SSpam indica una comunicazione digitale indesiderata o non richiesta, spesso distribuita in massa. L’esempio classico è la posta elettronica indesiderata, ma oggi il termine viene utilizzato anche per SMS, messaggi, chiamate, social network, commenti e altri contenuti inviati senza che il destinatario li abbia richiesti.
C’è però una distinzione importante: spam non significa automaticamente phishing, truffa o malware. Un messaggio può essere soltanto pubblicità indesiderata; altri messaggi utilizzano invece lo spam come canale per convincerti a consegnare una password, effettuare un pagamento o aprire un contenuto dannoso.
La definizione di spam riportata da Treccani conserva il significato originario legato soprattutto alla posta elettronica indesiderata. Nell’uso digitale corrente, però, il concetto si è esteso anche ad altri canali.
Capire questa differenza rende molto più semplice decidere cosa fare: cancellare o disiscriversi in un caso, bloccare e segnalare nell’altro, intervenire sulla sicurezza se hai già fornito informazioni sensibili.
Spam: significato e definizione semplice
Il significato di spam ruota attorno a due caratteristiche: il messaggio non è desiderato dal destinatario e, molto spesso, viene distribuito su larga scala.
In italiano il termine è diventato più ampio rispetto alla sola email. Se ricevi decine di commenti automatici sotto un blog, un SMS commerciale che non hai richiesto o messaggi privati seriali sui social, è naturale parlare di spam anche se non c’è una casella di posta elettronica coinvolta.
Questo non significa che qualsiasi comunicazione che non ti interessa sia tecnicamente identica. Una newsletter alla quale ti sei realmente iscritto, per esempio, può essere poco interessante o troppo frequente senza diventare automaticamente una campagna fraudolenta. Allo stesso modo, un messaggio di servizio legittimo non diventa spam soltanto perché arriva in un momento scomodo.
La definizione serve quindi come punto di partenza; contesto, consenso, modalità di invio e contenuto determinano poi che cosa stai realmente guardando.
Spam non è un acronimo: da dove viene la parola
SPAM viene a volte reinterpretato online come se fosse la sigla di una frase inglese. È un falso mito.
La voce spam di Treccani collega il termine al marchio della carne in scatola Spam e ricorda l’associazione con il celebre sketch dei Monty Python nel quale la parola viene ripetuta continuamente. Quella ripetizione invasiva è diventata una metafora particolarmente efficace per i messaggi indesiderati che occupano i canali digitali.
Non serve quindi cercare un’espansione segreta delle lettere S-P-A-M: nel significato informatico corrente spam è una parola, non un acronimo tecnico.
Si dice “lo spam” o “la spam”?
In italiano puoi incontrare entrambe le forme.
Treccani registra infatti il termine spam sia al maschile sia al femminile.
Nel linguaggio informatico è però molto comune dire “lo spam”, soprattutto quando ci si riferisce al fenomeno in generale: “bloccare lo spam”, “ricevere troppo spam”, “filtro antispam”.
“La spam” può invece comparire quando il parlante sottintende “la posta spam” o “la comunicazione spam”.
Non c’è quindi bisogno di trasformare la questione in una regola artificiale: in questa guida useremo prevalentemente lo spam per coerenza.
Spammare, spamming e spammer: cosa significano
Spam, spammare, spamming e spammer appartengono alla stessa famiglia linguistica, ma indicano cose differenti.
| Termine | Significato |
|---|---|
| Spam | Il messaggio indesiderato o, più in generale, il fenomeno |
| Spammare | Inviare o diffondere spam |
| Spamming | L’attività di invio o diffusione dello spam |
| Spammer | Chi produce o invia spam |
Cosa significa spammare
Spammare significa diffondere messaggi o contenuti indesiderati in modo ripetuto o massivo.
Nel linguaggio quotidiano il verbo viene utilizzato anche in maniera più elastica. Qualcuno può dire “non spammare il gruppo” riferendosi a una persona che continua a inviare messaggi, link o promozioni, anche se non si tratta di una vera campagna commerciale automatizzata.
Il nucleo del significato rimane comunque lo stesso: una diffusione invasiva e ripetuta di contenuti che i destinatari non hanno richiesto o non considerano pertinenti.
Cos’è lo spamming
Spamming è l’attività di inviare spam.
Anche Treccani definisce lo spamming essenzialmente come l’invio di spam.
Il termine descrive quindi il comportamento, non il singolo messaggio. Se un sistema invia migliaia di comunicazioni indesiderate, quelle comunicazioni sono spam; l’operazione complessiva è spamming.
