Da dove prendono gli spammer il tuo indirizzo email? 7 fonti comuni e cosa fare

Dove trovano gli spammer il tuo indirizzo email?

Gli spammer ottengono il tuo indirizzo email da alcune fonti comuni: database di clienti violati, aziende e broker di dati che condividono liste di contatti, pagine web pubbliche e profili, contatti e conversazioni di altre persone, moduli di phishing e indirizzi indovinati. Ricevere spam non significa che la tua casella di posta sia stata violata e, a meno che tu non abbia usato un indirizzo separato per ogni iscrizione, spesso è impossibile dimostrare con certezza quale sia la fonte esatta.

Un indirizzo esposto e un account violato sono problemi diversi. A uno spammer basta il tuo indirizzo per inviarti messaggi, ma gli servirebbe la tua password per leggerli. Lo stesso indirizzo può trovarsi in molte liste contemporaneamente, quindi chiudere una falla raramente fa cessare lo spam da un giorno all'altro.

• Una volta che un indirizzo è in una lista, raramente puoi farlo rimuovere ovunque, ma puoi evitare di alimentarne di nuove.
• Annulla l'iscrizione solo alle mailing list che riconosci; per i mittenti sconosciuti o sospetti segnalali invece come spam.
• Un indirizzo o un alias separato per ogni iscrizione è il modo pratico più chiaro per capire da dove è iniziato lo spam.
• L'email temporanea è adatta a iscrizioni occasionali e a basso rischio, non ad account che devi conservare o recuperare.

Sette fonti comuni di indirizzi email per lo spam

Ogni fonte elencata qui sotto funziona in modo diverso, lascia indizi diversi e richiede una soluzione diversa. Un indirizzo può provenire da più fonti contemporaneamente e gli spammer si scambiano le liste, quindi spesso è difficile individuare la prima fonte.

1. Violazioni di dati nei servizi che hai usato

Quando un negozio, un'app o un forum a cui ti sei iscritto subisce una violazione, il suo database clienti può essere copiato, venduto o pubblicato online. Se i dati esposti includono indirizzi email, questi possono poi comparire in liste di spam e phishing. I dati copiati da un vecchio account possono restare in circolazione anche dopo che hai chiuso l'account.

Indizi: spam o phishing che citano il servizio per nome, oppure un aumento dello spam poco dopo un avviso di violazione. Cosa aiuta: controlla il tuo indirizzo su Have I Been Pwned, un servizio gratuito di verifica delle violazioni, e iscriviti ai suoi avvisi se vuoi essere informato su future violazioni. Un risultato pulito non dimostra che il tuo indirizzo non sia mai stato esposto, perché il servizio copre solo le violazioni presenti nel suo archivio. Se una violazione ha coinvolto una password che hai riutilizzato, cambiala ovunque l'hai usata. Per limitare ciò che la prossima violazione può esporre, scopri come la posta temporanea può ridurre le conseguenze delle violazioni dati.

2. Iscrizioni, moduli di contatto e aziende che condividono i dati

Molti siti chiedono un indirizzo email prima di poterti far acquistare, scaricare, partecipare a un concorso, fare un quiz o continuare a leggere. Alcuni lo usano solo per il proprio marketing. Altri lo condividono con "partner", "affiliati" o "sponsor" in base alla loro informativa sulla privacy o al regolamento del concorso, e a volte basta una casella di consenso preselezionata. La guida per i consumatori della FTC "How To Get Less Spam in Your Email" rileva che le aziende possono condividere o vendere il tuo indirizzo e suggerisce di controllare le informative sulla privacy prima di fornirlo.

Indizi: marketing da marchi che non hai mai contattato, che inizia poco dopo un'iscrizione o la partecipazione a un concorso. Cosa aiuta: deseleziona le caselle relative al marketing dei partner, salta i concorsi il cui regolamento prevede la condivisione delle iscrizioni con gli sponsor e usa un indirizzo separato per le iscrizioni di cui non ti fidi del tutto.

3. Broker di dati e venditori di liste

I broker di dati raccolgono informazioni da registri pubblici, acquisti e attività online, poi vendono profili e liste di marketing. Lo studio della FTC del 2014 su nove broker di dati, "Data Brokers: A Call for Transparency and Accountability", ha rilevato che i broker vendevano prodotti di marketing, comprese liste di consumatori che corrispondono a determinati criteri. Spammer e marketer aggressivi possono acquistare o affittare liste come queste invece di raccogliere gli indirizzi da soli.

