Ogni giorno migliaia di bot setacciano il web per raccogliere indirizzi email. Non leggono e non scelgono: raccolgono e basta. Passano al setaccio pagine contatti, profili social, registrazioni dei domini, firme in fondo ai documenti PDF, archivi di mailing list e i grandi elenchi di dati rubati che circolano nei circuiti clandestini. Il risultato è una lista enorme e completamente casuale, che finisce nelle mani di chi organizza campagne di truffa. Ed è proprio perché è tutto casuale che ogni tanto una di quelle mail bussa alla porta sbagliata.
È successo a me il 6 agosto, alle 12:31. Sulla casella pubblica del mio sito è arrivato un finto avviso di sicurezza a nome Nexi. Non sono cliente Nexi e quell'indirizzo non è mai stato collegato a nessuna carta. Il tiro era andato a vuoto. Ho raccolto tutto il materiale e l'ho consegnato alle autorità competenti, perché la stessa mail sarà arrivata a moltissime persone che invece con quel circuito hanno un rapporto reale. Poi l'ho aperta e l'ho analizzata riga per riga, fino a ricostruire l'intero percorso del messaggio: da quale macchina è partito, attraverso quali server è passato e perché nessun filtro l'ha fermato. Racconto tutto il procedimento, senza saltare i dettagli tecnici ma spiegandoli man mano, perché è un caso che insegna molto.
Il messaggio annunciava un accesso al mio account da un dispositivo mai visto prima. C'erano tutti i dettagli che rendono credibile un avviso del genere: data, ora, sistema operativo, browser, indirizzo di rete, Paese di provenienza. Poi arrivava la parte che fa accelerare il battito ai meno avvezzi. Era stata avviata una transazione da 780 euro. Bloccata in via precauzionale, precisava il testo, ma con rilascio automatico entro ventiquattro ore. Se non sei stato tu, chiama subito il tuo account manager. Seguiva un numero di telefono italiano con prefisso 035, quello di Bergamo. Nessun link su cui cliccare, nessun allegato da aprire.
Quell'assenza di link è la scelta più intelligente dell'intera operazione, e va capita bene. Per anni abbiamo ripetuto una sola regola: non cliccare sui link sospetti. E per anni i filtri antispam sono stati costruiti attorno alla stessa logica. Controllano la reputazione degli indirizzi web contenuti nel messaggio, segnalano i domini registrati da poco, aprono le pagine di destinazione per esaminarle, ispezionano gli allegati. Se nel messaggio non c'è né un link né un allegato, tutti questi controlli restano senza materiale su cui lavorare.
Questa tecnica ha un nome, callback phishing, e la mail serve soltanto a provocare la telefonata. Il vantaggio per chi truffa è enorme. Il telefono è un canale che nessun filtro può ispezionare, e dall'altra parte c'è una persona vera che adatta il discorso in tempo reale, risponde alle obiezioni, rassicura e mette fretta. L'obiettivo è portare la vittima a fare un bonifico verso un presunto "conto sicuro", oppure a confermare lei stessa un'operazione dall'app della propria banca. In quest'ultimo caso viene aggirata anche l'autenticazione a due fattori, perché il codice di conferma lo inserisce la vittima, convinta di stare bloccando la truffa mentre la sta autorizzando. Il numero con prefisso di Bergamo, quasi certamente una linea internet e non un telefono fisico, serve solo a far sembrare tutto più vicino e più nostrano.
Prima ancora di guardare la parte tecnica, però, il testo si smonta da solo. Ci sono due errori visibili a occhio nudo.
Il primo è l'indirizzo di rete dell'accesso sospetto, 11.207.71.106, presentato come proveniente dallo Sri Lanka. Gli indirizzi di rete sono distribuiti in blocchi assegnati a enti e operatori precisi, e quel blocco è storicamente assegnato al Dipartimento della Difesa degli Stati Uniti. Non è una connessione domestica cingalese. È un numero generato a caso da un programma che doveva riempire una casella vuota, senza alcun controllo di coerenza con il Paese scritto accanto.
Il secondo è l'orario. Il messaggio indicava le 10:31 con la sigla CET, che è il fuso orario invernale: in agosto l'Italia usa CEST. Soprattutto, la data di invio registrata nel messaggio è 10:31:51 in ora universale, cioè le 12:31 italiane. Il modello aveva stampato l'ora universale spacciandola per ora locale, con due ore di scarto rispetto al momento reale. Un vero sistema di allerta bancario non commette questo errore, perché l'orario lo calcola sul profilo del cliente.
