Non solo Bad Bunny: le truffe sui biglietti dei concerti e i limiti dell’enforcement online
Cosa insegna il caso dell’artista portoricano sull’efficacia (relativa) del Digital Services Act
Un caso emblematico: il falso sito di biglietteria che “prende in prestito” l’identità della label
A fine maggio 2026 Sony Music Entertainment Italy riceve le prime segnalazioni da parte di utenti che avevano acquistato biglietti per le date milanesi del tour di Bad Bunny sul sito dtmfitaly.com. Gli utenti si rivolgono direttamente alla società per una ragione precisa: tra le informazioni legali sul sito compaiono i dati di Sony Music, indicata come editore e responsabile del portale.
Si tratta naturalmente di una truffa. Il sito non ha alcun collegamento con la major discografica, non vende biglietti autentici e sfrutta l’usurpazione dell’identità di un soggetto noto e affidabile per conferire credibilità all’operazione. Un elemento aggrava ulteriormente il quadro: sulle stesse pagine vengono indicati come collaboratori del sito anche soggetti terzi del tutto estranei, alcuni dei quali invieranno formali diffide alla società - ignari, tuttavia, di essere anch’essi vittime dell’usurpazione.
Il fenomeno non è isolato né limitato al mercato italiano, poiché la medesima infrastruttura truffaldina replica lo schema in altri Paesi toccati dal tour: in Francia, ad esempio, opera il dominio dtmftour.com, dove come editore compare - con perfetta simmetria - la compagine francese di Sony Music. Si tratta di un’operazione strutturata, che adatta l’impersonificazione al mercato di destinazione.
L’amplificazione: pubblicità a pagamento e deepfake dell’artista
L’aspetto forse più insidioso del caso riguarda il canale di promozione: il truffatore non si limita infatti ad attendere il traffico organico, ma investe in campagne pubblicitarie su Meta veicolate attraverso un profilo falso riferito all’artista. A rendere le inserzioni particolarmente persuasive, l’impiego di video generati con intelligenza artificiale nei quali l’artista, in apparenza, invita personalmente gli utenti all’acquisto dei biglietti.
È la saldatura tra due fenomeni che il legislatore europeo ha già messo a fuoco in maniera separata: la pubblicità ingannevole veicolata da piattaforme di grandissime dimensioni e i contenuti sintetici che sfruttano l’immagine di persone reali. Quando i due fenomeni si combinano, l’efficacia della truffa cresce in modo esponenziale perché l’utente medio non dispone degli strumenti per riconoscere un deepfake ben confezionato, tanto meno all’interno di un formato - l’inserzione sponsorizzata - che la piattaforma stessa presenta come contenuto verificato e a pagamento.
La risposta di DcP: prova forense, notifiche agli intermediari, escalation
A inizio giugno il caso arriva sui nostri tavoli, e l’attività di contrasto viene avviata e condotta congiuntamente come DcP e come FPM - Federazione contro la Pirateria Musicale e Multimediale. Il primo passo è per noi imprescindibile in ogni attività di enforcement: l’acquisizione forense delle evidenze. Cristallizziamo le pagine web, le inserzioni pubblicitarie, i profili social e i contenuti sintetici secondo metodologie conformi allo standard ISO/IEC 27037 sull’identificazione, raccolta e conservazione delle prove digitali. Senza questa fase, ogni successiva iniziativa stragiudiziale o giudiziale poggerebbe su basi fragili: i contenuti illeciti online sono infatti per loro natura volatili, e la loro auspicata rimozione coincide con la distruzione della prova (da evitare).
Acquisite le evidenze, avviamo la campagna di notifiche verso l’intera filiera degli intermediari di cui il sito si avvale: il registrar del nome a dominio e l’hosting provider, che danno direttamente “spazio” al sito; Meta, sulle cui infrastrutture pubblicitarie corre la promozione; Google, che indicizza i contenuti nei risultati di ricerca. Le notifiche vengono formulate ai sensi dell’art. 16 del Regolamento (UE) 2022/2065 (Digital Services Act), che impone ai prestatori di servizi di hosting meccanismi di segnalazione e l’obbligo di trattare le notifiche “in modo tempestivo, diligente, non arbitrario e obiettivo”.
