Apri la posta e la trovi lì: un'email spoglia e senza stile da [email protected] che ti dice che qualcuno ha effettuato l'accesso al tuo account Microsoft da un paese in cui non sei mai stato. Oppure è [email protected] che avvisa che un nuovo dispositivo ha appena avuto accesso al tuo Gmail. Oppure è un indirizzo noreply Amazon in giapponese che dice che il tuo Prime sta per rinnovarsi. Tre pensieri arrivano più o meno in quest'ordine: è vera, cosa succede se la ignoro, e cosa succede se clicco.
L'interesse di ricerca proprio per queste domande è ai massimi degli ultimi cinque anni. I dati di Google Trends per "noreply" hanno toccato un nuovo picco all'inizio del 2026, e le query in crescita sottostanti sono dominate da indirizzi specifici legati alla sicurezza degli account: [email protected], [email protected], [email protected]. Il motivo per cui sono in crescita è che tutti e tre vengono attivamente sfruttati in questo momento, e le differenze superficiali tra uno vero e uno falso sono più ridotte che mai.
Questa è una guida pratica per chi riceve queste email: come distinguere quelle vere dalle false nel 2026, perché il vecchio consiglio ("controlla il dominio del mittente") non basta più, e cosa fare quando davvero non riesci a capirlo.
Perché "controlla solo il dominio" ha smesso di funzionare
La checklist tradizionale per riconoscere un'email di phishing — guarda il dominio del mittente, passa il mouse sui link, fai attenzione ai refusi — è stata pensata per un'epoca in cui i truffatori non potevano davvero inviare posta da un indirizzo reale @microsoft.com o @google.com. Quell'epoca è finita.
Due attacchi recenti lo hanno dimostrato chiaramente.
L'attacco DKIM replay su Google. Nell'aprile 2025, i ricercatori di sicurezza hanno documentato una campagna di phishing che consegnava messaggi completamente firmati con DKIM dall'indirizzo genuino [email protected]. Il meccanismo: un aggressore ha registrato un'app OAuth all'interno del proprio account Google con il messaggio di phishing incorporato nel nome dell'app, innescando così una vera email di avviso di sicurezza Google inviata a se stesso. Poiché la firma crittografica copre il corpo del messaggio ma non l'elenco dei destinatari o l'orario di invio, l'aggressore poteva poi inoltrare quel messaggio firmato a migliaia di vittime senza invalidare la firma. SPF, DKIM e DMARC risultavano tutti superati. Gmail lo mostrava come autenticato. Il campo mittente era reale.
L'abuso del dominio accountprotection.microsoft.com di Microsoft. Nel maggio 2026, TechCrunch ha riportato che dei truffatori avevano sfruttato per mesi un account interno Microsoft per inviare link di spam da un dominio che Microsoft stessa usa per codici di autenticazione a due fattori e conferme di cambio password legittimi. L'indirizzo mittente — lo stesso di cui milioni di utenti hanno imparato a fidarsi — era quello reale.
L'implicazione per chiunque non lavori nella sicurezza è che la domanda "il dominio del mittente è giusto?" è ormai necessaria ma non sufficiente. Un'email noreply perfettamente allineata e completamente autenticata da un dominio Fortune 500 può comunque essere una truffa. Devi guardare cosa ti chiede di fare.
Un punto da chiarire prima di tutto: "noreply" non è un'azienda, un servizio o un sito web. Non esiste un noreply.com su cui accedere, né un account "noreply" da raggiungere. È solo una convenzione di denominazione — un prefisso di casella email che le aziende usano per la posta automatica che non monitorano per le risposte. Ogni mittente lo attacca al proprio dominio (noreply@, no-reply@, notify-noreply@, microsoft-noreply@), motivo per cui è il dominio dopo la chiocciola, non la parola "noreply", a dirti chi ha realmente inviato il messaggio.
