Premessa: siamo uno studio di avvocati e trattiamo esclusivamente casi di truffe online. Se vuoi essere aiutato puoi contattarci compilando la richiesta nel form che trovi in fondo a questo articolo.
Abbiamo già trattato questo caso e possiamo aiutare chi è caduto nella medesima trappola. horstman-group.com è una truffa, e dal registro dei domini abbiamo ricavato due dati che vale la pena leggere con attenzione: il tempo in cui è stato costruito e i fornitori che sono stati scelti.
Un nome che sembra un gruppo industriale
Il nome di horstman-group.com è costruito per evocare solidità: un cognome dal suono tedesco e la parola gruppo. È un'operazione classica, perché un cognome di famiglia suggerisce una storia, e un gruppo suggerisce dimensione.
Nelle pagine di horstman-group.com, naturalmente, non c'era nulla di tutto questo: nessuna denominazione sociale completa, nessuna partita IVA, nessuna sede, nessun numero di autorizzazione, nessuna autorità di vigilanza indicata. Offrire servizi di investimento a chi si trova in Italia senza autorizzazione è il reato di abusivismo finanziario previsto dall'articolo 166 del Testo Unico della Finanza, che si aggiunge alla truffa ed è autonomo rispetto a essa.
Due secondi
Abbiamo verificato i dati di registrazione di horstman-group.com nel novembre 2026. Il dominio è stato registrato il 4 marzo 2026 alle 13:05:05. La configurazione dei server di nomi risulta effettuata alle 13:05:07: due secondi dopo.
Due secondi non sono il tempo di una persona che compra un dominio, apre un pannello, incolla dei dati e salva. Sono il tempo di una procedura automatica, scritta prima, che viene lanciata su un nome appena acquistato. Vuol dire che horstman-group.com non è nato da un progetto: è stato stampato.
È un dettaglio di horstman-group.com che in una denuncia vale più di molte pagine, perché dimostra organizzazione: chi ha un sistema automatico per mettere in piedi un sito in due secondi non ne mette in piedi uno. Ne mette in piedi molti.
Il sito è morto, il dominio è vivo: è il momento giusto
Oggi horstman-group.com non risponde più: i server di nomi a cui è delegato non rispondono per quel dominio, quindi il sito non è raggiungibile. Ma la registrazione è ancora valida, fino a marzo 2027.
Questa differenza, che sembra tecnica, è forse l'informazione più utile di tutto l'articolo. Un dominio può trovarsi in tre stati diversi:
- attivo: il sito si apre, e si possono salvare le schermate;
- spento ma registrato: il sito non si apre, ma il nome risulta ancora intestato a qualcuno, che lo ha pagato e che è censito presso il registrar;
- cancellato: il nome non esiste più in nessun registro, e dopo un po' può essere ripreso da chiunque.
horstman-group.com si trova nel secondo stato, e il secondo stato è la finestra buona. Finché la registrazione è in vita, il registrar conserva i dati di chi ha registrato il dominio, l'indirizzo email usato, l'indirizzo di accesso e il metodo di pagamento con cui è stato pagato. Sono dati che l'autorità giudiziaria può chiedere, e che dopo la cancellazione diventano molto più difficili da recuperare.
Tradotto in pratica: se il sito su cui hai perso dei soldi non si apre più, non è tardi. È il momento in cui chiedere i dati del registrante serve di più.
I due fornitori, e un altro fascicolo
Su horstman-group.com c'è un secondo riscontro, e lo riportiamo con le cautele che merita.
horstman-group.com è stato registrato tramite un registrar con sede alle Bahamas, e i suoi server di nomi appartengono a un fornitore islandese che fa dell'anonimato del cliente il proprio argomento di vendita commerciale.
Sono gli stessi due fornitori — lo stesso registrar alle Bahamas e lo stesso host islandese — che abbiamo trovato su eccfinvestigators.com, il sito di finti investigatori del recupero fondi di cui ci siamo occupati in un fascicolo completamente diverso, con un'altra persona offesa. E in entrambi i casi la configurazione è stata fatta pochi secondi dopo la registrazione.
Qui però serve una precisazione che altrove non facciamo, e che è la differenza fra un indizio e un'illusione. I server di nomi di quel fornitore islandese sono condivisi fra tutti i suoi clienti: non sono assegnati a un singolo account, come avviene invece con la coppia di nomi che altri fornitori assegnano a ogni utente. Trovare gli stessi server, in questo caso, non dimostra che si tratti dello stesso account.
Cosa dimostra, allora? Dimostra una catena di fornitura comune: lo stesso registrar scelto per la giurisdizione, lo stesso host scelto per l'anonimato, la stessa automazione. È un indizio di ambiente, non di identità. Vale la pena scriverlo in entrambi i fascicoli — perché se l'autorità giudiziaria chiede i dati a quei due fornitori per un procedimento, ciò che torna può illuminare anche l'altro — ma non va presentato come una prova di collegamento. Preferiamo dirlo noi che sentirlo dire da un difensore.