I riscontri concreti, però, tardano ad arrivare. Dopo vari solleciti rimasti senza esito, decidiamo di alzare il livello: le segnalazioni vengono reiterate da FPM nella qualità di segnalatore attendibile (Trusted Flagger) certificato da AGCOM ai sensi dell’art. 22 DSA. Lo status di Trusted Flagger dovrebbe garantire alle notifiche un trattamento prioritario e senza indebito ritardo: è lo strumento più qualificato che l’ordinamento europeo mette oggi a disposizione dei titolari dei diritti.
I risultati: parziali, tardivi, reversibili
L’escalation produce un primo effetto: il 22 giugno il registrar interrompe la risoluzione DNS del nome a dominio dtmfitaly.com e il sito cessa di funzionare, ma la vittoria dura meno di quarantotto ore. Il 24 giugno viene registrato - sempre attraverso lo stesso registrar - un nuovo dominio, debitirarmasfotositalia.com, che replica integralmente l’operazione. Si riparte da capo: nuova acquisizione forense, nuove notifiche in qualità di Trusted Flagger.
A questo punto, però, il quadro peggiora. Il registrar cessa di rispondere e chiude il canale di comunicazione via email, rimandando a un webform per le segnalazioni. Inoltriamo comunque la segnalazione lo stesso 24 giugno attraverso il canale indicato. L’hosting provider, dal canto suo, non ha mai fornito riscontro ad alcuna delle notifiche ricevute, dalla prima all’ultima. Meta rimuove il profilo falso e le campagne pubblicitarie collegate soltanto il 13 luglio, dopo i nostri ripetuti solleciti: oltre un mese dalle prime notifiche, quasi tre settimane dalla ripartenza della truffa sul nuovo dominio.
Al momento in cui scriviamo, il sito debitirarmasfotositalia.com è ancora online.
La contromisura che ha funzionato dal primo giorno: l’informazione
C’è un elemento del caso che merita di essere valorizzato. Fin dal primo giorno, in parallelo alle attività di enforcement Sony Music ha attivato una campagna informativa attraverso tutti i propri canali ufficiali - sito istituzionale e social - con un avviso tuttora consultabile: la società dichiara che i due siti non sono in alcun modo collegati o autorizzati, che non svolge tramite essi alcuna attività di vendita di biglietti o merchandising, invitando a non effettuare acquisti e indirizzando chi avesse già pagato o comunicato dati personali a rivolgersi alle forze dell’ordine.
È una misura che non rimuove l’illecito, ma ne riduce la superficie di danno: agisce sull’anello che la filiera dell’enforcement fatica a proteggere in tempi utili, ovvero l’utente. E, non secondariamente, documenta la diligenza del soggetto la cui identità è stata usurpata - un profilo che può assumere rilievo anche in eventuali contenziosi successivi.
Le domande che il caso ci impone
L’esperienza descritta non è una storia a lieto fine, ed è proprio per questo che va raccontata: solleva infatti almeno quattro interrogativi che riguardano l’effettività, ma non l’esistenza, degli strumenti di tutela online.
Quanto vale, in concreto, lo status di Trusted Flagger? L’art. 22 DSA impone alle piattaforme di trattare le notifiche dei segnalatori attendibili “in via prioritaria e senza indebito ritardo”, ma il Regolamento non fissa termini perentori né prevede conseguenze automatiche per il mancato riscontro. Nel caso descritto, la qualifica ha probabilmente contribuito allo sblocco della prima sospensione DNS; non ha impedito, però, che il secondo dominio restasse operativo per settimane, né che un intermediario chiudesse unilateralmente il canale di dialogo. Se lo strumento più qualificato dell’ordinamento europeo produce questi risultati nelle mani di un segnalatore certificato, occorre chiedersi quale sia il margine di tutela effettiva per chi quello status non lo possiede.