Gli indirizzi noreply ad alto volume che le persone stanno cercando ora
Ognuno degli indirizzi noreply più cercati su Google è legittimo per uno scopo ristretto, e quello scopo è la chiave per riconoscere gli impostori.
| Indirizzo | Per cosa viene legittimamente usato | Schema di truffa comune |
|---|---|---|
[email protected] | Codici 2FA, conferme di cambio password, avvisi di accesso insolito per account Microsoft / Outlook / Xbox | Falsa pressione "il tuo account verrà chiuso", link di spam infilati attraverso l'indirizzo reale, domini simili come accountprotection.microsoft.com.xyz |
[email protected] | Notifiche generali sull'account e sui prodotti Microsoft — ricevute, aggiornamenti su abbonamenti e premi | "Avvisi di sicurezza" contraffatti da questo indirizzo; la vera posta di sicurezza Microsoft arriva dall'indirizzo accountprotection.microsoft.com sopra indicato, quindi un avviso di accesso dall'indirizzo generico è di per sé un segnale d'allarme |
[email protected] | Avvisi di sicurezza, accessi da nuovi dispositivi, reimpostazioni password per Google / Gmail / Workspace | Messaggi "citazione in giudizio" o "blocco legale" replicati via DKIM che rimandano a pagine di phishing su sites.google.com |
[email protected] / [email protected] | Conferme d'ordine, avvisi di spedizione, rinnovi Prime | Falsi avvisi di rinnovo/problema di pagamento con domini simili (amaz0n.co.jp, amazon-billing.com), pressione del tipo "il tuo account è sospeso" |
Nota cosa hanno in comune gli usi legittimi: ognuno di essi è una notifica passiva o un codice monouso. Microsoft usa l'indirizzo di sicurezza account per dirti che qualcosa è successo, mai per chiederti di agire tramite un link nell'email. Il [email protected] di Google invia codici 2FA e avvisi di accesso, mai fatture o citazioni in giudizio. Gli indirizzi noreply di Amazon confermano ordini e spedizioni, mai ti chiedono di "verificare il metodo di pagamento" tramite un link incorporato.
Questa asimmetria è il segnale più affidabile che hai a disposizione.
La checklist di verifica 2026
Fai passare qualsiasi email noreply attraverso questi controlli, in ordine. Il primo che fallisce chiude la decisione.
1. Ti chiede di fare qualcosa con urgenza? I veri messaggi noreply di Microsoft, Google e Amazon sono quasi sempre informativi. "Ecco il tuo codice." "Abbiamo notato un nuovo accesso." "Il tuo ordine è stato spedito." Se l'email ti mette pressione — "verifica entro 24 ore o il tuo account verrà sospeso", "clicca qui per confermare il pagamento", "seguirà un'azione legale" — è quasi certamente una truffa, indipendentemente da chi sembri esserne il mittente. I veri team di sicurezza non ti minacciano in un'email transazionale.
2. Chiede credenziali, dati di pagamento o codici? Microsoft, Google e Amazon non ti chiederanno mai di inserire la password tramite un link email. Non ti chiederanno mai di "confermare" un codice 2FA che non hai richiesto. Non ti invieranno mai un link via email per aggiornare i dati di fatturazione. Il flusso legittimo è sempre: vai tu stesso sul sito, accedi, aggiorna ciò che serve. Un'email noreply che chiede una di queste cose è falsa anche se ogni header risulta corretto.
3. Qual è la destinazione reale del link? Passa il mouse (senza cliccare) e leggi la barra degli indirizzi. Un'email Microsoft genuina rimanda a microsoft.com, live.com o office.com. Un'email Google genuina rimanda a google.com o accounts.google.com. Un'email Amazon genuina rimanda a amazon.com o al dominio Amazon del tuo paese. Se il link va a microsoft-verify.com, google-secure.net, amazon-prime-billing.co, o a qualsiasi accorciatore di URL, fermati. L'attacco DKIM replay su Google in particolare indirizzava le vittime verso una pagina sites.google.com — tecnicamente un dominio Google, ma la destinazione reale era contenuto controllato dall'aggressore. Se l'URL sembra insolito rispetto al pattern normale di quel fornitore, trattalo come ostile.