Indizi: spam che conosce già il tuo nome o la tua città. Questo può indicare un broker, ma può anche derivare dall'unione di dati di violazioni, quindi consideralo un indizio e non una prova. Cosa aiuta: le richieste di opt-out ai singoli broker possono ridurre le condivisioni future, anche se non possono ritirare le liste già vendute. I residenti in California possono usare la piattaforma statale Delete Request and Opt-out Platform (DROP) per inviare un'unica richiesta di cancellazione ai broker di dati registrati, che sono tenuti a elaborare tali richieste dal 1° agosto 2026, salvo eccezioni previste dalla legge.

4. Pagine pubbliche, profili, forum e registri

I programmi automatici scansionano le pagine web pubbliche e copiano qualsiasi cosa sembri un indirizzo email. I luoghi più comuni includono siti web personali e aziendali, post sui forum, curriculum online, PDF, sezioni commenti, profili social e aziendali pubblici e alcuni documenti pubblici. Anche i vecchi record WHOIS pubblici dei nomi di dominio potevano esporre l'indirizzo email del registrante. Nel 2018 ICANN ha limitato la pubblicazione dei dati di contatto personali per i domini generici di primo livello e ha richiesto invece un indirizzo email anonimizzato o un modulo web.

Indizi: cerca il tuo indirizzo completo tra virgolette. Un risultato mostra dove l'indirizzo è visibile pubblicamente, ma l'assenza di risultati non dimostra che non sia mai stato pubblicato, perché le pagine archiviate o non indicizzate non appariranno. Cosa aiuta: rimuovi l'indirizzo dove puoi, usa un modulo di contatto invece di un indirizzo stampato, nascondi la tua email nelle impostazioni sulla privacy del profilo e attiva la privacy del dominio se possiedi un sito web.

5. I contatti e le conversazioni di altre persone

Il tuo indirizzo si trova anche nelle rubriche di altre persone, nei vecchi thread email e nei messaggi di gruppo. Se uno di quegli account o dispositivi viene compromesso, la sua lista contatti e le conversazioni possono essere copiate. Le lunghe catene in CC e i messaggi inoltrati espongono inoltre ogni destinatario visibile a chiunque li riceva in seguito.

Indizi: spam che sembra provenire da un amico o da un collega, o che riutilizza l'oggetto di un vecchio thread autentico. Cosa aiuta: usa il CCN per i messaggi di gruppo, tieni aggiornato il software di sicurezza come raccomanda la FTC e avvisa un contatto se il suo account sembra inviare email che non ha scritto.

6. Pagine di phishing e moduli ingannevoli

Una pagina di accesso falsa, un sondaggio, un finto premio o un messaggio "conferma il tuo account" possono raccogliere direttamente il tuo indirizzo email, spesso insieme a una password. In questo caso l'indirizzo è un effetto collaterale; il vero obiettivo è il tuo account. Se hai inserito una password su una pagina raggiunta da un'email inaspettata, trattalo come un problema dell'account e non come un problema di spam: cambia la password sul sito reale e attiva l'autenticazione a due fattori.

Cosa aiuta: apri i siti importanti dal tuo segnalibro o dall'app invece che dai link nelle email, e diffida di qualsiasi modulo che chieda la password della tua email.

7. Indirizzi indovinati

Gli spammer inviano anche a indirizzi che non hanno mai trovato da nessuna parte, costruiti a partire da nomi comuni e formati di indirizzo comuni presso provider o domini aziendali diffusi. La guida alla conformità CAN-SPAM della FTC elenca la raccolta di indirizzi e questi "attacchi a dizionario" tra le violazioni aggravate che possono comportare sanzioni aggiuntive, ma ciò non ferma i mittenti che ignorano la legge.

Indizi: spam a un indirizzo che hai usato a malapena o che non hai mai condiviso, soprattutto se breve o basato sul nome. Cosa aiuta: affidati al filtro antispam del tuo provider. Non devi abbandonare un indirizzo solo per questo, ma un indirizzo meno prevedibile può essere utile per i nuovi account.

Perché all'improvviso ricevo così tanto spam?

Un aumento improvviso di solito significa che il tuo indirizzo è finito in una nuova lista, oppure che una vecchia lista ha ricominciato a essere usata per gli invii. Le cause più comuni includono una violazione divulgata di recente, un'iscrizione o un giveaway che ha condiviso il tuo indirizzo, o una nuova campagna che il tuo filtro antispam non ha ancora imparato a individuare. Lo spam spesso arriva a raffiche perché le liste vengono scambiate e inviate in massa.