Chi è uno spammer e cosa significa “presunto spammer”
Uno spammer è chi invia spam. Può essere una persona, un’organizzazione oppure un sistema automatizzato utilizzato per distribuire messaggi o contenuti indesiderati.
L’espressione “presunto spammer” richiede invece maggiore cautela.
Se compare sul telefono o in un sistema di filtraggio, normalmente indica che quel numero o mittente è stato classificato come potenzialmente associato a comunicazioni indesiderate. Non significa automaticamente che sia stato accertato un comportamento fraudolento.
L’app Telefono di Google, per esempio, utilizza informazioni sul chiamante e segnali antispam per mostrare avvisi sulle chiamate potenzialmente indesiderate e consente anche di correggere una classificazione errata.
Spam, phishing, truffa e malware non sono la stessa cosa
Questo è uno dei punti che crea più confusione.
Uno spam può essere innocuo ma fastidioso. Il phishing, invece, è costruito per ingannarti. Il malware è un software dannoso. Una truffa descrive un inganno finalizzato a ottenere denaro, informazioni o altri vantaggi.
| Termine | Che cosa descrive | Obiettivo tipico | Sempre dannoso? |
|---|---|---|---|
| Spam | Comunicazione indesiderata o non richiesta | Promozione, distribuzione massiva, talvolta frode | No |
| Phishing | Tecnica di impersonazione e inganno | Rubare credenziali, dati o indurre un’azione | Sì |
| Truffa / scam | Inganno fraudolento | Ottenere denaro, dati o altri vantaggi | Sì |
| Malware | Software dannoso | Compromettere un dispositivo o sistema | Sì |
Il CERT-AGID definisce il phishing come una tecnica con cui l’utente viene indotto a compiere azioni pericolose o a fornire informazioni sensibili.
Quando uno spam diventa phishing
Immagina due messaggi.
Il primo dice:
“Nuovo catalogo disponibile. Approfitta dell’offerta.”
Non l’hai richiesto. Può essere spam.
Il secondo dice:
“Il tuo account è stato sospeso. Accedi immediatamente per confermare la password.”
Il mittente imita un servizio reale e il collegamento conduce a una pagina costruita per sottrarti le credenziali. Questo è phishing.
Il secondo messaggio può essere distribuito attraverso una campagna spam, ma la caratteristica che lo rende phishing è l’inganno, non il semplice fatto che sia indesiderato.
La distinzione è ancora più importante perché le campagne moderne non sono necessariamente scritte male. Il CERT-AGID ha documentato, per esempio, campagne che sfruttavano utenze compromesse e servizi apparentemente legittimi per rendere più credibili i tentativi di furto delle credenziali.
Un messaggio spam può essere innocuo?
Sì.
Pubblicità indesiderata, newsletter non pertinenti e promozioni massive possono essere spam senza contenere malware o tentare di rubare credenziali.
Questo non significa automaticamente che siano corrette sotto il profilo normativo o delle buone pratiche, ma evita un errore concettuale importante:
spam descrive prima di tutto una comunicazione indesiderata; phishing, malware e frode descrivono minacce specifiche.
Quali sono i tipi di spam più comuni
L’email rimane il caso più conosciuto, ma il meccanismo dello spam può interessare numerosi canali.
Email spam e posta indesiderata
È la forma classica: messaggi promozionali, offerte, comunicazioni massive o contenuti sospetti inviati agli indirizzi email.
I provider applicano filtri automatici e possono spostare i messaggi nella cartella Spam. Il filtro, però, rimane una classificazione: non trasforma automaticamente ogni messaggio presente nella cartella in phishing e può produrre anche falsi positivi.
Gmail permette infatti sia di segnalare un messaggio come spam sia di correggere un messaggio classificato erroneamente.
Messaggi, SMS e chiamate spam
Lo stesso modello si è esteso ai telefoni.
Puoi ricevere SMS promozionali indesiderati, messaggi seriali attraverso le app di messaggistica o chiamate effettuate in modo massivo.
Alcuni sistemi mostrano etichette come “spam” o “sospetto spam” sulla base dei propri sistemi di rilevamento. Quell’etichetta deve essere interpretata come un segnale di rischio o indesiderabilità, non come prova definitiva delle intenzioni del chiamante.
Google stessa specifica, nella documentazione relativa al rilevamento delle chiamate sospette, che questi sistemi non sono infallibili.
Spam sui social network
Sui social lo spam può assumere forme differenti: messaggi privati seriali, commenti promozionali ripetuti, account automatici, tag indesiderati o collegamenti pubblicati in massa.
