli spammer userebbero un registro del genere come elenco di indirizzi email validi” (FTC). Spamhaus definisce i servizi a pagamento che promettono di toglierti dalle liste degli spammer “nel migliore dei casi una truffa e nel peggiore un sistema di conferma degli ‘indirizzi attivi’ per lo spammer”.

Le alternative reali più vicine raggiungono le aziende che rispettano la legge, non gli spammer. A settembre 2026:

• DROP della California (Delete Request and Opt-out Platform) permette ai residenti in California di inviare un’unica richiesta di cancellazione gratuita a oltre 600 data broker registrati, che devono elaborare le richieste almeno ogni 45 giorni. Non raggiunge le aziende con cui hai avuto rapporti diretti (condizioni di DROP).
• L’Email Preference Service dell’Association of National Advertisers, raggiungibile da DMAchoice.org, è gratuito e dura 10 anni (FTC), ma raggiunge solo i marketer che lo usano per ripulire le proprie liste.

Cosa può fare qualcuno conoscendo solo il tuo indirizzo email?

Senza la tua password, meno di quanto temi. Con il solo indirizzo, qualcuno può:

• mandarti phishing che sembra autentico, soprattutto con dettagli presi da una violazione
• provare sui tuoi account password trapelate da altri siti
• scoprire quali servizi usi, come un tempo permetteva l’API di Twitter
• iscriverti a email non richieste
• rivenderlo, a un prezzo più alto una volta confermato attivo

Perché un truffatore vuole il tuo indirizzo email?

Perché è il primo passo verso la tua casella di posta, e un criminale che entra nel tuo account email potrebbe “reimpostare le password di tutti gli altri tuoi account”. Il National Cyber Security Centre britannico (NCSC) consiglia una password robusta e diversa per la tua email, più la verifica in due passaggi.

Lo spam che mostra il tuo stesso indirizzo come mittente non prova che qualcuno sia entrato, perché la riga From è facile da falsificare. Come verificare se il tuo account email è stato violato illustra i controlli per Gmail, Outlook.com e Mail di iCloud.

È sicuro dare il tuo indirizzo email?

Di solito sì. Un indirizzo non è una password, e conoscerlo non apre il tuo account. Dai il tuo indirizzo principale alle persone e alle aziende su cui fai affidamento, come la tua banca. Per negozi, newsletter e iscrizioni occasionali, un indirizzo separato per ogni azienda tiene violazioni e vendite di liste lontane da quello principale, e il tuo indirizzo principale non dovrebbe proprio essere pubblicato online.

Come impedire agli spammer di avere il tuo indirizzo: le strade che puoi chiudere

Puoi ottenere un indirizzo per ogni azienda in vari modi. CatchNone dà a ogni azienda il suo alias, tiene quella posta fuori dalla tua casella principale e contrassegna ogni messaggio con l’alias a cui è arrivato, così una fuga o una vendita salta all’occhio. Il plus addressing (l’indirizzo con il +) è più rapido da avviare, se il tuo provider lo supporta (you+shop@example.com), ma chiunque può cancellare l’etichetta dopo il +, quindi rivela una fuga solo se il mittente non si prende la briga di toglierla. “Nascondi la mia email” di Apple (parte di iCloud+), DuckDuckGo Email Protection e altri servizi di alias inoltrano la posta alla tua casella. Funziona anche un catch-all sul tuo dominio, con il compromesso sui tentativi visto sopra. Servizi di alias email a confronto illustra le differenze.

Dove si colloca CatchNone

CatchNone agisce sulle strade che partono da te quando consegni un indirizzo. Ogni negozio, newsletter o account riceve il proprio alias, e ogni messaggio porta un badge con l’alias a cui è arrivato, così un indirizzo violato o venduto rivela la sua fonte. “Attività” segnala la posta arrivata su un alias che non usi e i mittenti che ti scrivono per la prima volta, e le immagini remote, compresa la maggior parte dei pixel di tracciamento, restano bloccate finché non le carichi. Gli indirizzi @catchnone.com richiedono Premium e vengono assegnati a caso, come abcde-12345@catchnone.com, quindi nessuno li indovinerebbe. La posta indirizzata a indirizzi che lì non esistono viene accettata e scartata, così chi tira a indovinare non scopre nulla, e quando disattivi un indirizzo trapelato i mittenti ricevono un rimbalzo. Sul tuo dominio, gli indirizzi catch-all indovinati compaiono sotto l’indirizzo che hanno raggiunto, con un badge grigio, e questo rende facile individuare lo spam a dizionario. Scarica CatchNone, disponibile per iPhone, iPad e Mac.

CatchNone funziona in sola ricezione e non è un filtro antispam: tiene la posta delle iscrizioni nella sua app, lontano dalla tua casella principale, e mostra a quale alias è arrivato ogni messaggio. Sul tuo dominio, segnare un alias come “Non in uso” è solo un’etichetta, quindi blocca gli indirizzi presso il tuo provider.

Domande frequenti

Come fanno gli spammer ad avere il mio indirizzo email se non l’ho mai dato a nessuno?

Molto probabilmente l’hanno indovinato, l’hanno raccolto con lo scraping da una pagina, un profilo o un commit in cui era pubblicato, l’hanno preso dalla rubrica di qualcun altro oppure l’hanno ottenuto da un’azienda a cui ti eri iscritto e di cui ti sei dimenticato, tramite una violazione o una vendita di liste di quell’azienda. La tabella dei segnali associa quello che vedi alla strada probabile.

Come fanno aziende sconosciute ad avere il mio indirizzo email?

Di solito da un’azienda con cui hai avuto a che fare davvero, che l’ha condiviso o venduto a “partner”, spesso perché al momento dell’iscrizione hai lasciato spuntata una casella preselezionata. Anche i data broker raccolgono e vendono indirizzi. La guida citata nella sezione su liste vendute e data broker spiega come scoprire di quale azienda si tratta.

Come fanno gli spammer ad avere il mio indirizzo email di lavoro?

Da elenchi di contatti aziendali venduti ai marketer, dal sito web del tuo datore di lavoro e indovinando lo schema dei nomi che usa. HIBP contiene diverse liste aziendali trapelate, come B2B USA Businesses, che ordinava gli indirizzi per datore di lavoro e qualifica. Nel Regno Unito, l’ICO afferma che le organizzazioni possono inviare marketing a un indirizzo di lavoro senza consenso, a meno che l’indirizzo non ti identifichi: in quel caso puoi chiedere che smettano.