4. Hai fatto qualcosa per attivarla? Un vero avviso noreply corrisponde quasi sempre a un'azione che hai compiuto o che puoi verificare. Un avviso di accesso Microsoft dovrebbe corrispondere a un dispositivo che hai davvero usato. Un avviso di spedizione Amazon dovrebbe corrispondere a un ordine che hai davvero effettuato. Un avviso "nuovo dispositivo" di Google dovrebbe corrispondere a un accesso da un computer nuovo. Se l'email si riferisce a un'azione che non hai compiuto, la risposta non è cliccare sul link "non sono stato io" nell'email — è andare direttamente sul sito del fornitore e controllare.
5. Verifica tramite la fonte, mai tramite l'email. Questa è la via di fuga universale. Apri una nuova scheda, digita a mano microsoft.com / google.com / amazon.com, accedi e guarda. Ogni avviso noreply legittimo da questi fornitori avrà una voce corrispondente nel tuo account: l'attività recente di Microsoft, il controllo sicurezza di Google, la cronologia ordini o il centro messaggi di Amazon. Se l'email esiste ma il record nell'account no, l'email è falsa.
Questo ultimo passaggio è quello da trasformare in abitudine, perché è l'unico controllo che funziona anche quando l'email è tecnicamente autentica — come nel caso del DKIM replay di Google.
Cosa fare quando è una truffa
Non rispondere. Non cliccare su "disiscriviti" (le vere email di phishing trattano il link di disiscrizione come conferma che l'indirizzo è attivo). Non inoltrarla ad amici con un avviso — questo diffonde soltanto i link incorporati.
Segnalala tramite il canale ufficiale del fornitore:
- Microsoft: inoltra a
[email protected], poi elimina. - Google / Gmail: apri il messaggio, clicca sul menu a tre puntini, scegli "Segnala come phishing".
- Amazon: inoltra come allegato a
[email protected], poi elimina.
Se hai già cliccato, l'ordine delle operazioni è: cambia la password interessata da un dispositivo che sai essere sicuro, attiva il 2FA se non era già attivo, poi controlla l'attività recente dell'account e i dispositivi autorizzati per qualsiasi cosa che non riconosci.
Cosa significa questo per le aziende che inviano email noreply
Se ti trovi dal lato mittente di tutto questo — confermando ordini, inviando ricevute, mandando avvisi account — l'aumento del phishing noreply è anche un tuo problema. Ogni email noreply legittima che invii è un modello che un truffatore può clonare, e ogni cliente scottato da un falso sarà più lento a fidarsi di quello vero. Il danno è asimmetrico: una brutta giornata causata da impostori può erodere la fiducia che la tua email transazionale reale ha costruito in anni.
Ci sono due cose che aiutano davvero. La prima è tecnica: portare la tua policy DMARC a p=reject, così la posta non autenticata dal tuo dominio non può raggiungere le caselle di posta. Questo non ferma i domini simili, ma elimina lo spoofing diretto del tuo dominio reale. La seconda è comportamentale: addestrare i clienti, attraverso migliaia di contatti legittimi, a riconoscere cosa le tue vere email noreply chiedono e cosa non chiedono di fare.
Il lato comportamentale è dove la maggior parte dei mittenti rinuncia, perché suona come "invia meno email" — cosa che non possono fare. Ma in realtà si tratta di coerenza. Se ogni vera email noreply della tua azienda indirizza i clienti esattamente nello stesso posto quando hanno una domanda, i tuoi clienti imparano quel pattern. Le email di phishing — che inevitabilmente rimandano a false pagine di accesso o moduli di pagamento — iniziano a sembrare ovviamente sbagliate.
Questo è l'inverso del problema noreply lato brand: invece di chiederti come catturare le risposte che i clienti inviano agli indirizzi noreply, ti chiedi come dare loro un percorso d'azione così chiaro, coerente e in linea con il brand che le versioni false non possano competere. Entrambe le mosse puntano alla stessa destinazione — un unico canale, di tua proprietà, affidabile, collegato a ogni email reale che invii.
Il phishing è un problema di fiducia, e la fiducia si costruisce canale per canale. I brand che escono bene dal 2026 sono quelli i cui clienti sanno — per abitudine, per ripetizione, per coerenza — esattamente quale canale è il loro e quale no.
Nessuna carta di credito richiesta.