Tre domande rapide possono restringere il campo:

• Ti sei iscritto a qualcosa di nuovo nelle ultime settimane?
• Lo spam menziona un'azienda, un prodotto o un vecchio account specifici?
• Una ricerca sulle violazioni mostra una violazione recente per il tuo indirizzo?

Risposte, clic e immagini caricate

Alcuni spammer cercano anche segnali che un indirizzo sia in uso. Rispondere allo spam, cliccare sui suoi link (compreso il link di disiscrizione) o caricare le sue immagini remote può indicare al mittente che un messaggio è arrivato in una casella di posta attiva. Il segnale è imperfetto perché alcune app di posta e scanner di sicurezza caricano le immagini automaticamente, ma non ottieni nulla inviandolo. Segnala il messaggio invece di rispondere.

Un'ondata di conferme di iscrizione

Se decine o centinaia di conferme di newsletter o email di benvenuto arrivano nel giro di poche ore, qualcuno potrebbe stare iscrivendo il tuo indirizzo su molti siti contemporaneamente. A volte questo viene chiamato subscription bombing. Può essere semplice molestia, ma può anche servire a seppellire sotto il rumore un avviso reale, come una conferma d'ordine o una notifica di cambio password. Controlla i tuoi account importanti aprendo l'app ufficiale o digitando tu stesso l'indirizzo del sito, non seguendo i link presenti nell'ondata, e non cliccare sui link di conferma.

Come puoi scoprire chi ha venduto o fatto trapelare il tuo indirizzo email?

Di solito, una volta che lo spam è iniziato, non puoi dimostrare chi ha venduto o fatto trapelare un indirizzo. Un indirizzo o un alias univoco mostra dove hai usato originariamente quell'indirizzo, ma non permette di distinguere una vendita da una violazione subita da un fornitore o da una condivisione successiva. La tempistica, i dati personali e l'azienda citata in un messaggio sono indizi, non prove.

Usa un indirizzo o un alias separato per ogni iscrizione

Gmail e Google Workspace supportano il plus addressing: aggiungere un tag dopo il tuo nome utente, ad esempio tuonome+negozio, consegna comunque alla tua casella principale, e il tag mostra quale versione dell'indirizzo ha usato il mittente. Il plus addressing però è solo un indizio: un modulo può rifiutare il segno più e il tag può essere rimosso prima che l'indirizzo venga condiviso. Gli alias di inoltro vanno oltre, perché ogni alias è un indirizzo separato che puoi disattivare. Il nostro confronto tra alias di posta temporanea e email spiega quale tipo è adatto agli account che tieni.

Un indirizzo univoco mostra quale indirizzo è trapelato, non chi lo ha fatto trapelare. L'azienda potrebbe averlo venduto, uno dei suoi fornitori potrebbe aver subito una violazione, oppure una lista potrebbe essere stata passata ad altri lungo la catena.

Quali dettagli del messaggio possono dirti qualcosa e quali no

L'indirizzo "A", l'eventuale tag plus e il momento in cui è iniziato lo spam sono i dettagli più utili. Le intestazioni complete del messaggio mostrano i server attraverso cui è passato e se ha superato i controlli di autenticazione, ma non possono mostrare chi ha venduto o condiviso il tuo indirizzo. Gli spammer spesso inviano tramite servizi o macchine compromesse che non hanno nulla a che fare con la fuga originale.

È sicuro cliccare su annulla iscrizione?

È sicuro annullare l'iscrizione a una mailing list che riconosci e ricordi di aver sottoscritto, preferibilmente con il pulsante Annulla iscrizione integrato nella tua app di posta. Per mittenti sconosciuti, sospetti o impersonati, non seguire affatto il link di annullamento; contrassegna invece il messaggio come spam o phishing.

Usa il controllo di annullamento iscrizione della tua app email

I marketer legittimi hanno motivi legali e pratici per rispettare le rinunce. Negli Stati Uniti, la guida CAN-SPAM della FTC afferma che le email commerciali devono offrire un modo per annullare l'iscrizione, le richieste devono essere accolte entro 10 giorni lavorativi e il meccanismo di rinuncia deve continuare a funzionare per almeno 30 giorni dopo l'invio del messaggio. I mittenti non possono applicare un costo né chiedere più del tuo indirizzo email e, dopo che hai rinunciato, non possono vendere o trasferire il tuo indirizzo, se non a un'azienda incaricata di aiutarli a rispettare la legge.

