Avviso ufficiale: tentativi di impersonificazione AI-driven a mio nome

Comunicazione di sicurezza pubblica — 28 maggio 2026.

In data odierna ho rilevato una campagna di impersonificazione condotta da soggetti ignoti mediante l’utilizzo di agenti di intelligenza artificiale, che inviano email fraudolente a società, professionisti e contatti commerciali apparentemente a mio nome, richiedendo pagamenti, bonifici, modifiche di coordinate IBAN o invio di dati personali.

Tali comunicazioni non provengono da me e non sono in alcun modo autorizzate.

Disclaimer ufficiale time-stamped

Il disclaimer formale completo, con riferimenti normativi (Artt. 494, 640, 640-ter c.p. + GDPR Artt. 33-34), versione bilingue italiano/inglese, è pubblicato e archiviato indipendentemente su Internet Archive Wayback Machine all’indirizzo:

👉 https://mattiacalastri.com/impersonification-disclaimer.html

Canali ufficiali di comunicazione

Le uniche comunicazioni autentiche provenienti da me transitano esclusivamente da:

• [email protected]
• [email protected]
• PEC [email protected]

Entrambi i domini ufficiali (mattiacalastri.com e digitalastra.it) sono configurati con DMARC reject strict + SPF hard fail + DKIM. Ne consegue che è tecnicamente impossibile falsificare direttamente mittenti su questi domini verso un provider email moderno (Gmail, Microsoft 365, Outlook, Workspace). Qualunque comunicazione che simuli il mio nome ma provenga da un dominio diverso è fraudolenta per definizione.

Cosa NON faccio mai

Per agevolare il riconoscimento delle email fraudolente, dichiaro che non contatterò mai aziende, clienti o privati con:

• Richieste di bonifico urgente, anticipo, pagamento immediato o cambio coordinate IBAN
• Richieste di credenziali, password, OTP o codici 2FA
• Allegati eseguibili o link a portali di pagamento sconosciuti
• Richieste di buoni regalo, gift card, criptovalute o ricariche
• Comunicazioni di “emergenza” che impongono pagamento o azione entro poche ore
• Richieste di trasferimento di dati personali di clienti o dipendenti

Come verificare l’autenticità di una comunicazione sospetta

1. Non cliccare alcun link e non aprire alcun allegato nell’email sospetta.
2. Verifica il mittente reale negli header email (campi Received-SPF, DKIM-Signature, Authentication-Results). Se non risultano PASS per i domini ufficiali, l’email non proviene da me.
3. Contattami su un canale già verificato (WhatsApp, telefono, email diretta). Non rispondere mai all’email sospetta direttamente.
4. Conserva l’email integrale con header completi come evidenza. Non eliminarla.
5. Segnala l’evento al Commissariato di P.S. Online (Polizia Postale).

Iniziative intraprese

• Pubblicazione del disclaimer ufficiale (questo documento).
• Notifica diretta multicanale ai contatti professionali noti.
• Conservazione integrale delle evidenze tecniche (file .eml con header, log, screenshot, URL look-alike) ai fini probatori ex art. 234-bis c.p.p.
• Deposito di denuncia-querela presso la Polizia Postale e delle Comunicazioni.
• Notifica al Garante per la Protezione dei Dati Personali ex Artt. 33-34 GDPR, ove applicabile.
• Procedura di takedown nei confronti dei domini look-alike eventualmente identificati.

Trasparenza come difesa

Sto rendendo pubblico l’incidente perché la trasparenza è la prima linea di difesa contro l’impersonificazione AI-driven. Più contatti conoscono i miei canali autentici e le mie modalità di comunicazione, meno efficace risulterà qualunque tentativo di sostituzione di persona.

Grazie a chiunque vorrà segnalarmi anomalie o tentativi sospetti via uno dei canali ufficiali sopra elencati.

Mattia Calastri
Founder, Astra Digital Marketing