Punto SynoPower Club:<\/strong> Ho lavorato per anni nell'assistenza clienti di Synology e la preoccupazione pi\u00f9 comune che sentivo riguardo all'hosting autonomo era che una sola notte storta potesse mandare in tilt il sito. Questa volta non \u00e8 successo. Il NAS ha continuato a servire le pagine, il negozio ha continuato ad accettare ordini e l'unico sintomo \u00e8 stato la presenza di una decina di righe nei dati inseriti nei moduli. La differenza \u00e8 stata data dal fatto di avere tutto in un unico posto: i dati inseriti nei moduli, il registro delle email e gli indirizzi IP dei visitatori risiedevano tutti sullo stesso server di Synology, quindi rintracciare l'autore dell'attacco informatico \u00e8 stato possibile in una sola volta, anzich\u00e9 dover aprire tre ticket di assistenza a tre diverse societ\u00e0 di hosting.<\/p>\n<\/blockquote>\n\n\n\n L'email bombing non richiede di violare alcun sistema. L'aggressore prende l'indirizzo email della vittima e lo inserisce in quanti pi\u00f9 moduli pubblici possibile: iscrizioni a newsletter, registrazioni di account e moduli di contatto che inviano una copia del messaggio al mittente. Ogni sito web invia quindi alla vittima un'email autentica e firmata correttamente. Nessuno di questi messaggi \u00e8 considerato spam in senso tecnico, quindi eludono i filtri e si accumulano nella casella di posta.<\/p>\n\n\n\n L'obiettivo raramente \u00e8 l'inondazione di email in s\u00e9. Microsoft Threat Intelligence ha documentato gruppi che utilizzano il bombardamento di email come primo passo, per poi telefonare alla vittima fingendosi l'assistenza IT che risolver\u00e0 il problema dello spam. Altri aggressori sfruttano l'inondazione per nascondere un avviso bancario, una conferma d'acquisto o una notifica di cambio password, mentre abusano di un account rubato.<\/p>\n\n\n\n I moduli di contatto sono attraenti perch\u00e9 molti di essi rispondono automaticamente all'indirizzo email inserito nel campo apposito. Per un malintenzionato, questo rappresenta un servizio di inoltro email gratuito e anonimo con un mittente apparentemente affidabile. Per il proprietario del sito, significa che il suo dominio invia email a persone che non le hanno richieste, e alcune di queste potrebbero segnalarle come spam.<\/p>\n\n\n\n Una volta confrontate le richieste, lo schema \u00e8 apparso evidente. Tra la sera del 24 settembre e la mattina successiva, il nostro modulo di supporto ha ricevuto dieci richieste, a distanza di una o due ore l'una dall'altra. Questa lentezza \u00e8 intenzionale: il flusso di richieste rimane al di sotto della maggior parte dei limiti di traffico e appare come un normale traffico.<\/p>\n\n\n\n Nessuna di queste persone aveva mai visitato SynoPower Club. La nostra email di conferma, con un oggetto come SynoPower #1234: Richiesta di informazioni sul prodotto, \u00e8 stata inviata a ciascuna di loro. Se hai ricevuto uno di questi messaggi e non ci hai mai contattato, sei stato vittima di email bombing: il tuo indirizzo \u00e8 stato inserito da qualcun altro. Non \u00e8 stato creato alcun account per te e non ti \u00e8 stato addebitato nulla. La nostra guida su Come capire se un'email proviene davvero da SynoPower Club<\/a> Questo elenco mostra tutti gli indirizzi da cui inviamo le spedizioni.<\/p>\n\n\n\n Il nostro modulo aveva gi\u00e0 attivate due difese antispam, eppure l'attacco di email \u00e8 riuscito a superarle: Cloudflare Turnstile e un honeypot nascosto. Entrambi hanno svolto il loro compito, ma nessuno dei due era stato progettato per una situazione del genere.