AnyDesk sul telefono
Nel fascicolo horstman-group.com c'è un elemento che va isolato, perché è il più grave e il più sottovalutato: alla persona offesa è stato fatto installare AnyDesk sul telefono.
Si tratta di un programma di assistenza remota del tutto legittimo, usato ogni giorno da tecnici e aziende. Il problema non è il programma: è a chi ne consegni il controllo. Quando l'accesso remoto è su un telefono, chi sta dall'altra parte non vede soltanto lo schermo. Vede l'applicazione della banca, vede gli SMS con i codici di autorizzazione, vede la galleria delle fotografie — dove quasi tutti conservano l'immagine della carta d'identità — e vede la posta elettronica.
In quel momento le credenziali non contano più niente, perché l'operazione viene autorizzata dal tuo stesso dispositivo. Ed è il motivo per cui, in questi casi, cambiare la password non basta: va cambiato il dispositivo, o almeno riportato a zero, e va cambiato il numero. La persona offesa di questo fascicolo lo ha fatto — ha cambiato telefono e numero — e ha fatto la cosa giusta.
Sul piano penale si aggiungono due reati autonomi alla truffa: l'accesso abusivo a sistema informatico dell'articolo 615-ter e la frode informatica dell'articolo 640-ter del codice penale. Vanno indicati espressamente nella denuncia, perché sono il titolo su cui si chiedono i dati di accesso e i tabulati.
Il fascicolo
I versamenti verso horstman-group.com sono cominciati a dicembre 2025 e l'ultimo risale a giugno 2026, per un totale di circa 6.600 euro. La persona offesa ha depositato denuncia a gennaio 2026, quando la vicenda era ancora in corso: è la cosa migliore che si possa fare, e non è frequente.
Quello che è accaduto dopo merita un articolo a parte, e lo abbiamo scritto: dopo la piattaforma è arrivata una catena di finti avvocati e di una finta banca, con un dominio costruito per non avere nemmeno un sito, solo la posta elettronica. Lo trovi qui sotto, fra i casi analoghi.
Cosa fare subito
Se horstman-group.com non si apre più, non fermarti. Chiedi nella denuncia l'acquisizione dei dati del registrante presso il registrar, finché la registrazione è in vita: intestatario, email, indirizzi di accesso, metodo di pagamento.
Se hai installato un programma di assistenza remota, non limitarti alla password: cambia o reimposta il dispositivo, cambia il numero, e dichiara l'accaduto nella denuncia indicando gli articoli 615-ter e 640-ter.
Chiedi alla banca la tracciabilità completa dei bonifici: IBAN e intestatario di destinazione, banca ricevente, paese, data e ora. Per i bonifici in euro dopo il 9 ottobre 2025, anche l'esito della verifica del beneficiario.
Dichiara i documenti consegnati: carta d'identità, codice fiscale, bolletta, IBAN, estratto conto. L'estratto conto, in mano a loro, serve a sapere quanto hai.
Non pagare nessun finto recupero legato a horstman-group.com e non rispondere a chi si presenta come avvocato dopo la truffa: il nome di un avvocato si verifica in trenta secondi nell'albo pubblico del Consiglio Nazionale Forense.
Casi analoghi che abbiamo trattato
Lo schema di horstman-group.com si ripete con nomi diversi:
- eccfinvestigators.com: i finti investigatori del recupero fondi
- evolutiongruop.co: il nome scritto male e l'accesso remoto
- megachaint.com: 110.000 euro e tre ondate
- coinupy.com: il dominio che scade il 30 novembre 2026
- sharecreditsecuritieslimited.com: il clone di una società autorizzata
- mh6215.it: tre domini, due fascicoli, un solo account
Un'avvertenza che ci riguarda
Ci risulta che qualcuno stia telefonando a persone truffate usando il nome del nostro studio. Noi non chiamiamo mai di nostra iniziativa, non telefoniamo la sera o la notte, non usiamo numeri esteri e non chiediamo mai denaro per telefono. Se ricevi una chiamata di quel tipo, riaggancia e scrivici dal form di questo sito.
Se ti è successo, scrivici
Se hai investito su horstman-group.com, compila il form che trovi in fondo a questa pagina. Indica le date dei bonifici, gli importi, se hai installato un programma di assistenza remota e quali documenti hai consegnato.
E se il sito non si apre più: è esattamente il momento di muoversi, non la ragione per rinunciare. Leggiamo ogni richiesta e rispondiamo.
Hai bisogno di assistenza legale?
Raccontaci il tuo caso: valutazione gratuita e senza impegno.
