Falso allarme Search Console: già nel 2024 inviò notifiche errate per giorni, difetto non risolto.
Questa mattina, mentre analizzi le performance di una campagna, arriva l’email: “Nuovo proprietario aggiunto a Search Console”. Il primo istinto è controllare gli accessi, cambiare password, pensare a un account compromesso. Poi scopri che il “nuovo” proprietario è un collaboratore che avevi autorizzato anni fa. Non è un attacco, è un bug di Google. Le email di notifica inviate questa mattina da Google Search Console segnalavano come nuovi proprietari utenti che erano in realtà già esistenti. Google ha confermato che si trattava di un bug: nessun allarme di sicurezza, solo un falso positivo diffuso.
Nuovo proprietario? No, è il collega di anni fa
L’episodio di oggi non è passato inosservato tra chi gestisce proprietà su Google Search Console, lo strumento con cui si monitora il posizionamento organico e l’indicizzazione di un sito. Alcuni utenti hanno ricevuto più di una ventina di notifiche di “nuovi proprietari” nel giro di poche ore: ogni singolo avviso era sbagliato, perché tutti gli account segnalati erano proprietari già esistenti e autorizzati. Nella pratica, la notifica che dovrebbe segnalare un’aggiunta alla struttura dei proprietari ha ripetuto in loop informazioni vecchie.
Il problema non è il volume di email inutili. È il cortocircuito che si crea tra un segnale di sicurezza e la sua affidabilità.
Il bug che si ripete: “nuovo” significa “vecchio”
Chi pensasse a un incidente isolato si sbaglia. Un bug ricorrente di Google Search Console ri-invia notifiche di “nuovo proprietario” per utenti aggiunti anni prima, in un arco temporale che va dal 2021 al 2025. Nel luglio 2024 era già successa la stessa cosa: Search Console aveva inviato le medesime false notifiche con il codice messaggio WNC-627102, ripetutamente, per utenti aggiunti anni prima. Un difetto già noto, che evidentemente non è stato risolto in via definitiva.
Il punto non è il fastidio della casella email piena. Il punto è che un canale progettato per segnalare una modifica della struttura dei proprietari — potenzialmente una compromissione — manda segnali falsi con regolarità. E quando un allarme genera falsi positivi ricorrenti, smette di essere un allarme: diventa rumore di fondo.
Quando il “nuovo proprietario” non è un bug: il rischio vero
La domanda non è teorica: il bug ricorrente ha eroso la fiducia proprio nel canale che dovrebbe segnalare un’intrusione. Per chi gestisce proprietà Search Console, l’affidabilità delle notifiche proprietario ha un peso operativo concreto, perché l’accesso come proprietario non è un dettaglio amministrativo: è una leva di controllo sul sito.
La documentazione ufficiale di Google è chiara: un hacker che compromette un sito spesso si aggiunge come proprietario della proprietà in Search Console per manipolare impostazioni come il geotargeting o la sitemap. Non per vandalismo: per aumentare i profitti pilotando il sito verso mercati o configurazioni su cui monetizzare.
Il precedente è noto e documentato. Nel 2015 Sucuri ha documentato SEO black-hat che si aggiungevano come proprietari di siti hackerati. La tecnica non è teorica, è prassi consolidata nel lato oscuro della SEO. La notifica di “nuovo proprietario” è l’allarme pensato per intercettarla.
Ma cosa succede quando quell’allarme spara venti volte al mese senza motivo? Succede che il destinatario si abitua. Inizia a filtrare mentalmente gli avvisi, a non prestare più attenzione. E il rischio vero non è il falso positivo: è il falso negativo travestito da falso positivo. Il giorno in cui l’email segnala davvero un hacker che si è aggiunto come proprietario, chi gestisce il sito potrebbe classificarla come “il solito bug” e archiviarla. È esattamente lo scenario che il black-hat spera di ottenere.
Per chi gestisce proprietà Search Console, cambia il protocollo operativo. Ogni notifica di “nuovo proprietario” va verificata manualmente: incrociare l’elenco proprietari, controllare la cronologia delle modifiche, confermare che ogni nome corrisponda a un accesso autorizzato e ancora in essere. Non bastano più due secondi di lettura: serve una verifica attiva, ripetuta, senza eccezioni.
La notifica di “nuovo proprietario” non è più una garanzia. Per chi gestisce proprietà Search Console, ogni email va verificata incrociando l’elenco proprietari e la cronologia, perché il bug ricorrente ha reso insicuro un canale che dovrebbe essere un allarme. Non si tratta di ignorare l’avviso, ma di smettere di fidarsi ciecamente: il costo di un falso negativo è un sito manipolato, il costo di un falso positivo è tempo perso. La vera metrica è la capacità di distinguere i due.