Il confine con scam e phishing può diventare sottile. Un account può iniziare con un semplice messaggio promozionale e successivamente tentare di spostare l’utente su un sito fraudolento.
Commenti e form spam nei siti web
Se gestisci un sito, probabilmente conosci un’altra variante: commenti automatici e invii attraverso i moduli di contatto.
Lo scopo può essere pubblicare link, ottenere visibilità, distribuire contenuti automaticamente oppure cercare punti deboli nei moduli.
Google include esplicitamente il comment spam tra gli esempi di contenuto generato dagli utenti che può rientrare nelle proprie Spam Policies.
Se utilizzi WordPress e questo è il problema che devi risolvere, trovi procedure più specifiche nella guida su come bloccare lo spam nei commenti e nell’approfondimento dedicato ad Akismet Anti-Spam.
Cosa significa “sospetto spam”
Quando un telefono, un’app o un provider mostra “sospetto spam”, sta effettuando una valutazione: alcuni segnali associati a quel mittente o numero sono compatibili con comunicazioni indesiderate.
Non significa necessariamente:
“Questo soggetto è un truffatore.”
Significa più prudentemente:
“Questo numero presenta caratteristiche o segnalazioni compatibili con chiamate spam.”
La distinzione conta perché i sistemi automatici possono sbagliare.
Lo stesso principio vale per la posta elettronica. Un messaggio finito nella cartella Spam merita prudenza, ma un filtro antispam non rappresenta una certezza assoluta: newsletter e comunicazioni legittime possono essere classificate male.
Spam e phishing possono sovrapporsi, ma indicano problemi diversi. Un messaggio spam è soprattutto indesiderato; il phishing cerca invece di indurti a rivelare informazioni, autorizzare un’operazione o interagire con una risorsa controllata dall’attaccante.
Se riconosci il mittente, aspettavi quella comunicazione e il contenuto è coerente, verifica comunque indirizzo e contesto prima di recuperare il messaggio. Se trovi invece richieste anomale di password, denaro o informazioni sensibili, passa da “potenziale spam” a possibile phishing o truffa.
Perché ricevi spam
Ricevere spam non significa necessariamente che il tuo account sia stato violato.
Gli indirizzi email e i numeri di telefono possono entrare in liste di distribuzione attraverso percorsi differenti: pubblicazione online, database commerciali, moduli, account compromessi, precedenti registrazioni o sistemi automatici che raccolgono contatti disponibili sul Web.
L’Accademia della Crusca, parlando degli spambot, richiama proprio programmi utilizzati anche per raccogliere indirizzi email e distribuire grandi quantità di spam.
Una volta che un recapito entra in circolazione può essere copiato, aggregato e riutilizzato. Ecco perché bloccare un singolo mittente non elimina necessariamente il problema: la fonte dello spam può essere distribuita tra molti sistemi diversi.
Perché i filtri antispam non bloccano tutto
Un filtro deve gestire due errori opposti.
Se è troppo permissivo lascia passare spam. Se è troppo aggressivo rischia di bloccare comunicazioni legittime.
Per questo i provider permettono normalmente agli utenti di correggere le classificazioni, per esempio indicando che un messaggio non è spam quando è stato filtrato per errore.
L’obiettivo realistico non è quindi una casella in cui nessun messaggio indesiderato arriverà mai. È ridurre il rumore senza rendere inaffidabile anche la posta legittima.
Come riconoscere un messaggio spam o sospetto
Non esiste un singolo dettaglio che dimostri automaticamente che un messaggio sia pericoloso. Conviene valutare diversi segnali insieme.
Controlla mittente, dominio e contesto
Il nome visualizzato non basta.
Un messaggio può mostrare il nome di una banca, di un collega o di un servizio conosciuto mentre l’indirizzo reale appartiene a un dominio completamente diverso.
Chiediti anche se la comunicazione ha senso: hai realmente effettuato quell’ordine? Hai richiesto il reset della password? Conosci quel mittente? Il servizio comunica normalmente attraverso quel canale?
Campagne di phishing più sofisticate possono inoltre utilizzare account realmente compromessi, aumentando la credibilità apparente del messaggio.
Link, allegati, urgenza e richieste di dati
Aumenta il livello di cautela quando un messaggio:
- chiede credenziali o dati personali;
- richiede informazioni di pagamento;
- contiene allegati inattesi;
- esercita forte pressione temporale;
- cerca di portarti su un sito per “verificare” un account.
