Nel 2022 il cliente di una concessionaria riceve per e-mail la fattura della sua auto, oltre 18’000 franchi. Poco dopo un secondo messaggio: pagare su un altro conto, «per motivi logistici». La fattura era vera: nella casella di posta, racconta l’UFCS, erano entrati i truffatori e l’avevano ripresa cambiando il conto.

«Io non ho niente da rubare.» Ai criminali spesso non interessa quello che hai, ma quello che sei: un indirizzo Internet pulito, un nome di cui i tuoi clienti si fidano, una casella da cui un messaggio arriva senza destare sospetti.

Vai al tuo caso:

Hai un’attività e un cliente ti ha girato un messaggio strano a tuo nome? Prima capisci se fingono il tuo dominio o se sono entrati nella tua casella. Io guardo tre cose:

  • Il messaggio è tra i tuoi inviati, risponde a una conversazione vera, o trovi inoltri e filtri che non hai messo tu? Allora qualcuno è entrato nella casella.
  • Il mittente è solo simile al tuo (una lettera cambiata, un dominio diverso), o è tuo solo il nome che si vede e dietro c’è un altro indirizzo? Stanno imitando il tuo nome, e le impostazioni del dominio di cui parlo sotto non lo fermano: avvisa i clienti.
  • Niente di tutto questo? Probabilmente fingono il tuo dominio.

Nel dubbio fai entrambe le cose: cambiare la password della posta non ti costa niente.

Il mio computer o il mio router possono attaccare altri senza che io lo sappia?

Sì. Un apparecchio infettato può entrare in una botnet, una rete di migliaia di macchine comandate a distanza da chi l’ha costruita.

Come succede

Il programma dannoso entra da un allegato aperto, da un programma scaricato da un sito sbagliato o, per router, telecamere e dischi di rete, da una falla non corretta o dalla password di fabbrica mai cambiata. Da quel momento l’apparecchio aspetta ordini. A marzo 2026 un’operazione coordinata da Eurojust, l’agenzia europea per la cooperazione giudiziaria, ha chiuso un servizio che vendeva ai criminali l’uso di router altrui per nascondere da dove si collegavano. Secondo Eurojust erano circa 369’000 router e altri apparecchi in 163 paesi, e i proprietari non ne sapevano niente.

Eurojust, Servers used for cybercrime around the world taken down (in inglese)

Anche in Svizzera l’Ufficio federale della cibersicurezza (UFCS) trova sempre più spesso reti di apparecchi, server e router infettati, comandati a distanza e a volte dati in affitto, usati come base di partenza per altri attacchi.

UFCS, Rapporto semestrale 2025/2

Cosa ci fanno con le tue cose

  • Bloccano siti e servizi: migliaia di apparecchi mandano richieste tutte insieme a un sito finché non regge più (un attacco DDoS). Nel 2024 una botnet di questo tipo, affittabile a pagamento, ha colpito un gestore di infrastrutture critiche in Svizzera con brevi interruzioni.
  • Spediscono spam, anche con allegati dannosi.
  • Fanno passare il traffico di altri: il criminale si collega attraverso la tua connessione, e nelle tracce del suo reato compare il tuo indirizzo Internet, non il suo.

Perché ti riguarda, anche se non hai niente da rubare

Perché quello che parte dalla tua rete porta il tuo indirizzo. E perché un apparecchio che prende ordini da fuori è anche un apparecchio da cui si può guardare quello che passa nella tua rete, e se è una telecamera, anche dentro casa o in ufficio: queste reti compromettono anche la privacy dei proprietari. Se hai un’attività, c’è un motivo in più: la legge federale sulla protezione dei dati (LPD, in vigore dal 2023) chiede a chi tratta dati di altri una sicurezza adeguata al rischio.

I segnali

Spesso nessuno: molti di questi programmi all’inizio lavorano in silenzio. Quando ci sono, i segnali sono questi:

  • il computer rallenta o si blocca senza motivo (se è lento da sempre non conta: conta il cambiamento improvviso), compaiono finestre strane, il browser ti porta su siti che non hai chiesto, l’antivirus risulta spento;
  • consumo di dati insolito o attività di rete sospette.

Io aggiungo due cose da guardare: nel router, nella telecamera o nel disco di rete ci sono impostazioni o utenti che non hai messo tu, oppure arriva un avviso del tuo fornitore di Internet che dalla tua connessione partono attacchi o spam.

