Il Trucco del Segno Più Che Rivela Dove È Trapelato il Tuo Indirizzo (E Cosa Non Può Provare)

Registrati in un negozio come tu+homedepot@example.com e su un sito di biglietti come tu+ticketmaster@example.com, e finché nulla rimuove l'etichetta, ogni messaggio che arriva porta un'indicazione di quale modulo ha ricevuto l'indirizzo. Quando lo spam inizia ad arrivare su uno di questi tag, non stai indovinando da dove l'indirizzo è entrato in circolazione. Lo stai leggendo sulla busta.

Il meccanismo è vecchio e documentato. Il subaddressing — aggiungere qualche "dettaglio" alla parte locale di un indirizzo dopo un carattere separatore, di solito + — è descritto in RFC 5233, pubblicato a gennaio 2008, che fa l'esempio di mail a ken+sieve@example.org che arriva in una mailbox dell'utente ken. Gmail documenta il comportamento nella sua stessa guida: sotto "Filtra usando il tuo alias Gmail," afferma che "i messaggi inviati ai seguenti alias andranno tutti a janedoe@gmail.com," e poi elenca janedoe+school@gmail.com, janedoe+notes@gmail.com e janedoe+important.emails@gmail.com. Una mailbox, tante variazioni etichettate quante ne desideri inventare, nessuna configurazione.

Ecco la parte che di solito viene esagerata, anche nella prima versione di questo articolo. Un tag identifica un punto di ingresso. Non identifica un colpevole. Se un indirizzo dato esattamente a un solo negozio inizia a ricevere spam di criptovalute, quello che è stato stabilito è che l'indirizzo ha raggiunto il mercato più ampio attraverso quella registrazione — e questo è genuinamente utile. Quello che non è stato stabilito è come. Il negozio potrebbe aver venduto una lista. Potrebbe averla condivisa in un modo che la sua stessa policy sulla privacy consente. Potrebbe averla passata a un processore, un partner di fulfillment o una piattaforma di marketing che è stata poi violata. La violazione potrebbe essere stata al negozio, o tre fornitori più in basso. L'indirizzo potrebbe essersi trapelato dal dispositivo o dalla mailbox dello stesso abbonato. Qualcuno potrebbe aver dedotto il modello — una volta che un attaccante ha visto tu+petco@, la forma di tu+anything-else@ non è difficile da indovinare, e i tag a volte vengono copiati direttamente da un messaggio inoltrato. "Questa registrazione è da dove è trapelato" è una conclusione valida. "Questa azienda mi ha venduto" è un'affermazione diversa, e un tag non è una prova di essa.

Due limiti pratici accompagnano il trucco. Il primo è nello standard stesso: il modo in cui il dettaglio è codificato è, secondo le parole di RFC 5233, "specifico del sito e/o dell'implementazione." Non c'è garanzia che un dato provider supporti +, lo tratti come separatore, o che un dato modulo di registrazione accetti il carattere; i moduli che validano gli indirizzi in modo restrittivo lo rifiutano, e qualunque cosa elabori l'indirizzo in seguito potrebbe rimuoverlo. Il secondo è quello che il tag può fare una volta che è stato compromesso. Un filtro su to: tu+petco@… impedisce che quella mail raggiunga la inbox. Non rimuove l'indirizzo da nessuna banca dati, e non impedisce che venga scambiato ulteriormente. È contenimento dal lato ricevente, niente di più.

L'iscrizione è l'altra metà di questo malinteso. L'iscrizione con un clic non è una cortesia; per i mittenti ad alto volume è un requisito. Le linee guida per i mittenti di Google indicano ai mittenti di 5.000 o più messaggi al giorno agli account Gmail che "i messaggi di marketing e i messaggi sottoscritti devono supportare l'iscrizione con un clic" e devono "includere un link di iscrizione chiaramente visibile nel corpo del messaggio," mantenendo i tassi di spam "al di sotto dello 0,10%" e mai raggiungendo "lo 0,30% o superiore." Yahoo's Sender Hub richiede un header List-Unsubscribe funzionante più un link visibile, con le richieste di iscrizione onorate entro due giorni. Che ti dice esattamente fino a dove arriva il meccanismo: è applicato contro i mittenti che vogliono che la loro mail sia consegnata a Gmail e Yahoo. Un mittente che non ha mai inteso conformarsi è completamente fuori da quel sistema, e chiedere cortesemente di smettere non è un controllo che tieni.

Per le registrazioni di cui non ti fidi per niente con un indirizzo reale, Apple offre due cose separate che sono frequentemente confuse. La prima è iCloud+ Hide My Email, che richiede un abbonamento iCloud+: "quando ti iscrivi a iCloud+," puoi "generare indirizzi email unici e casuali," "la posta inviata ai tuoi indirizzi casuali viene inoltrata al tuo account email personale," "puoi creare tutti gli indirizzi di cui hai bisogno," e "puoi anche disattivare o eliminare gli indirizzi che non usi più." La disattivazione è reversibile; l'eliminazione, nota Apple, non lo è. La seconda è Sign in with Apple, dove accedere a un'app con un Apple Account può emettere un indirizzo relay nel dominio privaterelay.appleid.com invece di consegnare il tuo; cambiare l'indirizzo a cui il relay si invia è esso stesso una funzione iCloud+. Entrambi evitano di consegnare al mittente qualcosa da rimuovere o estrarre, perché non c'è nessun tag visibile incollato a un indirizzo reale — ma sono funzioni diverse, con requisiti diversi, e vale la pena chiederle per nome.

La scala dietro tutto questo è facile da verificare e vale la pena verificare piuttosto che citare da memoria. La prima pagina di Have I Been Pwned, letta il 20 ottobre 2026, mostrava 17.846.550.965 indirizzi violati in 1.047 siti violati. Si tratta di indirizzi che compaiono in violazioni che il progetto ha caricato, non di account compromessi, e non di un conteggio di ogni violazione che sia mai accaduta. Il tagging non mantiene un indirizzo fuori dalla prossima. Ciò che fa è trasformare un'alluvione anonima in posta etichettata, in modo che quando qualcosa va storto tu sappia da quale porta è entrato — e sia onesto con te stesso su quello che fa e non fa provare.

Correzione, 20 ottobre 2026. Una versione precedente di questo articolo è stata scritta in prima persona e descriveva osservazioni personali di indirizzi etichettati che compaiono nei dump dei data broker. L'articolo non ha un autore individuale identificato — è pubblicato da xmail come organizzazione — e quell'account non poteva essere sostanziato, quindi è stato riscritto come uno scenario neutrale e riproducibile. L'affermazione che un indirizzo etichettato lascia "esattamente un sospetto" e nomina l'azienda che ha venduto l'indirizzo è stata corretta: un tag identifica un punto di ingresso, non un colpevole o una transazione. Un'affermazione che Gmail ha supportato il plus-addressing dal 2008 è stata rimossa, poiché la documentazione di Google non fornisce una data di inizio; la data del 2008 ora si riferisce a RFC 5233, dove la convenzione è specificata. La figura di Have I Been Pwned, precedentemente data come più di 14 miliardi di account compromessi in migliaia di violazioni, è stata sostituita con i contatori del sito stesso come letti il 20 ottobre 2026. La descrizione degli indirizzi relay di Apple è stata suddivisa in iCloud+ Hide My Email e Sign in with Apple, che sono funzioni separate con requisiti diversi, e la citazione per il comportamento di Gmail ora punta alla pagina di aiuto che effettivamente lo documenta. Un'affermazione che i link di iscrizione sono spesso esche di phishing è stata rimossa per mancanza di una fonte.