Perché ricevo tante mail spam all’improvviso?

Se ti chiedi perché ricevi tante mail spam all’improvviso, di solito qualcuno ha iscritto il tuo indirizzo a centinaia di liste in una volta sola (un mail bombing), il tuo indirizzo è trapelato in una violazione dei dati (data breach) o è stato venduto dopo un’iscrizione, oppure gli spammer lo stanno falsificando come mittente. Meno spesso, qualcuno è entrato nel tuo account, una modifica a un filtro o a un’app lascia passare più posta, oppure qualcuno sta tirando a indovinare nomi su un dominio di tua proprietà. Il tipo di posta che arriva ti dice qual è la causa. Controlla prima le frodi: un mail bombing serve spesso a coprire un acquisto o una reimpostazione della password che non devi notare. Per la prossima volta, CatchNone dà a ogni negozio, newsletter e account il suo indirizzo, su iPhone, iPad e Mac, così un picco arriva su un solo alias e mostra da dove viene.

Escludi le cause in quest’ordine, dalla più urgente:

1. Un mail bombing: decine o centinaia di conferme di iscrizione all’ora.
2. Un account compromesso: posta inviata dal tuo account che non hai scritto tu, o impostazioni che non hai cambiato.
3. Una violazione dei dati o una lista di spam: un aumento costante di posta indesiderata da mittenti mai sentiti.
4. Una vendita o una cessione dopo un’iscrizione: marketing di aziende con cui non hai mai avuto a che fare.
5. Spoofing: spam, o messaggi di mancato recapito, “da” il tuo stesso indirizzo.
6. Una modifica ai filtri o all’app: la stessa posta, smistata in modo diverso.
7. Tentativi a dizionario su un dominio catch-all: posta a nomi inventati su un dominio di tua proprietà.

Prima di tutto, assicurati che lo spam non nasconda una frode

Un attacco di mail bombing inonda di posta un solo indirizzo. La sua forma più comune, il subscription bombing (bombardamento di iscrizioni), usa vere email di conferma di aziende reali: qualcuno inserisce il tuo indirizzo nei moduli di iscrizione di molti siti. Alcuni ricercatori di sicurezza descrivono raffiche di oltre 1.500 email all’ora, e Yahoo ne elenca gli scopi, tra cui “nascondere le email di conferma di transazioni finanziarie”.

Se la tua posta in arrivo si sta riempiendo di messaggi “Conferma la tua iscrizione” e “Benvenuto”, dedica prima dieci minuti a questo:

1. Apri direttamente le app della banca e delle carte, non tramite i link nelle email, e cerca pagamenti che non riconosci. Se ne trovi uno, la FTC dice di segnalarlo subito all’emittente della carta o alla banca, usando “il numero sul retro della carta” o la sua app.

2. Accedi ai negozi in cui hai salvato la carta e controlla gli ordini recenti.

3. Cerca nella tua casella di posta, spam e cestino compresi, ciò che l’ondata potrebbe seppellire: reimpostazioni della password, avvisi di accesso, dati di recupero modificati e conferme di ordini e pagamenti. In Gmail, questa ricerca copre l’ultima settimana; cambia 7d per risalire fino a quando è iniziata l’ondata:

   in:anywhere newer_than:7d {subject:password subject:security subject:"sign in" subject:login subject:recovery subject:order subject:receipt subject:payment}

   In Outlook.com, Mail di iCloud o Yahoo, cerca queste parole una alla volta.

4. Se trovi qualcosa che non hai fatto tu, cambia la password di quell’account sul suo sito web o nella sua app, poi segui i controlli per l’account violato qui sotto.

Aspettati un’altra mossa. Negli attacchi documentati da CISA e Microsoft, l’ondata è stata seguita da una chiamata o da un messaggio su Microsoft Teams di qualcuno che si spacciava per il supporto IT, si offriva di risolvere il problema dello spam e chiedeva alla vittima di installare uno strumento di accesso remoto come Quick Assist (Assistenza rapida) o AnyDesk. Microsoft dice: “Se non ce l’hai chiesto tu, non ti chiameremo per offrirti assistenza”. Riattacca, o ignora il messaggio. Su un account di lavoro, contatta l’IT tramite un canale che usi già.

