--- id: CP-015 slug: typosquatting-combosquatting-domini-sosia lang: it title: Typosquatting e combosquatting description: Come un attaccante registra un dominio simile a quello di un marchio per rubare le vostre credenziali e come riconoscere l'indirizzo trappola. canonical_url: https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/ markdown_url: https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Typosquatting e combosquatting», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-005 schema: G1 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/ fr: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ en: https://startbrain.io/cyberpedia/en/articles/typosquatting-combosquatting-lookalike-domains/ de: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ es: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ nl: https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/ sources: - "n": 1 title: "Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1583/001/ accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/003/ accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Typosquatting e combosquatting Un nome di dominio è l'indirizzo leggibile di un sito, per esempio la parte che segue la «@» di un'email o che compare nella barra del browser. Un dominio si può acquistare e, in alcuni casi, ottenere gratuitamente [1]. A volte un attaccante ne sceglie uno simile a quello di un'azienda legittima: lettere sostituite da caratteri che somigliano agli originali (omoglifi) oppure un'estensione diversa, come .co al posto di .com [1]. I domini simili a un dominio legittimo possono servire a diffondere codice dannoso tramite la compromissione di un sito al passaggio dell'utente (drive-by compromise) [1]. ## In 30 secondi - Dove succede: in un'email, in un SMS o in un messaggio il cui indirizzo del mittente o il cui link imita un'azienda nota. L'indirizzo può essere molto vicino a quello vero, con alcuni caratteri modificati o tolti [2]. - Cosa vuole l'attaccante: portarvi su un sito falso per ottenere informazioni personali, spesso le credenziali di accesso [4]. - Il riflesso: leggere l'indirizzo per intero, non seguire il link ricevuto per fornire informazioni personali o finanziarie [2], aprire invece il servizio dai vostri preferiti (consiglio di Brain) e segnalare il messaggio. - Se è già successo: avvisare le persone competenti nell'organizzazione e cambiare subito le password inserite, insieme a quelle degli altri account in cui si usa la stessa password [2]. ## Domande dirette ### Che cos'è un dominio sosia? È un nome di dominio registrato per somigliare a quello di un'organizzazione reale. MITRE ATT&CK descrive domini simili a domini legittimi, ottenuti con omoglifi o con un'altra estensione [1]. La CISA descrive indirizzi del mittente che somigliano molto a quello di un'azienda affidabile, alterando o omettendo alcuni caratteri [2]. ### Che cos'è un omoglifo? È un carattere che somiglia visivamente a un altro. MITRE cita gli «IDN homograph attacks»: l'attaccante usa nomi di dominio internazionalizzati e altri alfabeti (cirillico, greco) per creare domini visivamente simili all'originale [1]. I link in apparenza innocui che sfruttano caratteri speciali per imitare un sito legittimo rientrano nella stessa tecnica [3]. ### Un lucchetto nel browser dimostra che il sito è quello giusto? La fonte CISA citata qui consiglia di cercare un indirizzo che inizia con «https» e un lucchetto chiuso, segni che le informazioni saranno cifrate [2]. Parla di cifratura, non dell'identità del sito: lo stesso testo chiede di controllare anche l'ortografia dell'indirizzo e il dominio [2]. Il lucchetto non sostituisce quindi la lettura dell'indirizzo. ### Un'email con un link sosia può anche installare un software dannoso? Sì. MITRE indica che il typosquatting può servire a consegnare codice dannoso durante la visita di un sito [1]. Il link può anche condurre a una pagina che propone di scaricare un file [3]. ### Che cosa fare se penso di aver cliccato? Se informazioni dell'organizzazione possono essere state rivelate, la CISA consiglia di avvisare le persone interessate, tra cui gli amministratori di rete, che potranno sorvegliare le attività insolite [2]. Le password rivelate vanno cambiate subito [2]. ## Nei panni