Un terzo dettaglio va invece ridimensionato, e lo dico perché è il tipo di scorciatoia in cui è facile cadere quando si analizza una mail. Nel mio programma di posta il logo appariva come un rettangolo colorato vuoto, ma non era un segnale di falsificazione: era semplicemente il blocco delle immagini remote, che quasi tutti i client applicano finché non si preme "consenti". Una comunicazione autentica di Nexi si sarebbe presentata nello stesso identico modo.
Quel blocco, però, conviene tenerlo attivo, e vale la pena capire perché. Le immagini caricate da un sito esterno funzionano anche da segnalatore: chi ha inviato il messaggio scopre quali destinatari lo hanno aperto. Per chi organizza campagne di truffa è un'informazione preziosa, perché conferma che l'indirizzo raccolto dai bot è attivo e presidiato da una persona reale. Un indirizzo verificato in questo modo vale di più e finisce nelle liste successive, quelle usate per i tentativi più mirati.
Poi si passa agli header. Sono la parte tecnica che ogni mail si porta dietro e che quasi nessuno guarda: l'equivalente dei timbri postali su una busta. Registrano da dove il messaggio è partito, per quali mani è passato, a che ora, e quali controlli ha superato lungo la strada. Su Gmail si aprono con la voce "Mostra originale", sugli altri servizi con diciture simili. È lì che c'è tutta la storia.
La prima cosa che salta all'occhio è che il mittente è doppio. Il nome mostrato dal programma di posta era un indirizzo del dominio nexi.it. Ma l'indirizzo di provenienza reale, quello che il sistema usa per far tornare indietro i messaggi non consegnati, apparteneva a un'azienda tedesca che noleggia macchinari edili. È la differenza tra il nome scritto sulla lettera e quello scritto sulla busta. Il primo lo decide chi scrive e può contenere qualunque cosa. Su questa possibilità si regge ogni falsificazione del mittente.
Risalendo i timbri in ordine cronologico, la filiera si ricostruisce per intero, e diventa interessante.
Il messaggio nasce su una macchina chiamata vultr.guest, con indirizzo IP 70.34.199.164. Quel nome è l'etichetta predefinita che il fornitore di servizi cloud Vultr assegna ai server virtuali dei suoi clienti. È una macchina noleggiata per pochi euro, il tipo di risorsa che si affitta per la durata della campagna e si butta via alla fine. Difficile da attribuire a qualcuno e immediatamente sostituibile.
Da lì il messaggio viene consegnato al server di posta di un provider tedesco, indirizzo 217.13.200.36. E qui compare la riga più importante di tutto il documento: l'invio risulta autenticato con le credenziali di quella casella aziendale tedesca. Significa che chi ha inviato la mail possedeva nome utente e password validi di un indirizzo reale. Non è un server lasciato aperto per distrazione, non è una configurazione sbagliata: è un accesso legittimo usato da chi non ne aveva diritto. Le credenziali sono state probabilmente rubate. Quell'azienda tedesca è una vittima quanto i destinatari, e con ogni probabilità non lo sa ancora.
Questo passaggio è il vero motore della truffa. Il messaggio esce da un server rispettabile, con una storia pulita alle spalle, una connessione cifrata e una configurazione di rete coerente. Chi riceve controlla solo l'ultimo passaggio, quello pulito. La macchina usa e getta da cui tutto è partito resta nascosta dietro.
Esiste un sistema di controllo nato esattamente per intercettare questo inganno, e si chiama DMARC. Poggia su due verifiche più semplici. La prima, chiamata SPF, funziona come la lista degli invitati al portone: ogni dominio può pubblicare l'elenco dei server autorizzati a inviare mail per suo conto, e chi riceve controlla se il server che ha consegnato il messaggio è in lista. La seconda, chiamata DKIM, è un sigillo crittografico applicato al messaggio, che dimostra che è partito davvero da chi dice e che nessuno l'ha modificato in viaggio.
Nel nostro caso l'azienda tedesca non pubblica nessuna lista, quindi il primo controllo non ha potuto dire nulla. Il sigillo non c'era proprio. Ma c'è un dettaglio ancora più importante da capire: quei due controlli guardano il nome sulla busta, non quello sulla lettera. Da soli, quindi, non si accorgono nemmeno che sulla lettera c'era scritto Nexi. È esattamente questo vuoto che DMARC serve a colmare, perché aggiunge una regola in più: i controlli devono riguardare lo stesso dominio che l'utente vede. Non essendoci né lista né sigillo riferibili a nexi.it, la verifica è fallita senza appello, e negli header è scritto a chiare lettere.