Tante mail spam all’improvviso? Risali alla causa da ciò che vedi

Un aumento improvviso delle email indesiderate lascia indizi nella posta stessa. Trova la riga che corrisponde a ciò che vedi:

Cosa fare se subisci un mail bombing

Non puoi fermare un mail bombing alla fonte, perché la posta arriva da veri moduli di iscrizione. Puoi però toglierlo di mezzo senza perdere l’unico messaggio che conta:

1. Non fare clic sui link Conferma o Verifica nell’ondata. Nelle liste con doppio opt-in non vieni aggiunto finché non fai clic; Mailchimp, per esempio, aggiunge un contatto solo dopo che ha “fatto clic su un link per verificare la propria email”. Non tutte le liste chiedono una conferma, quindi alcune continueranno a scriverti.
2. Non eliminare in blocco e non bloccare i mittenti uno per uno. Un’eliminazione in blocco può portarsi via l’unica email di sicurezza, e i mittenti che cambiano indirizzo aggirano i blocchi.
3. Crea un solo filtro temporaneo. Fagli spostare le conferme in una cartella o sotto un’etichetta, escludi tutto ciò che riguarda password, sicurezza, ordini o pagamenti, e non fargli mai eliminare nulla. Crealo sul sito web del tuo provider: il nuovo Outlook per Windows non esegue le regole per gli account Gmail, Yahoo o iCloud.
4. Controlla quella cartella una volta al giorno. Ripeti i controlli su banca e ordini per qualche giorno.
5. Rimuovi il filtro quando l’ondata si ferma. Poi annulla l’iscrizione alle liste che continuano a scriverti, con il link di ciascun mittente o, in Gmail, More > Manage subscriptions (Altro > Gestisci iscrizioni), ancora in fase di distribuzione a settembre 2026. Appartengono ad aziende reali, quindi annullare l’iscrizione di solito funziona. Lo spam vero è un’altra cosa: scopri quando i link per annullare l’iscrizione possono essere dannosi.

Un filtro che lascia in vista la posta di sicurezza

In Gmail, questa ricerca trova gli oggetti di conferma più comuni ed esclude la posta di sicurezza e degli ordini. Cambia le parole in base a ciò che vedi:

{subject:confirm subject:subscription subject:welcome subject:newsletter subject:verify} -subject:password -subject:security -subject:"sign in" -subject:login -subject:code -subject:order -subject:receipt -subject:payment

1. Su un computer, incollala nella casella di ricerca in cima a Gmail e premi Invio. Controlla che i risultati siano l’ondata e nulla di cui hai bisogno.
2. Fai clic su Show search options (Mostra opzioni di ricerca), controlla i criteri, poi fai clic su Create filter (Crea filtro) in fondo alla finestra di ricerca.
3. Scegli di saltare la posta in arrivo e di applicare una nuova etichetta, ad esempio Flood. Non scegliere di eliminare.
4. Fai clic su Create filter (Crea filtro). La guida ai filtri di Gmail riporta tutti i passaggi.

Altrove, a settembre 2026:

Come capire se il tuo account email è stato violato

Ricevere più spam non significa, di per sé, che qualcuno sia entrato nel tuo account email, anche se un’ondata può coprire un tentativo di prenderne il controllo. Segnali più chiari sono la posta in uscita che non hai inviato tu (che fa tornare indietro messaggi di mancato recapito e risposte) e le impostazioni che non hai cambiato. FTC, Google e Apple elencano i segnali: gli amici ricevono da te email che non hai inviato, nella cartella della posta inviata ci sono messaggi che non hai scritto, ricevi avvisi di un accesso o di un cambio di password che non hai fatto tu o un codice per l’autenticazione a due fattori che non hai chiesto, oppure non riesci ad accedere.