Chi vigila sugli anelli deboli della filiera? Il DSA disegna obblighi differenziati per l’intera catena degli intermediari, e i registrar rientrano a pieno titolo tra i prestatori di servizi intermediari (come chiarito dal considerando 28 del Regolamento). Eppure il caso mostra un intermediario che prima interviene, poi consente - a distanza di due giorni - la registrazione di un dominio fotocopia da parte del medesimo soggetto, infine si rende irreperibile. L’art. 12 DSA impone ai prestatori di designare un punto di contatto che consenta una comunicazione “rapida, diretta ed efficiente”: la sostituzione di un canale email attivo con un webform privo di riscontri si concilia difficilmente con questa previsione. Sul fronte della verifica dei dati di registrazione dei domini, peraltro, l’art. 28 della Direttiva (UE) 2022/2555 (NIS2) impone oggi ai registrar obblighi di accuratezza e verifica dei dati dei registranti che, se effettivamente applicati, renderebbero più difficile la registrazione seriale di domini truffaldini da parte dello stesso attore.
I tempi delle piattaforme sono compatibili con i tempi delle truffe? Una campagna di vendita fraudolenta di biglietti ha un ciclo di vita breve e intenso: si esaurisce con l’avvicinarsi dell’evento o con la saturazione del bacino di vittime. Trentanove giorni tra le prime segnalazioni e la rimozione delle inserzioni (su una piattaforma designata come VLOP, tenuta ai sensi degli artt. 34 e 35 DSA a valutare e mitigare i rischi sistemici, inclusi quelli connessi alla pubblicità) significano, in concreto, che la truffa ha potuto operare a pieno regime per l’intera finestra utile. Il tema dei contenuti sintetici aggrava il quadro: l’impiego di deepfake dell’artista nelle inserzioni a pagamento interroga direttamente i presidi di verifica che le piattaforme applicano - o dovrebbero applicare - ai contenuti pubblicitari, che per definizione transitano da un processo di approvazione commerciale.
Che ruolo residua per la tutela penale e per l’utente? Sul piano interno, condotte come quelle descritte integrano astrattamente fattispecie note: la truffa (art. 640 c.p.), la sostituzione di persona (art. 494 c.p.), oltre ai profili di illecito trattamento di dati personali. Ma la giustizia penale opera su tempi ancora meno compatibili con la volatilità del fenomeno, e spesso su autori difficilmente identificabili o collocati fuori giurisdizione. Resta allora centrale - ed è la lezione forse più concreta del caso - il presidio informativo: la capacità del soggetto impersonificato di occupare rapidamente lo spazio comunicativo, avvisare il pubblico e orientare le vittime verso le autorità.
Conclusioni
Il Digital Services Act ha costruito un’architettura di responsabilizzazione degli intermediari che, sulla carta, copre l’intera filiera: meccanismi di notifica, corsie preferenziali per i segnalatori qualificati, obblighi rafforzati per le grandi piattaforme, punti di contatto obbligatori. Il caso descritto dimostra che questa architettura funziona in modo disomogeneo: alcuni intermediari rispondono, tardi; altri non rispondono affatto, senza che ciò produca almeno nell’immediato conseguenze percepibili.
La distanza tra il disegno normativo e la sua attuazione si misura in giorni di operatività di un sito truffaldino. Ed è una distanza che oggi viene colmata, più che dagli strumenti di enforcement in sé, dalla combinazione di tre fattori che restano in capo alla parte lesa e a chi la assiste: la tempestività dell’acquisizione forense, la pressione sistematica e documentata sull’intera filiera degli intermediari e la comunicazione diretta al pubblico. È il metodo che, come DcP e come FPM, applichiamo in ogni intervento, nella consapevolezza che la tutela effettiva oggi è il risultato di un presidio continuo e non di un singolo strumento.
Finché sarà così, la domanda non è se il DSA sia uno strumento utile - e lo è - ma se i meccanismi di vigilanza e sanzione affidati ai Coordinatori dei servizi digitali e alla Commissione europea sapranno trasformare gli obblighi di diligenza degli intermediari da enunciati in prassi.
Riferimenti normativi e tecnici: Regolamento (UE) 2022/2065 (Digital Services Act), artt. 12, 16, 22, 26, 34-35; Direttiva (UE) 2022/2555 (NIS2), art. 28; Codice penale, artt. 494 e 640; ISO/IEC 27037:2012.
L’avviso informativo di Sony Music Entertainment Italy S.p.A. è consultabile su www.sonymusic.it e sui canali social ufficiali della società.
