e-Mail

Come Bloccare le Email Indesiderate: Cosa Funziona Davvero e Cosa No

Bloccare il mittente non ferma lo spam. I tre tipi di posta indesiderata, quando l'annulla iscrizione è sicuro e a chi si segnala in Italia.

Tobia Borrata

Aggiornato il 4 settembre 2026 11 min 9 letture

Bloccare il mittente non ferma lo spam, ed è il motivo per cui la maggior parte delle persone ci prova per mesi senza vedere la casella alleggerirsi. Il blocco è una regola scritta su un indirizzo preciso; chi manda spam cambia indirizzo a ogni campagna, quando non falsifica direttamente quello del mittente. Si blocca una porta e ne aprono un'altra il giorno dopo.

Quello che funziona è distinguere tre cose diverse che finiscono tutte nella stessa cartella e che chiedono tre rimedi opposti: le newsletter che hai accettato senza accorgertene, lo spam vero, e il phishing. Questa guida separa i tre casi, spiega quando il pulsante «annulla iscrizione» è la strada giusta e quando è un errore che peggiora la situazione, e chiude con la parte che quasi nessuno scrive: a chi si segnala lo spam in Italia. Norme e requisiti sono verificati a settembre 2026.

Come bloccare le email indesiderate e la posta spam

Perché bloccare il mittente non ferma quasi mai lo spam?

Il comando «blocca mittente» dice al tuo programma di posta di spostare in una cartella tutto quello che arriva da un indirizzo specifico. È utilissimo contro una persona reale che non vuoi più sentire, ed è quasi inutile contro una campagna di spam, che gli indirizzi li brucia apposta: ogni invio parte da un mittente diverso, spesso da caselle create poche ore prima o da account altrui violati.

Il tasto che conta si chiama «segnala come spam», e fa un'altra cosa: manda un segnale al filtro del provider. Gmail, Outlook e gli altri servizi grandi contano quante persone segnalano lo stesso mittente e sopra una certa soglia smettono di recapitarne i messaggi a tutti, non solo a te. Bloccare protegge una casella; segnalare colpisce la campagna.

C'è un terzo caso in cui nessuno dei due serve: il mittente falsificato. Quando ricevi una mail che sembra arrivare da te stesso o dalla tua banca, l'indirizzo che vedi è scritto nel messaggio e non dimostra niente su chi l'ha spedito davvero. Bloccare quell'indirizzo significa, nel primo caso, bloccare te stesso: si segnala e si cancella.

Quali sono i tre tipi di posta indesiderata, e perché il rimedio è diverso?

Metterli nello stesso mucchio è l'errore che rende inutile tutto il resto. Sono tre cose diverse per origine, per legge e per rimedio.

Che cos'è	Come lo riconosci	Cosa si fa
Newsletter legittima	riconosci il mittente, c'è un link di disiscrizione visibile	annulla l'iscrizione
Spam vero	mittente sconosciuto, prodotti generici, spesso in inglese	segnala come spam, non aprire
Phishing	finge di essere banca, corriere, pubblica amministrazione; chiede urgenza e un clic	segnala, cancella, non cliccare

La newsletter legittima arriva perché a un certo punto hai lasciato l'indirizzo: un acquisto, un modulo, un wifi di un locale. È un trattamento dei tuoi dati, e la legge ti dà il diritto di farlo cessare. Non è spam in senso stretto ed è il caso più facile da chiudere.

Lo spam vero non ti conosce: sei un indirizzo in una lista comprata. Qui non esiste una disiscrizione, perché non esiste un'iscrizione. L'unica azione utile è alimentare il filtro.

Il phishing non vuole venderti niente: vuole le tue credenziali o i tuoi soldi. Va trattato come un tentativo di reato, e in Italia si segnala, come vedi più sotto.

Quando conviene usare «Annulla iscrizione» e quando è un errore?

La regola pratica sta in una riga: se riconosci il mittente ti disiscrivi, se non lo riconosci segnali. Cliccare «annulla iscrizione» dentro una mail di spam vero conferma a chi l'ha mandata che l'indirizzo è attivo e che qualcuno legge, e vale più di quanto valga la singola disiscrizione: quell'indirizzo passa in una lista migliore e ne arrivano di più.

Sui mittenti legittimi, invece, il pulsante oggi funziona sul serio, e c'è una ragione tecnica precisa. Dal 1° febbraio 2024 chi invia più di 5.000 messaggi al giorno agli account Gmail deve rispettare requisiti obbligatori: autenticare la posta con SPF e DKIM, pubblicare un record DMARC, offrire l'annullamento dell'iscrizione con un solo clic sui messaggi di marketing, e tenere il tasso di spam segnalato in Postmaster Tools sotto lo 0,3%, con lo 0,10% indicato come soglia da non superare. Chi non li rispetta si vede rifiutare i messaggi.