Se non riesci ad accedere, parti invece dalla procedura di recupero del provider: Google, Microsoft o Apple. Altrimenti procedi in quest’ordine, da un dispositivo di cui ti fidi:

1. Cambia la password. Google e Apple revocano le password per le app quando lo fai. La guida di Microsoft non dice se lo fa anche Microsoft, quindi rimuovile a mano.
2. Rimuovi inoltri, filtri, delegati e password per le app che non hai configurato tu. Una regola di inoltro può sopravvivere a un cambio di password.
3. Controlla gli accessi e i dispositivi recenti. Disconnetti quelli che non riconosci.
4. Controlla l’email e il numero di telefono di recupero. Poi attiva la verifica in due passaggi.
5. Controlla la posta inviata e il cestino. Trova la posta che l’intruso ha inviato o letto, e avvisa chiunque abbia ricevuto qualcosa “da te”.

Dove guardare, secondo le pagine di assistenza di ciascun provider a settembre 2026:

Gmail e il tuo Account Google

• Eventi di sicurezza: Account Google > Security & sign-in (Sicurezza e accesso) > il riquadro Recent security events (Eventi di sicurezza recenti) > Review security events (Esamina gli eventi di sicurezza). Per ogni evento che non riconosci, seleziona No, it wasn’t me (No, non sono stato io).
• Dispositivi: Account Google > Your devices (I tuoi dispositivi) > Manage devices (Gestisci dispositivi).
• Accessi recenti a Gmail: in basso a destra in Gmail su un computer, fai clic su Details (Dettagli) per vedere gli ultimi 10 indirizzi IP e i tipi di accesso, come IMAP. Se usi Gmail su un telefono, l’elenco potrebbe mostrare la posizione del tuo operatore, che può essere lontana da dove ti trovi.
• Impostazioni di Gmail: Impostazioni > See all settings (Visualizza tutte le impostazioni), poi la scheda Forwarding and POP/IMAP (Inoltro e POP/IMAP), Filters and Blocked Addresses (Filtri e indirizzi bloccati) e la sezione Grant access to your account (Concedi l’accesso al tuo account) in “Account e importazione”.
• App: rimuovi tutto ciò che non ti è familiare dalle password per le app e dalle app con accesso al tuo account.

Outlook.com, Hotmail e il tuo account Microsoft

• Accessi: la pagina Recent activity (Attività recente) copre gli ultimi 30 giorni, anche se non tutti gli accessi. Se compare una sezione Unusual activity (Attività insolita), controlla ogni voce; per quelle che non riguardano te, scegli This wasn’t me (Non sono stato io). Per qualsiasi voce sospetta nell’elenco Recent activity, seleziona Secure your account (Proteggi il tuo account).
• Inoltro e regole: in Outlook.com, Settings > Mail > Forwarding (Impostazioni > Posta > Inoltro), dove deselezioni Enable forwarding (Abilita inoltro) e selezioni Save (Salva), e Settings > Mail > Rules (Impostazioni > Posta > Regole).
• Password per le app e sessioni: in Advanced security options (Opzioni di sicurezza avanzate), nel dashboard del tuo account Microsoft, controlla la sezione App passwords (Password per le app) e usa Sign out everywhere (Disconnetti ovunque), che secondo Microsoft richiede fino a 24 ore.
• Altre impostazioni: anche la procedura di recupero di Microsoft dice di controllare “account collegati, inoltro e risposte automatiche”.

Mail di iCloud e il tuo Account Apple

• Dispositivi: su account.apple.com, seleziona Devices (Dispositivi) e rimuovi quelli che non riconosci.
• Password specifiche per le app: account.apple.com > “Accesso e sicurezza” > “Password specifiche per le app” > Remove (Rimuovi), oppure Revoke all (Revoca tutte). Cambiare la password le revoca comunque tutte.
• Inoltro e regole: su icloud.com/mail, seleziona il pulsante Settings (Impostazioni) in cima all’elenco Mailboxes (Caselle) > Settings (Impostazioni), poi controlla Mail Forwarding (Inoltro di Mail) e Rules (Regole) nella barra laterale.
• Cronologia degli accessi: Apple non documenta un registro come quello di Gmail. I suoi segnali sono gli avvisi di accesso, i codici per l’autenticazione a due fattori che non hai richiesto e l’elenco Devices (Dispositivi).

Il tuo indirizzo è finito in una nuova violazione dei dati?