Il CERT-AGID raccomanda di non aprire allegati o collegamenti quando non sei certo dell’identità del mittente e di verificare direttamente con l’organizzazione interessata quando una comunicazione sensibile sembra provenire, per esempio, dalla propria banca.
La verifica deve avvenire attraverso un canale indipendente: sito ufficiale aperto manualmente, applicazione ufficiale o numero che già conosci. Non usare per verificare il messaggio lo stesso link o numero contenuto nel messaggio sospetto.
Un messaggio scritto bene può comunque essere pericoloso
Errori grammaticali, traduzioni improbabili e grafiche approssimative rimangono segnali utili quando sono presenti.
La loro assenza, però, non dimostra che il messaggio sia sicuro.
Il CERT-AGID ha documentato anche campagne di phishing che sfruttavano Google Sites per costruire pagine apparentemente credibili.
Quindi non utilizzare la regola:
“È scritto bene, quindi è sicuro.”
La domanda migliore è:
“Il messaggio è coerente con qualcosa che mi aspettavo e posso verificarlo attraverso un canale indipendente?”
Cosa fare quando ricevi un’email o un messaggio spam
La risposta dipende dal tipo di comunicazione.
Se si tratta di semplice pubblicità indesiderata ma riconosci chiaramente un mittente legittimo al quale avevi dato il consenso, la soluzione normale è utilizzare la funzione di disiscrizione.
Se non conosci il mittente, il contenuto è sospetto o il messaggio contiene richieste anomale, evita di interagire e usa gli strumenti di blocco o segnalazione della piattaforma.
Gmail distingue, per esempio, tra la possibilità di segnalare spam e segnalare phishing.
Cosa fare se hai già cliccato o inserito una password
Qui cambia la priorità: non stai più cercando semplicemente di capire se il messaggio era spam, ma devi limitare un possibile rischio.
Se hai soltanto aperto un messaggio senza scaricare file, inserire dati o autorizzare operazioni, questo non significa automaticamente che il dispositivo sia compromesso.
Se invece hai inserito una password all’interno di una pagina sospetta, apri il servizio dal suo sito o dalla sua app ufficiale e cambia rapidamente la password.
Se utilizzi la stessa password anche altrove, sostituiscila negli altri account interessati.
Se hai comunicato dati bancari o autorizzato un pagamento sospetto, contatta la banca o il provider di pagamento attraverso i suoi canali ufficiali.
Come ridurre lo spam che ricevi
Non puoi garantire che nessuno proverà più a contattarti, ma puoi ridurre l’esposizione e aiutare i filtri a funzionare meglio.
La prima azione consiste nel segnalare correttamente i messaggi, non soltanto cancellarli. Quando un servizio dispone della funzione Spam, utilizzarla aiuta il sistema a distinguere quelle comunicazioni dalla posta normale.
Evita inoltre di pubblicare il tuo indirizzo personale ovunque se non è necessario. Nei progetti professionali può avere senso utilizzare indirizzi differenti per funzioni diverse e proteggere correttamente i moduli di contatto.
Se una newsletter è legittima e ti sei realmente iscritto, usa il sistema di disiscrizione. Se il mittente è chiaramente sospetto, invece, non premere collegamenti contenuti nel messaggio soltanto per tentare di annullare l’iscrizione: utilizza blocco e segnalazione tramite il client.
Se il problema riguarda WordPress, puoi approfondire separatamente come bloccare lo spam nei commenti.
Spam e comunicazioni commerciali: cosa dice la normativa
Qui è importante non confondere “non mi interessa” con “è sicuramente illecito”.
In Italia, per le comunicazioni promozionali attraverso posta elettronica, la regola generale richiede una base giuridica appropriata e, nei casi ordinari di marketing diretto via email, il consenso preventivo.
Esiste però una specifica deroga normalmente chiamata soft spam. Le linee guida del Garante per la protezione dei dati personali richiamano la possibilità, entro precise condizioni, di utilizzare l’indirizzo email fornito dal cliente nel contesto di una vendita per promuovere propri prodotti o servizi analoghi, mantenendo il diritto dell’interessato di opporsi.
La deroga non equivale quindi a una licenza generale per acquistare, trasferire o utilizzare liberamente database di indirizzi.
Se gestisci campagne email, trovi la parte strategica nella nostra guida all’email marketing. Per situazioni specifiche di conformità è invece necessario valutare il trattamento effettivamente svolto.
Spam nei siti web: commenti, form e contenuti generati dagli utenti
Quando un sito permette a utenti esterni di pubblicare o inviare contenuti, crea inevitabilmente anche un punto che può essere abusato.