Cosa fai subito

  1. Stacca dalla rete l’apparecchio sospetto. Se non sai quale è, togli la corrente al router finché non hai capito quale apparecchio è.
  2. Fallo pulire prima, cambia le password dopo, da un apparecchio pulito. Se non sai come, porta il computer a un tecnico di fiducia o al negozio dove l’hai comprato: nel dubbio lo reinstallano, salvando prima i tuoi file.
  3. Router, telecamera, disco di rete: vanno riportati alle impostazioni di fabbrica, con il programma interno dell’apparecchio (il firmware) aggiornato e una password nuova e lunga, prima di ricollegarli. Se non te la senti, chiedi al tuo operatore o al tecnico.
  4. Fino a che non sei sicuro, niente banca online né posta da quell’apparecchio.

Come eviti che succeda

Il mio principio: un apparecchio che non si aggiorna più non resta collegato a Internet. Lo dice anche l’Ufficio federale tedesco per la sicurezza informatica (BSI): se un apparecchio con un programma vecchio non si riesce a pulire, resta solo usarlo senza rete o buttarlo.

  • Password di fabbrica cambiata su router, telecamere e dischi di rete il giorno stesso in cui li accendi.
  • Aggiornamenti automatici ovunque si possa.
  • Niente apparecchi raggiungibili direttamente da Internet se non serve. Io nel router non lascio porte aperte verso telecamere o dischi di rete, e spengo l’apertura automatica delle porte (UPnP), ne ho scritto in Il router apre le porte da solo, se niente ne ha bisogno.

Ho spiegato come fare con NAS e Plex in Hai un NAS a casa o in ufficio? e il giro completo degli apparecchi di casa, router compreso, è nella guida Privacy e casa intelligente.

Qualcuno può mandare e-mail a nome della mia attività?

Sì. Il dominio è la parte dopo la chiocciola, per esempio @nomeditta.ch. Se non è configurato bene è ancora più facile, e per i tuoi clienti quasi impossibile accorgersene. Se il tuo indirizzo finisce con il nome del tuo operatore o di un servizio di posta gratuito, il dominio non è tuo: queste impostazioni le cura chi te lo fornisce, e questa parte la puoi saltare. Se pensi di passare a un dominio tuo, ne ho parlato in Gmail o Bluewin per la tua attività.

Se un cliente ha ricevuto una fattura falsa a tuo nome

È il caso più frequente, e la truffa la firmi tu: il cliente che paga l’IBAN sbagliato pensa prima di tutto a te, anche se non hai colpe.

  1. Telefona al cliente: non deve pagare. Se ha già pagato, deve chiamare subito la sua banca, e conviene una denuncia. Chi sopporta la perdita, tu o il cliente, si decide caso per caso: prima di rinunciare o di pretendere, parla con il tuo consulente.
  2. Avvisa gli altri clienti con un canale che conoscono già, per esempio una telefonata o il sito: «non cambiamo IBAN per e-mail, nel dubbio telefonateci».
  3. Se è una tua fattura vera ripresa e modificata, qualcuno è probabilmente entrato nella casella: segui anche il caso della casella violata.
  4. Chiedi a chi gestisce il dominio di attivare o correggere le impostazioni che spiego qui sotto.

Come succede

Nella posta il mittente si scrive come l’indirizzo su una busta: chi spedisce può metterci quello che vuole. Per questo esistono tre impostazioni del dominio, SPF, DKIM e DMARC. In parole semplici sono le impostazioni che dicono chi può spedire a nome del tuo dominio:

  • SPF è l’elenco dei server autorizzati a spedire per te;
  • DKIM è una firma che prova che il messaggio è partito da un server autorizzato del tuo dominio e non è stato cambiato;
  • DMARC dice a chi riceve cosa fare con un messaggio che non passa i controlli: lasciarlo passare, metterlo da parte o rifiutarlo.

Il mio consiglio è di averle tutte e tre; le raccomanda anche l’UFCS agli amministratori della posta, proprio per le truffe con mittente falso.

«configurare meccanismi di verifica del mittente (SPF, DKIM, DMARC)»

↳ Fonte: UFCS, Settimana 17: Perseverano i tentativi di «truffa del CEO» contro i Comuni svizzeri [bacs.admin.ch]

I segnali

  • Una valanga di avvisi di mancata consegna per e-mail che non hai scritto: è l’effetto dell’abuso del tuo indirizzo come mittente.
  • Pagamenti che non arrivano perché un cliente ha pagato a un altro IBAN.