Cerca il tuo indirizzo su Have I Been Pwned (HIBP), un servizio gratuito gestito dal ricercatore di sicurezza Troy Hunt. Al 25 settembre 2026, la sua home page conta 1.038 siti violati e oltre 17 miliardi di indirizzi violati (un indirizzo trovato in più violazioni viene contato una volta per ciascuna).

• Un risultato di violazione indica il servizio che ha perso il tuo indirizzo e quando. Una violazione recente può spiegare un aumento di spam e phishing.
• Un risultato in una lista di spam significa che il tuo indirizzo è stato trovato in dati usati per spam mirato, e questo spiega direttamente lo spam.
• Nessun risultato non prova granché: “Molte violazioni non portano mai alla pubblicazione dei dati”.
• Cerca separatamente ogni indirizzo che usi, compresi gli indirizzi con il +, e attiva gli avvisi gratuiti Notify Me (Avvisami) di HIBP.

Una violazione può anche presentarsi come un’email che cita una delle tue password e chiede un pagamento. Il consiglio della FTC: “Fermati. Non pagare nulla. Elimina il messaggio. È una truffa”. Se usi ancora quella password, cambiala ovunque. Per le altre strade che il tuo indirizzo può prendere, leggi come fanno gli spammer a ottenere il tuo indirizzo email.

Il tuo indirizzo è stato venduto o ceduto dopo un’iscrizione

Se la nuova posta è normale marketing di aziende che non hai mai usato, ed è iniziata poco dopo che ti sei iscritto da qualche parte, probabilmente il tuo indirizzo è stato passato ad altri. La FTC dice che, quando dai il tuo indirizzo email a un’azienda, questa “potrebbe condividerlo o venderlo a terzi”. Microsoft indica una delle vie d’accesso: una casella di controllo al momento del pagamento, già selezionata, che permette al negozio di passare il tuo indirizzo ad altre aziende.

1. Annulla l’iscrizione presso le aziende reali. Usa il link di ciascun mittente o, in Gmail, More > Manage subscriptions (Altro > Gestisci iscrizioni). Negli Stati Uniti, il CAN-SPAM stabilisce che un mittente deve rispettare la tua richiesta di cancellazione “entro 10 giorni lavorativi” e che da quel momento “non può vendere né trasferire” il tuo indirizzo.
2. Disattiva la condivisione dove ti sei iscritto. Nel tuo account presso quell’azienda, cerca le impostazioni di marketing o di condivisione con i partner e disattivale.
3. Risali alla fonte. Per capire quale iscrizione ha fatto trapelare il tuo indirizzo, leggi come scoprire chi ha venduto il tuo indirizzo email. La prossima volta, dai a ogni iscrizione un alias tutto suo, come fa CatchNone, così la prossima vendita ne rivelerà la fonte.

Perché ricevo spam dal mio stesso indirizzo?

La posta che mostra il tuo indirizzo come mittente spesso è falsificata, non inviata dal tuo account. Nelle parole dello standard SPF, “i protocolli esistenti non pongono alcuna restrizione su ciò che un host mittente può usare come ‘MAIL FROM’ di un messaggio”. Esistono tre controlli per individuare le falsificazioni:

• SPF (RFC 7208) elenca i server autorizzati a inviare posta per un dominio.
• DKIM (RFC 6376) aggiunge a ogni messaggio una firma crittografica, che i server riceventi verificano con una chiave pubblica che il dominio mittente pubblica nei suoi DNS.
• DMARC (RFC 9989, che a maggio 2026 ha sostituito la RFC 7489) dice ai server riceventi cosa vuole il dominio che si faccia con la posta che non supera questi controlli: nessuna preferenza, quindi decide il ricevente (none), trattarla come sospetta (quarantine) o rifiutarla (reject).