Eppure il messaggio è arrivato comodamente in posta in arrivo. Il motivo è l'ultima parte del meccanismo. Oltre a dire se il controllo è andato bene o male, DMARC chiede al dominio legittimo cosa fare quando fallisce. Le opzioni sono tre: non fare nulla, mettere in spam, oppure rifiutare il messaggio prima ancora che venga consegnato. Al momento della consegna, l'istruzione pubblicata dal dominio Nexi risultava impostata sulla prima. Osserva e riporta, ma consegna comunque. È come un allarme che suona senza che nessuno intervenga. Con l'istruzione più severa, quel messaggio non sarebbe arrivato a nessuno, in nessuna casella.
Non è un caso isolato, e qui il singolo episodio diventa una questione che riguarda tutti. Restare sull'impostazione permissiva è ancora la scelta più diffusa tra le grandi organizzazioni, comprese quelle finanziarie. Il motivo raramente è tecnico: è il timore di bloccare per errore comunicazioni legittime inviate da fornitori esterni, piattaforme di marketing, gestionali, sistemi di assistenza mai censiti fino in fondo. La modalità di sola osservazione viene adottata come fase provvisoria e poi resta lì per anni. Il costo di quel rinvio, però, non lo paga l'organizzazione che decide. Lo pagano le persone che ricevono messaggi falsi a suo nome, messaggi che si potevano respingere e che vengono invece recapitati.
La conferma arriva dal verdetto finale del filtro antispam, che ha assegnato al messaggio un punteggio di rischio di 1,39: un valore bassissimo, lontanissimo da qualunque soglia di sospetto. Tutti i segnali positivi erano presenti. Server di partenza affidabile, invio autenticato, connessione cifrata, nessun indirizzo web da controllare, testo pulito e privo delle parole che di solito fanno scattare gli allarmi. Il controllo di autenticità fallito, in presenza di un'istruzione che non chiedeva alcuna azione, pesava troppo poco. Il messaggio non è passato nonostante i controlli. È passato perché i controlli, così come erano configurati, non avevano titolo per fermarlo.
Restano due tracce che rivelano il programma dietro la campagna. La prima è il codice identificativo del messaggio, che ogni sistema di posta genera con un formato proprio e riconoscibile. Qui era solo un numero lungo. Convertito, corrisponde al conteggio dei secondi che i computer usano per misurare il tempo, e restituisce il 6 agosto 2026 alle 10:31:51: identico al secondo all'orario di invio. Accanto, una cifra casuale, e in coda il dominio Nexi incollato per completare la messinscena. È l'impronta di uno script, non di un vero sistema aziendale.
La seconda è l'intestazione per la cancellazione dall'elenco, quella che nelle newsletter permette di disiscriversi con un clic. Era presente e formalmente conforme agli standard più recenti. Non è un dettaglio innocuo: quelle intestazioni sono ormai richieste dai grandi fornitori di posta, e la loro assenza è un segnale negativo nei sistemi di valutazione. Era lì per travestire il messaggio da normale comunicazione commerciale. Puntava però a una pagina del sito Nexi vero, che quasi certamente non esiste: copia meccanica da un modello, non un meccanismo funzionante.
Chi volesse fare controlli sulla propria infrastruttura può cercare l'indirizzo di partenza 70.34.199.164 con nome vultr.guest, l'indirizzo di transito 217.13.200.36, e il codice identificativo composto da un numero di dieci cifre seguito da un intero breve. Il numero telefonico della truffa inizia con il prefisso 035 e prosegue con **87509: non va chiamato in nessun caso.
Alla fine di tutto resta un paradosso. Il mio indirizzo di posta è pubblico perché deve esserlo. Chi pubblica online è tenuto a rendersi contattabile e identificabile, ed è una richiesta giusta, che tutela i lettori. Ma la stessa trasparenza che ci viene chiesta è la superficie che i crawler raccolgono. Non si risolve nascondendosi. Si risolve smettendo di considerare la casella di posta un luogo sicuro per definizione.
Per chi gestisce un dominio, questa mail è la dimostrazione pratica che un controllo impostato in sola osservazione non è una protezione: è la documentazione di un problema. Verificare la propria configurazione, raccogliere i rapporti che il sistema invia, censire tutti i mittenti legittimi e passare all'impostazione severa costa poco e produce un beneficio immediato per chiunque riceva posta, non solo per l'organizzazione che lo fa.
Per tutti gli altri la regola è una sola e non richiede alcuna competenza. Nessuna banca e nessun circuito di pagamento chiede di essere richiamato a un numero contenuto nella mail stessa. Se un avviso ti allarma, chiudi il messaggio, apri l'app ufficiale o componi il numero stampato sulla tua carta. E ricorda che la scadenza delle ventiquattro ore non è l'emergenza. È l'attacco.