Come eviti che succeda

Il mio consiglio: chiedi a chi gestisce il tuo dominio di arrivare a un DMARC che rifiuta i messaggi falsi. Una regola DMARC rigida argina gli abusi, anche se non li esclude del tutto. Si arriva per gradi: all’inizio DMARC si limita a osservare e manda a chi gestisce il dominio dei rapporti su chi spedisce a nome tuo; quando i rapporti mostrano che tutta la tua posta vera passa i controlli, si stringe la regola fino al rifiuto. Saltare i passaggi può bloccare la tua posta vera: è un lavoro per chi gestisce il dominio.

Vale anche per i domini che hai ma da cui non spedisci posta: anche loro vanno protetti, e chi gestisce il dominio sa come.

Per sapere da dove parti puoi usare il test gratuito che ho creato, controllosicurezza.com: inserisci il tuo dominio e vedi se queste impostazioni ci sono e se sono configurate bene. Il risultato lo puoi girare a chi gestisce il tuo dominio.

E diffida di chi ti scrive di sua iniziativa che al tuo dominio «manca DMARC» e ti mette fretta per sistemarlo: l’UFCS (allora NCSC) descriveva queste lettere già nel 2021; non chiedevano soldi subito, preparavano il terreno per chiederli. Non è una falla, è una protezione in più che manca.

La mia casella manda messaggi che non ho scritto: cosa è successo?

Quasi sempre qualcuno è entrato nella tua casella con la tua password, spesso senza che tu l’abbia mai data a nessuno: l’aveva un altro sito, che ha subito una fuga di dati.

Come succede

Se usi la stessa password per la posta e per un negozio online, e il negozio viene violato, i criminali provano quella coppia indirizzo e password su centinaia di servizi, in automatico. È il riuso in massa di password rubate (credential stuffing):

L’UFCS riceve regolarmente segnalazioni di persone «i cui conti online sono stati indebitamente sottratti, nonostante non abbiano mai rivelato la loro password». La casella di posta va protetta perché «funge da chiave per tutti gli altri account».

↳ Fonte: UFCS, Settimana 16: Una sola password per tanti account [bacs.admin.ch]

Cosa ci fanno con la tua casella

  • Scrivono ai tuoi contatti. L’UFCS (Settimana 25/2026) descrive messaggi trappola mandati dalla casella violata «a tutti i contatti della vittima»: funzionano meglio del phishing normale, perché arrivano da un nome conosciuto e spesso riprendono conversazioni vere.
  • Rimandano le tue fatture vere con un altro IBAN, come nel caso della concessionaria del 2022.
  • Rubano altre password. Quasi tutti i servizi mandano il link per cambiare password via e-mail: chi ha la tua casella può prendersi anche il resto, e a volte la riempie di spam perché tu non veda gli avvisi.

Perché ti riguarda

Perché chi riceve il messaggio si fida di te, non del criminale. E se hai un’attività, nella casella ci sono dati di clienti: un accesso di estranei è una violazione della sicurezza dei dati, e devi valutare se va notificata. In Svizzera all’Incaricato federale della protezione dei dati (IFPDT), quanto prima, se c’è verosimilmente un rischio elevato per le persone; in Italia al Garante, se possibile entro 72 ore da quando lo scopri, salvo che il rischio sia improbabile. Come si valuta l’ho spiegato in Documento mandato alla persona sbagliata.

I segnali

  • Amici o clienti che ti chiedono di messaggi strani partiti da te.
  • Messaggi inviati che non hai scritto, o messaggi spariti.
  • Avvisi di accesso da posti o apparecchi che non conosci, o di password cambiate su altri siti.
  • Regole che non hai creato: un inoltro automatico verso un indirizzo sconosciuto, o un filtro che sposta certi messaggi nel cestino.
  • Una valanga di spam improvvisa.

Cosa fai subito

  1. Cambia la password della posta da un apparecchio pulito, con una password nuova che non hai mai usato altrove.
  2. Attiva la verifica in due passaggi, se non c’è già.
  3. Togli tutto quello che non hai messo tu: inoltri e filtri, apparecchi e sessioni ancora aperte, indirizzo e telefono di recupero cambiati, password per le app e app collegate alla casella. Chi entra spesso si lascia lì una porta per tornare.
  4. Cambia la password su tutti i servizi dove usavi quella vecchia, cominciando da banca e servizi di pagamento.
  5. Avvisa i tuoi contatti con il modello qui sotto. Se qualcuno ha pagato, deve chiamare subito la sua banca.
  6. Se non riesci più a entrare o c’è un danno, fai denuncia: in Italia la Polizia Postale indica un qualunque ufficio di polizia, in Svizzera la polizia cantonale.