Per distinguere lo spoofing da un account violato:

1. Apri la cartella della posta inviata. La posta falsificata non passa mai dal tuo account, quindi non sarà lì. Un intruso però può eliminare i messaggi inviati, quindi controlla anche l’attività di accesso.
2. Controlla l’autenticazione del messaggio. In Gmail, un punto interrogativo accanto al nome del mittente significa che il messaggio “non è autenticato”; fai clic sulla freccia giù sotto il nome del mittente per vedere Mailed by (Inviato da) e Signed by (Firmato da). In Outlook, un “?” nell’immagine del mittente di qualcuno che di solito non ce l’ha “potrebbe essere un segnale che il mittente è oggetto di spoofing”. Per i risultati completi in Gmail, fai clic su More (Altro) accanto a Reply (Rispondi), poi su Show original (Mostra originale) (Google); nelle altre app, cerca l’intestazione Authentication-Results.
3. Leggi il risultato. spf=fail, spf=softfail o dmarc=fail su posta che mostra il tuo indirizzo di solito significa che è stata falsificata: filtrala e vai avanti. Se l’indirizzo falsificato è su un dominio di tua proprietà, pubblicare SPF, DKIM e un criterio DMARC quarantine o reject permette ai server riceventi di mandare i falsi nello spam o di rifiutarli del tutto. Un DKIM superato con la firma del dominio del tuo provider (Signed by gmail.com, per esempio) fa pensare che il messaggio possa essere passato davvero dal tuo account, quindi segui i controlli per l’account violato.

Una pila di messaggi “Undeliverable” per posta che non hai mai inviato è la stessa falsificazione vista dall’altro lato. Microsoft lo chiama backscatter: gli spammer mettono un indirizzo reale sulla loro posta, e i server che non riescono a consegnarla mandano il messaggio di mancato recapito a quell’indirizzo. Non significa che il tuo account sia stato usato: controlla la posta inviata, poi filtra i messaggi di mancato recapito finché non smettono.

Sono cambiati i filtri o l’app di posta, non lo spam

A volte la posta è la stessa e cambia solo lo smistamento:

• Gmailify sta per finire. Gmail smette di controllare lo spam degli account Yahoo, Outlook e degli altri collegati tramite Gmailify a gennaio 2027, o prima se ne sposti uno nell’app Gmail tramite IMAP; da quel momento, è il filtro antispam di quel provider a decidere cosa vedi, a meno che tu non inoltri la sua posta a Gmail.
• Categorie di Mail su iPhone. Da iOS 18.2, Mail può smistare la posta in Primary (Principale), Transactions (Transazioni), Updates (Aggiornamenti) e Promotions (Promozioni) (non in tutti i paesi o le regioni). Se la casella In arrivo è passata alla vista List View (Vista elenco), che si sceglie con il pulsante More (Altro) in cima alla casella, la posta che prima stava in Promotions e Updates ora compare nell’elenco principale (Apple).
• Qualcosa salta la cartella della posta indesiderata. Un filtro impostato per non mandare mai la posta nello spam, o posta indesiderata che sembra arrivare da un contatto, può finire nella posta in arrivo; iCloud dice che la posta “delle persone nei tuoi contatti iCloud, o delle conversazioni recenti, non finirà nella cartella Indesiderata” (Apple). Controlla i filtri e segnala la posta indesiderata come spam invece di eliminarla.
• Il nuovo Outlook per Windows. Le regole su cui contavi nel classico Outlook potrebbero aver smesso di smistare la posta di Gmail, Yahoo o iCloud. Configurale presso il provider, come nei passaggi per i filtri qui sopra.

Posta a nomi inventati sul tuo dominio

Un catch-all accetta la posta per qualsiasi indirizzo del tuo dominio, compresi quelli scritti in modo errato. Gli spammer tirano a indovinare nomi comuni come info@, admin@ e sales@, e un catch-all non ne respinge nessuno.

Scarta i nomi presi di mira, oppure disattiva il catch-all e crea solo gli indirizzi che usi. Se ti affidi al catch-all per avere un indirizzo per ogni sito, disattivarlo significa creare prima ciascun indirizzo presso il tuo provider. Molti provider di posta ti permettono di aggiungere una regola per un singolo indirizzo indovinato. Una regola che ne scarta la posta in silenzio non manda a chi tira a indovinare alcun messaggio di mancato recapito, quindi l’indirizzo può sembrare valido e potrebbe continuare a scrivere; una regola che la fa tornare al mittente gli dice che l’indirizzo non esiste, mentre il resto del tuo dominio continua a ricevere posta. I passaggi per bloccare un indirizzo con ciascun servizio sono in come bloccare un indirizzo su un catch-all.