<\/p>\n\n\n\n Una honeypot intercetta gli script che compilano tutti i campi della pagina, incluso uno nascosto agli utenti. Questi tentativi provenivano da un browser reale che compilava solo i campi visibili, quindi la trappola \u00e8 rimasta vuota. Turnstile verifica se il visitatore si comporta come un vero browser e come una persona reale. Ognuna delle dieci voci presentava un token Turnstile valido, il che ci indica che il mittente stava utilizzando un browser autentico a un ritmo umano, e non un semplice script.<\/p>\n\n\n\n Questo \u00e8 il limite effettivo dei controlli anti-bot contro il bombardamento di email. Rendono costoso l'abuso automatizzato di massa, ma un mittente paziente che invia un modulo all'ora tramite un normale browser appare esattamente come un cliente. Per fermarlo serve un segnale sulla provenienza della richiesta, non solo sul suo comportamento.<\/p>\n\n\n\n Poich\u00e9 l'intero stack \u00e8 in esecuzione su un unico sistema Synology, l'indagine non ha mai lasciato il NAS. Questi sono i quattro controlli che abbiamo eseguito, in ordine, e funzionano per qualsiasi sito WordPress ospitato in Container Manager o Web Station.<\/p>\n\n\n Apri l'elenco delle voci del tuo plugin per i moduli e ordinalo per data. Cerca nomi o messaggi casuali, argomenti ripetuti e un intervallo costante tra gli invii, quindi annota l'indirizzo IP associato a ciascuna voce.<\/p>\n<\/div>\n<\/div>\n Apri il registro di posta del tuo plugin SMTP, oppure il registro di consegna in Synology MailPlus Server, e cerca i numeri di voce. Questo ti mostrer\u00e0 se il tuo sito ha effettivamente inviato una conferma a ciascun indirizzo e se questa \u00e8 stata recapitata.<\/p>\n<\/div>\n<\/div>\n Scaricate l'elenco completo delle uscite del Tor Project e cercate ogni indirizzo IP presente nell'elenco. Nel nostro caso, tutti e dieci gli indirizzi erano nodi di uscita di Tor, mentre nessuno dei 199 indirizzi autentici registrati dal 2024 proveniva da un indirizzo presente in quell'elenco.<\/p>\n<\/div>\n<\/div>\n Assicurati che gli indirizzi IP presenti nei log appartengano ai visitatori e non a Cloudflare o al tuo proxy inverso. Se ogni voce mostra gli stessi pochi indirizzi, ripristina l'indirizzo IP originale del visitatore prima di trarre conclusioni.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n La soluzione al problema dell'invio massivo di email doveva soddisfare due condizioni: bloccare completamente il mittente e non creare disagi ai clienti che utilizzano il modulo per richiedere informazioni sulle licenze ogni settimana. Abbiamo optato per una modifica mirata.<\/p>\n\n\n\n Le richieste inviate tramite la rete Tor vengono ora rifiutate, per tutti i moduli presenti sul sito. Cloudflare contrassegna il traffico Tor con il codice paese speciale T1 e verifichiamo anche l'indirizzo IP del visitatore confrontandolo con l'elenco di uscita del progetto Tor, aggiornato quotidianamente. Pertanto, la regola rimane valida anche se una richiesta raggiunge il NAS senza passare attraverso Cloudflare. Chiunque venga rifiutato visualizzer\u00e0 un breve messaggio con il nostro indirizzo di supporto, in modo che un cliente che preferisce utilizzare Tor possa comunque contattarci via e-mail.<\/p>\n\n\n\n Le pagine di navigazione, di pagamento e dell'account rimangono invariate. La modifica si applica solo al momento dell'invio di un modulo, ovvero esattamente dove si verificava l'abuso.<\/p>\n\n\n\n La difesa pi\u00f9 efficace contro gli attacchi di email bombing tramite un modulo \u00e8 quella di interrompere l'invio di qualsiasi comunicazione all'indirizzo inserito. Se il modulo invia solo una notifica, un malintenzionato non ottiene nulla inserendo l'indirizzo di uno sconosciuto. Abbiamo valutato attentamente questa opzione.