Il subscription bombing può causare parecchie grane quando una rete di spambot decide di inondare un sistema con richieste di iscrizione fraudolente: questo tipo di abuso, rilevato in forma massiva a partire dal 2016, come testimonia SpamHaus, sta diventando sempre più diffuso.

Ma andiamo con ordine e vediamo in cosa consiste l'attacco, perché viene fatto, quali conseguenze può portare, come ci si può difendere.

Il  24 ottobre Mailchimp ha fatto un annuncio che ha scosso il mondo dell'email marketing, tanto da far pensare ad un qualche "scherzo di Halloween": a partire dal 31 ottobre, tutti i form di iscrizione degli account Mailchimp sono passati dal sistema dal Confirmed Opt-in a quello del Single Opt-in.

Ricordiamo brevemente in cosa consistono questi due metodi di raccolta iscrizioni: in sostanza il Confirmed Opt-in (chiamato anche Double Opt-in) prevede che, al momento dell'iscrizione tramite form, una email venga inviata in automatico all'indirizzo inserito. L'email contiene un link univoco di che il destinatario dovrà cliccare per confermare l'iscrizione stessa.

Questa procedura consente di verificare la correttezza dell'indirizzo immesso e di evitare operazioni maliziose, come l'inserimento di indirizzi di spam-trap o l'attivazione massiva di indirizzi inseriti da bot. Nei fatti è il metodo di iscrizione consigliato da tutti gli esperti: se da un lato rende un po' più laboriosa la procedura di iscrizione, dall'altro ci mette al riparo da tutta una serie di problemi di deliverability che possono verificarsi utilizzando procedure meno stringenti.

Il primo passo per un buon email marketing è la costruzione della lista. 

Questo implica sicuramente un approccio consapevole e una strategia precisa nella raccolta delle iscrizioni. Si è più volte detto che rendere snella e semplice la procedura d'iscrizione è uno dei passi fondamentali, onde evitare di scoraggiare i nostri potenziali lettori: in questo ambito molto spesso il double opt-in (detto anche confirmed opt-in) è visto come un ostacolo, come un di più in fondo evitabile.

La procedura di iscrizione con confirmed opt-in prevede che l'utente che si è appena iscritto riceva nella sua casella email una missiva con un link univoco da cliccare per confermare l'iscrizione stessa. 

In alcuni stati questa procedura è addirittura obbligatoria per legge, in altri fortemente consigliata, mentre negli Stati Uniti d'America ad esempio è prassi molto comune l'iscrizione Single Opt-In, senza dunque conferma. 

In realtà il Single Opt-In può rilevarsi molto pericoloso: sostanzialmente non vi è alcun filtro né verifica e l'indirizzo immesso finisce direttamente dentro alla nostra lista.