Quanto dura un picco di spam

Se ultimamente ricevi troppe email indesiderate, se smetteranno o no dipende dalla causa:

• Un mail bombing di solito finisce in circa una settimana, dice Yahoo, anche se le liste che ti hanno iscritto senza chiedere una conferma continuano a scriverti finché non annulli l’iscrizione.
• Le richieste di cancellazione possono richiedere fino a 10 giorni lavorativi per avere effetto negli Stati Uniti, secondo il CAN-SPAM.
• Lo spam dovuto a violazioni e liste vendute diminuisce ma raramente si ferma; leggi cosa lo riduce nel tempo.
• Spoofing e backscatter finiscono quando la campagna si sposta altrove.
• Un account compromesso smette di inviare posta quando l’intruso è fuori.

Segnala il phishing anche oltre il tuo provider di posta: negli Stati Uniti, inoltralo a reportphishing@apwg.org e segnalalo su ReportFraud.ftc.gov; nel Regno Unito, inoltralo all’NCSC all’indirizzo report@phishing.gov.uk.

Risali al prossimo picco con CatchNone

CatchNone rende facile risalire all’origine del prossimo picco. Quando ogni negozio, newsletter o account ha il suo alias, la posta in più arriva su un solo alias e ne rivela la fonte, e ogni messaggio porta il badge dell’alias a cui è arrivato. “Attività” mostra in un grafico la posta di ogni alias, e una semplice regola aggiunge la nota “Più posta del solito”. La posta degli alias si legge nella sua app, e i messaggi si aprono con le immagini remote, compresa la maggior parte dei pixel di tracciamento, bloccate finché non le carichi tu.

Quando un alias diventa troppo rumoroso, disattivalo: su un indirizzo @catchnone.com (Premium), i mittenti ricevono un messaggio di mancato recapito, mentre gli altri alias continuano a funzionare. Su un dominio di tua proprietà, segnare un alias come “Non in uso” è solo un’etichetta, quindi blocca l’indirizzo con una regola presso il tuo provider. Un’ondata diretta a @catchnone.com conta anche ai fini dei limiti giornalieri (in inglese) di 500 messaggi in arrivo per giorno UTC, al massimo 250 per un singolo indirizzo, e la posta oltre questi limiti per ora viene rifiutata senza alcun avviso nell’app. Sul tuo dominio, CatchNone legge i 100 messaggi più recenti della posta in arrivo a ogni controllo, quindi con un’ondata molto grande il conteggio risulta inferiore al reale.

CatchNone è di sola ricezione per scelta. Non ha un filtro antispam e non ripulisce un’ondata che sta già colpendo il tuo indirizzo principale, e controlla la posta quando lo apri invece di inviare notifiche, quindi tieni la posta della banca e del recupero degli account sul tuo indirizzo principale. Scarica CatchNone per iPhone, iPad e Mac.

Domande frequenti

Il mail bombing è illegale?

Dipende da dove vivi, e questo non è un parere legale. Ciò che va segnalato è la frode che spesso copre: segnala alla tua banca qualsiasi pagamento che non hai fatto e, negli Stati Uniti, segnala le frodi su ReportFraud.ftc.gov e i furti d’identità su IdentityTheft.gov.

Perché su Outlook, Hotmail o Yahoo ricevo troppo spam?

Le cause sono le stesse con ogni provider, e cambiano solo i posti da controllare: vedi i controlli per l’account Microsoft e le righe di Outlook.com e Yahoo nella tabella dei filtri.

Cosa devo fare nella prima ora?

Controlla le app della banca e delle carte, gli ordini recenti e la tua casella di posta, spam e cestino compresi, alla ricerca di email su password, sicurezza e ordini, come nei controlli antifrode qui sopra. Se qualcosa fa pensare a un’intrusione, esegui i controlli per l’account violato; poi filtra l’ondata in una cartella senza eliminarla, e ignora chiunque ti chiami o ti scriva offrendoti di risolvere il problema dello spam.