Google richiede inoltre ai mittenti che inviano più di 5.000 messaggi al giorno agli account Gmail di supportare l'annullamento con un solo clic per i messaggi di marketing e per quelli sottoscritti. I messaggi conformi riportano intestazioni standard di annullamento che Gmail e altre app email possono usare per mostrare un'opzione Annulla iscrizione, così non devi cercare dentro il messaggio né visitare una pagina scelta dal mittente. Anche la guida antispam della FTC raccomanda le funzioni di annullamento offerte dal tuo provider email.

Quando non seguire un link di annullamento iscrizione

• Non riconosci l'azienda, oppure non ti sei mai iscritto.
• Il nome o il dominio del mittente imitano un marchio che conosci, con piccoli errori di ortografia o un dominio non correlato.
• La pagina di annullamento ti chiede di accedere, inserire una password o fornire più del tuo indirizzo email.
• Il link avvia un download, oppure il messaggio ti mette fretta.

Un mittente che già ignora la legge non ha motivo di rispettare la tua richiesta, e il suo link può confermare il tuo indirizzo o portare a una pagina di phishing. Segnala il messaggio e passa oltre.

Come ridurre le email di spam che già ricevi

Non puoi rimuovere il tuo indirizzo da ogni lista copiata, quindi fermare lo spam di solito significa filtrarlo e segnalarlo, più che bloccare ogni singolo invio. I consigli per i consumatori della FTC raccomandano queste basi:

• Contrassegna lo spam come spam o posta indesiderata nella tua app di posta.
• Blocca i mittenti o i domini persistenti quando la stessa fonte continua a farsi strada.
• Controlla ogni tanto la cartella spam per eventuali email vere finite lì per errore.
• Segnala i messaggi indesiderati al tuo provider email e segnala le truffe alla FTC su ReportFraud.ftc.gov.

Come ulteriore precauzione, non rispondere ai messaggi sospetti né chiamare i numeri di telefono indicati al loro interno.

Passare a un nuovo indirizzo è l'ultima risorsa. Aiuta solo se trasferisci con attenzione i tuoi account importanti e proteggi il nuovo indirizzo meglio di quello vecchio.

Tieni il tuo indirizzo principale fuori dalle future liste di iscrizione

Il passo più efficace a lungo termine è dare il tuo indirizzo principale a meno aziende. Una semplice configurazione a tre livelli funziona per la maggior parte delle persone:

• Indirizzo principale: banca, lavoro, servizi pubblici e qualsiasi account che dovresti poter recuperare.
• Alias di inoltro: acquisti, abbonamenti e account che tieni, così puoi disattivare qualsiasi alias che inizia a ricevere spam.
• Email temporanea: download occasionali, coupon, prove sui forum e altre iscrizioni a basso rischio che non intendi mantenere.

Quando l'email temporanea va bene e quando no

Un indirizzo email temporaneo tiene le iscrizioni occasionali lontane dalla tua casella principale. Se un indirizzo usato per una sola iscrizione riceve poi spam, quell'iscrizione è un indizio utile, anche se non può dimostrare se a condividere l'indirizzo sia stata l'azienda, uno dei suoi fornitori o qualcuno più a valle. Se l'argomento è nuovo per te, questa panoramica su come funziona la posta temporanea ne spiega le basi.

Tmailor è solo in ricezione, quindi non puoi inviare né rispondere dall'indirizzo, e non accetta allegati. I messaggi vengono eliminati automaticamente circa 24 ore dopo l'arrivo. Puoi tornare allo stesso indirizzo in seguito con il suo Access Token, ma un token perso non può essere recuperato, e alcuni siti bloccano i domini di email usa e getta. Questo rende l'email temporanea poco adatta per la banca, il lavoro, gli acquisti per cui potresti aver bisogno di ricevute o qualsiasi account che potresti dover recuperare. Per saperne di più sugli usi quotidiani, consulta la nostra nostra guida alla protezione temporanea contro email e spam.

Non puoi tracciare ogni messaggio di spam, ma puoi smettere di alimentare nuove liste

Lo spam inizia con un indirizzo che qualcuno ha raccolto, condiviso o indovinato, e una volta che circola non puoi più ritirarlo. Quello che puoi controllare è quante nuove liste vedranno il tuo indirizzo principale. Segnala ciò che arriva, annulla l'iscrizione solo ai mittenti che riconosci e tieni separate le iscrizioni occasionali. La prossima volta che un download o un coupon ti chiede un'email, crea una mail temporanea gratuita usane uno temporaneo invece del tuo reale.