<\/p>\n\n\n\n Abbiamo scelto di mantenere la conferma. Molti dei nostri clienti ci scrivono perch\u00e9 una chiave di licenza non si \u00e8 attivata o un'e-mail relativa a un ordine \u00e8 finita nello spam, e una risposta immediata che confermi la ricezione del messaggio, con tanto di numero di ticket, riduce notevolmente il loro stress. Rimuoverla significherebbe penalizzare ogni singolo cliente per creare un disagio a un solo mittente.<\/p>\n\n\n\n Il compromesso \u00e8 chiaro, per\u00f2. Bloccare Tor chiude il percorso utilizzato da questo mittente, ma un attaccante determinato potrebbe passare a proxy ordinari. Se arrivano messaggi indesiderati da indirizzi non Tor, il passo successivo \u00e8 rendere la conferma facoltativa o disattivarla, e questa decisione dovrebbe essere inserita nella lista di controllo prima che si verifichi l'incidente, non durante il prossimo episodio.<\/p>\n\n\n\n Il quarto passaggio dell'indagine merita una sezione a parte, perch\u00e9 rappresenta la trappola pi\u00f9 comune quando un sito self-hosted subisce attacchi di email bombing o altri tipi di abuso. Una richiesta a SynoPower Club passa attraverso Cloudflare, poi attraverso il reverse proxy in Synology DSM, prima di raggiungere WordPress nel suo container. Senza una configurazione specifica, WordPress visualizza l'indirizzo dell'ultimo hop, quindi ogni inserimento di dati in un modulo, commento e ordine viene registrato con un IP di Cloudflare o del proxy.<\/p>\n\n\n\n Cloudflare trasmette l'indirizzo originale nell'intestazione CF-Connecting-IP e si pu\u00f2 configurare Apache in modo che consideri attendibile tale intestazione solo quando la richiesta proviene da Cloudflare o dal proprio proxy. Avevamo risolto questo problema solo pochi giorni prima per il controllo delle frodi sugli ordini e i risultati sono stati immediati: i dati inseriti nei moduli mostravano i veri indirizzi di uscita di Tor, il che ha reso lo schema evidente in pochi minuti.<\/p>\n\n\n\n Se utilizzi un NAS Synology dietro Cloudflare, verifica questa configurazione prima di averne bisogno. Invia una richiesta di prova dal tuo telefono utilizzando la connessione dati mobile e conferma che l'indirizzo IP memorizzato corrisponda a quello visualizzato dal telefono.<\/p>\n\n\n\n Un negozio che vende licenze Synology dovrebbe essere in grado di funzionare su Synology, e il nostro lo fa, completamente. Virtual Machine Manager<\/a> ospita l'istanza Virtual DSM che contiene il sito, Container Manager esegue WordPress e il suo database e Synology MailPlus<\/a> invia ogni conferma d'ordine, consegna della licenza e risposta al modulo.<\/p>\n\n\n\nCos'\u00e8 l'email bombing e perch\u00e9 i moduli di contatto sono un bersaglio<\/h2>\n\n\n\n
Come si \u00e8 manifestato il fenomeno dell'email bombing sul nostro negozio ospitato su Synology.<\/h2>\n\n\n\n
\n
![\"Invio](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Perch\u00e9 un tornello e una trappola per animali non l'hanno fermato<\/h2>\n\n\n\n
Tracciare un attacco di email bombing su un NAS Synology in 4 passaggi<\/h2>\n\n\n\n
Leggere le voci del modulo<\/h3>\n
Verifica chi ha ricevuto la posta<\/h3>\n
Confronta gli indirizzi IP con l'elenco di Tor<\/h3>\n
Conferma che gli indirizzi IP siano di visitatori reali<\/h3>\n
![\"Registro](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
Cosa abbiamo cambiato dopo l'indagine<\/h2>\n\n\n\n
Dovresti mantenere la risposta automatica dopo un'ondata di email indesiderate?<\/h2>\n\n\n\n
Ottenere il vero indirizzo IP del visitatore dietro Cloudflare e il proxy inverso Synology<\/h2>\n\n\n\n
Perch\u00e9 eseguiamo SynoPower Club su Synology<\/h2>\n\n\n\n
![\"Container](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")