Perché tu vedi la truffa e chi controlla l’annuncio no: cos’è il cloaking

Aggiornato il 7 novembre 2026 · 3 min di lettura

In breve: molti annunci truffa superano il controllo perché la pagina non mostra la stessa cosa a tutti. Un programma decide in pochi decimi di secondo chi sei. Se sembri una vittima, vedi la notizia falsa con il personaggio famoso. Se sembri un revisore, un antivirus o un ricercatore, vedi un blog innocuo o un errore. Si chiama cloaking («occultamento») e spiega perché a volte segnali un sito e chi lo controlla non vede nulla.

Come decide chi sei

Quando clicchi sull’annuncio, la tua visita passa per un sistema intermedio che guarda vari dati: da quale Paese ti colleghi, con quale dispositivo e browser, da dove arrivi e se la tua connessione sembra quella di una società di sicurezza. In base a questo ti manda su un sito o su un altro.

Non serve una tecnologia strana. Di solito si usa software commerciale di misurazione pubblicitaria, lo stesso tipo di strumento che qualsiasi agenzia usa per distribuire il traffico. A marzo 2026 Confiant e Infoblox hanno pubblicato quattro mesi di ricerca sull’abuso di uno di questi programmi: 15.500 domini malevoli, circa 9.000 dei quali registrati apposta, con pagine pulite per chi sembrava un revisore. La categoria dominante era quella delle truffe sugli investimenti.

Trucchi documentati

• Un’anteprima che non è quella vera. Bitdefender ha analizzato 310 campagne su Meta a febbraio e marzo 2026, con più di 26.000 comparse di annunci. In Italia gli annunci mostravano come anteprima il sito di veri ristoranti di Firenze. Il sistema automatico vedeva un ristorante, la vittima finiva altrove.
• Misurare se leggi. Whalebone ha studiato a luglio 2026 più di 400 domini di falsi media. La pagina registrava fin dove scorrevi, quanto leggevi, se cambiavi scheda e in quale punto te ne andavi.
• Cambiare dominio senza sosta. Quando un dominio cade, ne entra un altro. Lo abbiamo visto in diretta: meno di 14 ore tra la sospensione di un dominio e il suo sostituto.

Quello che vediamo noi

I nostri dati sono coerenti con tutto questo, anche se non possiamo vedere la parte interna di quei sistemi.

• Indirizzi usa e getta. In 398 link di annunci ci sono 294 domini diversi. Una parte sembra generata da una macchina: serie di lettere e numeri senza senso. Meno della metà finisce in .com. Seguono .info, .top, .click e .pro.
• Link che rispondono «non trovato». Molti link dei video e dei blog promozionali danno errore se li apri direttamente, come abbiamo raccontato qui. Non possiamo assicurare che sia cloaking, perché può anche essere un link interrotto. Ma è quello che vedremmo se lo fosse e, per regola, non cerchiamo di ingannare quei sistemi perché ci mostrino di più.

Perché ti riguarda

1. Che il sito «non esista più» non significa che abbia chiuso. Se un tuo familiare ti mostra un link e a te compare un errore o una pagina normale, forse il sistema ti ha scartato: altro Paese, altro dispositivo, non arrivi dall’annuncio.

2. Salva le prove subito. Se vuoi denunciare, fai screenshot di ciò che vedi, con l’indirizzo in vista. La polizia o la piattaforma potrebbero non vedere la stessa cosa in seguito. Annota anche la data e come ci sei arrivato.

3. Segnala l’annuncio, non solo il sito. Usa l’opzione di segnalazione del social network direttamente dall’annuncio. Così la piattaforma lo identifica anche se la pagina è occultata.

4. Che un annuncio sia pubblicato non significa che sia stato verificato. Il controllo può aver visto tutt’altro.

5. Superare un’analisi di sicurezza non prova nulla. Un servizio di verifica dei siti può dire che la pagina è pulita perché gli hanno mostrato la versione pulita.

Se hai già lasciato i tuoi dati, segui la guida per le vittime.

Limiti

I numeri di Confiant, Infoblox, Bitdefender e Whalebone sono loro e si riferiscono ai loro campioni. Non abbiamo verificato dall’interno come decide ciascuno dei sistemi che compaiono nei nostri dati.