La conseguenza per chi legge è concreta: una newsletter di un'azienda vera ha un interesse fortissimo a farti uscire dalla lista invece di farsi segnalare, perché poche segnalazioni di troppo le fanno sparire la posta dalle caselle di tutti. Il link di disiscrizione di un mittente serio, oggi, è la strada più rapida.

Se la disiscrizione non produce effetto entro qualche giorno, il passo successivo non è ricliccare: è l'opposizione formale, che trovi nell'ultima sezione.

Come si segnala e si blocca su Gmail, Outlook, Libero e iCloud?

Su Gmail, da browser, apri il messaggio e usa il punto esclamativo «Segnala come spam» nella barra in alto; il menu con i tre puntini contiene «Blocca» e «Annulla iscrizione», che Gmail mostra da solo accanto al mittente quando riconosce una lista. Da app Android e iPhone gli stessi comandi stanno nei tre puntini in alto a destra del messaggio aperto.

Su Outlook.com e nell'app Outlook il comando è «Posta indesiderata», che sposta il messaggio nella cartella omonima, e «Blocca» aggiunge il mittente all'elenco bloccati. Le regole più fini — per oggetto, per dominio, per parole nel corpo — stanno nelle impostazioni della posta, sezione Regole: è lì che si costruisce un filtro che vale per un intero dominio invece che per un indirizzo solo.

Su Libero Mail, che in Italia resta diffusissima, il comando «Blocca mittente» sta nel menu del messaggio e i mittenti bloccati si gestiscono dalle impostazioni di sicurezza della casella.

Su iCloud puoi bloccare un contatto dalle impostazioni Mail e attivare lo spostamento automatico nel cestino, e su iPhone la stessa funzione è in Impostazioni, App, Mail, Mittenti bloccati.

Un consiglio che vale su tutti e quattro: non svuotare la cartella spam a mano ogni giorno. I filtri imparano dal contenuto di quella cartella, e i provider la svuotano da soli dopo trenta giorni. Il tempo speso a cancellare è tempo tolto a costruire una regola che cancella da sola.

Come si impedisce che l'indirizzo finisca nelle liste?

Il problema si risolve a monte: lo spam arriva perché l'indirizzo circola. La difesa vera non è filtrare meglio, è dare in giro un indirizzo diverso da quello che usi per la banca e per il lavoro, così quando una lista viene rivenduta o un sito viene bucato tu sai quale indirizzo è saltato e lo chiudi.

Il modo più veloce e gratuito è il segno più su Gmail: se il tuo indirizzo è nome@gmail.com, scrivendo nome+negozio@gmail.com la posta arriva lo stesso nella tua casella, ma il mittente resta identificabile e ci puoi costruire sopra un filtro. Alcuni moduli lo rifiutano, ed è il suo limite.

Su iPhone e Mac, l'abbonamento iCloud+ include «Nascondi la mia email», che genera un indirizzo casuale diverso per ogni servizio e lo inoltra alla tua casella: si spegne il singolo alias e quel mittente non ti raggiunge più, senza toccare nient'altro.

La soluzione più solida, se l'indirizzo ti serve anche per lavoro, è una casella su un dominio tuo: registrato il dominio, crei alias diversi per ogni servizio e ne bruci uno quando comincia a ricevere spam. Il servizio email con dominio di Aruba parte da cinque caselle con alias inclusi, e l'opzione a caselle illimitate toglie il tetto agli alias.

Vale anche la regola più noiosa e più efficace: l'indirizzo principale non si scrive mai in chiaro su una pagina pubblica, né in un annuncio, né in un profilo, né in un commento. I raccoglitori automatici leggono esattamente quello.

Che cosa si fa se hai cliccato un link o aperto un allegato?

La prima mossa non è l'antivirus, è la password. Se hai inserito le credenziali in una pagina arrivata da una mail, cambia subito la password di quel servizio e di ogni altro servizio dove usavi la stessa, e attiva l'autenticazione a due fattori dove esiste: è quella che regge anche quando la password è già in mano a qualcun altro.

La seconda mossa è quella che quasi nessuno fa e che serve a scoprire se qualcuno è già entrato: controlla le regole e gli inoltri automatici della tua casella. Chi prende il controllo di un account di posta crea quasi sempre una regola che inoltra o cancella in silenzio i messaggi della banca, così tu non vedi le notifiche. La trovi nelle impostazioni: su Gmail in «Filtri e indirizzi bloccati» e «Inoltro», su Outlook nella sezione Regole.