Google definisce user-generated spam il contenuto spam inserito dagli utenti attraverso aree destinate ai contributi esterni e cita espressamente i commenti spam nei blog tra gli esempi presenti nelle proprie Spam Policies.
Il problema non è quindi che “Google penalizza il sito appena riceve un commento spam”.
Il punto è differente: se offri aree pubbliche devi evitare che diventino spazi incontrollati per contenuti manipolativi o dannosi.
Su WordPress le contromisure dipendono dal canale. Commenti e form possono richiedere moderazione, filtri automatici, sistemi anti-bot e strumenti specifici.
Per questo non ha senso inserire qui una lista di plugin destinata a invecchiare. Se il problema riguarda i commenti, consulta la guida su come bloccare lo spam nei commenti WordPress; se vuoi approfondire il filtraggio automatico puoi leggere la guida ad Akismet Anti-Spam.
Spam SEO e link spam: cosa significa per Google
Quando Google utilizza la parola spam nelle proprie linee guida, il contesto è diverso dalla casella della posta.
Le Spam Policies di Google Search comprendono pratiche finalizzate a ingannare gli utenti o manipolare i sistemi di ricerca. Tra gli esempi rientrano link spam, cloaking, keyword stuffing, scaled content abuse e user-generated spam.
La distinzione da ricordare è quindi:
email spam → comunicazione indesiderata
Search spam → pratica che viola le politiche di Google Search
Link spam non significa automaticamente penalizzazione
La versione precedente di questa guida proponeva uno schema troppo semplice:
backlink sospetti → perdita di ranking → Disavow.
Non funziona in questo modo.
Google definisce link spam la creazione di collegamenti verso o da un sito principalmente allo scopo di manipolare il ranking. Tra gli esempi rientrano acquisto di link che trasferiscono segnali di ranking, scambi eccessivi, sistemi automatici per creare link e altre pratiche artificiali.
Questo non significa che ogni dominio sconosciuto che crea spontaneamente un backlink verso il tuo sito rappresenti una tua violazione.
Internet contiene inevitabilmente anche collegamenti di bassa qualità. La loro semplice esistenza non obbliga il proprietario di un sito a una continua attività di “pulizia dei backlink tossici”.
Quando usare davvero il Disavow Tool
Su questo punto Google è particolarmente prudente.
La documentazione ufficiale del Disavow Links Tool afferma che nella maggior parte dei casi Google può valutare autonomamente quali link considerare e che la maggior parte dei siti non ha bisogno di utilizzare questo strumento.
Google suggerisce di prenderlo in considerazione quando esiste un numero considerevole di link spam, artificiali o di bassa qualità e, contemporaneamente, quei link hanno causato o possono plausibilmente causare una manual action.
Quindi:
non utilizzare il Disavow Tool soltanto perché un software SEO classifica alcuni backlink come “tossici”.
Prima devi capire che cosa sono quei link, come sono stati ottenuti e se esiste realmente un problema compatibile con le condizioni indicate da Google.
In pratica: cosa fare quando incontri dello spam
La parola spam copre situazioni differenti e la risposta cambia in base allo scenario.
| Situazione | Azione più sensata |
|---|---|
| Newsletter legittima che non vuoi più | Disiscriviti |
| Pubblicità da mittente sconosciuto | Blocca o segnala come spam |
| Messaggio con richiesta sospetta di password o denaro | Trattalo come possibile phishing o truffa |
| Link o allegato inatteso | Non interagire finché non hai verificato il mittente |
| Password inserita su un sito falso | Cambiala attraverso il servizio ufficiale e proteggi gli account interessati |
| Chiamata indicata come “sospetto spam” | Usa cautela: l’etichetta è un avviso, non una prova assoluta |
| Spam nei commenti o nei form | Utilizza moderazione e protezioni anti-bot/antispam |
| Backlink sconosciuti verso il sito | Analizza prima; non utilizzare automaticamente il Disavow |
Il modello mentale da ricordare è semplice.
Spam significa prima di tutto comunicazione indesiderata.
Spammare significa diffonderla.
Spamming è l’attività.
Spammer è chi la invia.
Poi devi capire che cosa contiene realmente quel messaggio.
Se è soltanto una comunicazione indesiderata, blocco o disiscrizione possono essere sufficienti. Se cerca di rubare dati, convincerti a pagare o installare qualcosa, non stai più affrontando soltanto spam: stai gestendo una possibile minaccia di sicurezza.