Il mio consiglio: mandalo in copia nascosta (Ccn) se i destinatari sono tanti, e ai clienti importanti telefona anche.

Vale lo stesso per i social, le chat e i giochi: password nuova da un apparecchio pulito, verifica in due passaggi, via gli apparecchi e le app che non riconosci, avviso agli amici. In chat basta un messaggio breve:

Come eviti che succeda

Il mio principio: la password della posta è unica e non la uso da nessun’altra parte, perché la posta è la chiave di tutto il resto.

  • Una password diversa per ogni servizio, tenute in un gestore di password: ti serve ricordarne una sola. Come sceglierla e gestirla è nella guida Password.
  • Verifica in due passaggi sulla posta, prima che altrove. Quale scegliere lo spiego nella guida Verifica in due passaggi.
  • Controlla ogni tanto se il tuo indirizzo è finito in una fuga di dati. Io per questo ho creato passwordrubata.com: il controllo è gratuito, basta l’indirizzo e-mail e non chiede nessuna password. Cosa fare se il tuo indirizzo c’è l’ho spiegato in I miei dati sono finiti nel dark web?

Il mio computer, il mio dominio, la mia casella: controllo in 15 minuti

Controllo in 15 minuti: computer, dominio, casella

Il computer e gli apparecchi di casa o dell’ufficio (5 minuti)

  1. Router: la password di accesso non è più quella di fabbrica.
  2. Router, telecamere, dischi di rete: si aggiornano da soli, o li ho aggiornati da poco.
  3. Apparecchi vecchi che non ricevono più aggiornamenti: staccati da Internet o sostituiti.
  4. Nessun apparecchio raggiungibile da Internet senza un motivo preciso.

Il dominio, se hai un’attività (5 minuti per chiedere il controllo, poi qualche settimana per arrivare a rifiutare i messaggi falsi)

  1. Ho fatto il test del dominio e ho girato il risultato a chi lo gestisce.
  2. SPF, DKIM e DMARC attivi, DMARC che arriva per gradi al rifiuto; l’accesso al pannello del dominio ha password unica e verifica in due passaggi.
  3. Clienti avvisati: «non cambiamo IBAN per e-mail, nel dubbio telefonateci».

La casella di posta (5 minuti)

  1. Password della posta unica, mai usata altrove.
  2. Verifica in due passaggi attiva sulla posta.
  3. Inoltri, filtri e app collegate controllati: niente che non ho messo io.
  4. Ho controllato se il mio indirizzo è finito in una fuga di dati.

Se qualcosa non va: stacca l’apparecchio dalla rete, cambia le password da un apparecchio pulito, avvisa i contatti, e se c’è un danno chiama la banca e fai denuncia.

Versione completa e aggiornata: comedifendersidaglihacker.com/blog/computer-dominio-casella-email-usati-dai-criminali-per-attaccare-altri/

Domande frequenti

Come faccio a sapere se il mio computer fa parte di una botnet?

Spesso non te ne accorgi, perché molti programmi di questo tipo all'inizio lavorano in silenzio. I segnali possibili sono rallentamenti, blocchi, finestre strane, antivirus spento, consumo di dati insolito o un avviso del tuo fornitore di Internet. Il mio consiglio: nel dubbio stacca l'apparecchio dalla rete, fallo controllare e cambia le password da un apparecchio pulito.

Dalla mia casella partono messaggi che non ho scritto: cosa faccio per primo?

Cambia subito la password della posta da un apparecchio pulito, scegliendone una mai usata altrove, e attiva la verifica in due passaggi. Poi controlla inoltri, filtri e apparecchi collegati e togli quello che non hai messo tu. Cambia la password anche sugli altri servizi dove usavi quella vecchia e avvisa i tuoi contatti di non aprire link e allegati.

Hanno usato il mio nome per mandare una fattura falsa a un cliente: è colpa mia?

Chi ha commesso la truffa è il criminale, ma il danno alla fiducia lo subisci tu, e se hai un'attività la legge ti chiede una sicurezza dei dati adeguata al rischio. Il mio consiglio: avvisa subito i clienti per telefono, chi ha pagato deve chiamare la banca, fai denuncia e fai controllare dominio e caselle. Per la parte legale chiedi al tuo consulente.

Tutte le fonti di questo articolo

Stasera ti bastano quindici minuti con la lista qui sopra.