La terza è la scansione, e serve soprattutto se hai aperto un allegato: un documento con macro o un archivio compresso possono installare un programma che resta in ascolto. Una licenza antivirus con protezione in tempo reale costa meno di una serata al ristorante e copre più dispositivi con la stessa chiave.

Se ci sono di mezzo soldi già usciti — un bonifico, una carta inserita — la prima telefonata è alla banca per il blocco e l'eventuale storno, e va fatta prima di qualunque altra cosa.

A chi si segnala lo spam e il phishing in Italia?

Per lo spam pubblicitario l'autorità è il Garante per la protezione dei dati personali, e lo strumento è il reclamo, che è gratuito. Si presenta con il modulo sul sito del Garante privacy, via PEC all'indirizzo garante@pec.gpdp.it oppure per raccomandata. Il reclamo si usa quando hai già chiesto al mittente di smettere e non è successo niente, o quando la risposta non ti ha soddisfatto.

Il diritto che stai esercitando ha un nome: opposizione al trattamento, articolo 21 del GDPR. Sul marketing diretto il paragrafo 2 non lascia margini di valutazione al titolare: opposto il trattamento, gli invii devono cessare. Non serve motivare la richiesta e non serve un avvocato — basta una mail scritta chiaramente al titolare, conservata.

Per il phishing il canale è la Polizia Postale, attraverso il Commissariato di P.S. online: la segnalazione si fa dal sito e l'email sospetta si può inoltrare a commissariatodips@poliziadistato.it. Qui c'è però una cosa da sapere prima di perdere tempo: la denuncia vera e propria non si presenta più online. La segnalazione sì, la denuncia si fa di persona in un ufficio della Polizia Postale o in un commissariato.

Vale la pena distinguere i due passaggi, perché confonderli è il motivo per cui molte persone credono di aver denunciato e non hanno denunciato: la segnalazione serve a far conoscere la campagna e a farla fermare, la denuncia serve quando c'è un danno tuo da perseguire.

Quali sono le domande frequenti sulle email indesiderate?

Bloccare un mittente è la stessa cosa che segnalarlo come spam?

No, e la differenza conta. Il blocco è una regola locale su un indirizzo preciso e protegge solo la tua casella; la segnalazione manda un segnale al filtro del provider, che confronta le segnalazioni di tutti e sopra una certa soglia smette di recapitare quel mittente a chiunque. Contro una campagna di spam, che cambia indirizzo a ogni invio, il blocco non produce quasi nessun effetto.

È pericoloso cliccare su «annulla iscrizione»?

Dipende da chi ha mandato il messaggio. Su un mittente che riconosci è la strada giusta e oggi funziona: dal 1° febbraio 2024 chi invia più di 5.000 messaggi al giorno agli account Gmail deve offrire l'annullamento con un solo clic e tenere il tasso di spam segnalato sotto lo 0,3%. Su un mittente sconosciuto no: il clic conferma che l'indirizzo è attivo e ne fa arrivare di più.

Perché ricevo email che sembrano spedite dal mio stesso indirizzo?

Perché l'indirizzo del mittente è un dato scritto dentro il messaggio e chiunque può falsificarlo. Non significa che il tuo account sia stato violato, e bloccare quell'indirizzo bloccherebbe te stesso. Si segnala e si cancella. Se il messaggio contiene una tua password vera, allora quella password è finita in una fuga di dati e va cambiata ovunque la usavi.

Conviene svuotare a mano la cartella della posta indesiderata?

No. I provider la svuotano da soli dopo trenta giorni e il filtro impara proprio da quello che c'è dentro. Il tempo speso a cancellare messaggio per messaggio è tolto alla cosa che li ferma davvero, cioè costruire una regola sul dominio del mittente o segnalare in modo che il filtro migliori.

A chi si segnala una email di spam pubblicitario in Italia?

Al Garante per la protezione dei dati personali, con un reclamo gratuito che si presenta dal modulo sul sito garanteprivacy.it, via PEC a garante@pec.gpdp.it o per raccomandata. Prima conviene esercitare l'opposizione prevista dall'articolo 21 del GDPR scrivendo direttamente al mittente: sul marketing diretto l'opposizione non è discutibile e gli invii devono cessare.

Posso denunciare online una email di phishing?

Puoi segnalarla online al Commissariato di P.S. online della Polizia Postale, anche inoltrando il messaggio a commissariatodips@poliziadistato.it, ma la denuncia vera e propria non si presenta più via internet: va fatta di persona in un ufficio della Polizia Postale o in un commissariato. La segnalazione serve a far fermare la campagna, la denuncia serve quando hai subito un danno.