dell'attaccante L'attaccante comincia scegliendo un nome vicino a quello del bersaglio. MITRE descrive diverse varianti: omoglifi, altra estensione, alfabeti diversi [1]. Il gruppo EXOTIC LILY, per esempio, ha impersonato organizzazioni cambiando l'estensione in «.us», «.co» o «.biz» [1]. Poi acquista il dominio. Ogni registrar tiene una banca dati pubblica che mostra i recapiti di ogni dominio registrato. I servizi di WHOIS privato mostrano invece le proprie informazioni, nascondendo il titolare. L'attaccante può anche variare i dati di registrazione e i registrar per ostacolare il tracciamento della sua infrastruttura [1]. Alcuni domini sono monouso: MITRE osserva che gli indirizzi possono essere generati dinamicamente per servire un contenuto dannoso a una sola vittima, anche con nomi di dominio usati una volta sola [1]. Altri attaccanti rilevano domini scaduti, che possono essere già autorizzati o ritenuti affidabili dai difensori in base alla loro storia [1]. Resta il sito vero e proprio. Il sito preso di mira può essere un clone di un portale di accesso legittimo, o somigliargli abbastanza da riportare nel proprio indirizzo elementi del sito reale [4]. Il messaggio che lo accompagna cerca di far cliccare, a volte con più messaggi dall'aria urgente [4]. ## Cosa si vede sullo schermo Il messaggio sembra provenire da un ente noto. La CISA elenca degli indizi: indirizzo del mittente vicino a un indirizzo reale, formula di apertura generica del tipo «Dear Valued Customer», firma senza recapiti, errori di ortografia e impaginazione incoerente [2]. Il link è il punto debole. Se passate il cursore sopra il link e l'indirizzo mostrato non corrisponde al testo, il link può essere falsificato. Un sito dannoso può somigliare all'originale, ma il suo indirizzo usa un'ortografia diversa o un altro dominio, per esempio .com al posto di .net [2]. Anche un servizio di abbreviazione degli indirizzi può nascondere la destinazione reale [2]. La pagina di accesso può essere una copia del portale legittimo: le informazioni inserite nei moduli vengono raccolte e inviate all'attaccante [4]. Con alcuni kit di phishing (EvilProxy, Evilginx2), la vittima viene poi reindirizzata al sito vero e l'attaccante cattura anche il cookie di sessione, oltre a nome utente e password [4]. Il controllo visivo ha dei limiti. MITRE riconosce che gli omoglifi, sia in ASCII sia nei domini internazionalizzati, e l'offuscamento degli indirizzi possono rendere difficile una verifica manuale [3]. Da qui l'utilità degli strumenti: banner di avviso sulle email provenienti dall'esterno, filtri e funzioni anti-phishing del browser e della posta [2][3]. ## Sotto il cofano Il percorso tecnico si riduce a poche tappe che le fonti descrivono separatamente. L'attaccante acquisisce un dominio vicino al bersaglio [1]. Prepara un sito che clona un portale legittimo o ne imita l'aspetto [4]. Invia un'email con un link accompagnato da un testo che spinge a cliccare o a copiare l'indirizzo nel browser [4]. Il sito raccoglie poi le credenziali, oppure propone di scaricare un file a seconda del pretesto [3][4]. Il link può nascondere la propria destinazione in altri modi. MITRE cita il formato di indirizzo con numeri interi o esadecimali come nome host e il fatto che il testo posto prima di una «@» viene ignorato. Ecco un'illustrazione neutralizzata di questo tipo di indirizzo, tratta dall'esempio di MITRE [4]: ```text Illustrazione (indirizzo neutralizzato): hxxp://google[.]com@1157586937 [il browser ignora «google.com» prima della @ e si collega all'indirizzo numerico] ``` Sul versante difensivo di un'organizzazione, MITRE propone di registrare volontariamente domini vicini ai propri per scoraggiare il typosquatting [1], di sorvegliare i domini creati di recente con una struttura simile alla propria, anche con un'altra estensione [1], e di usare SPF, DKIM e DMARC per filtrare i messaggi in base alla validità del dominio del mittente [6]. ## Autopsie Le pagine di MITRE riportano casi reali senza data della campagna: la data dell'ultima modifica di una pagina non data l'incidente. I casi seguenti sono quindi presentati senza data. ### FIN7: un link typosquatted verso un falso strumento (data non precisata dalla fonte) MITRE riferisce che FIN7 ha inviato email di spearphishing contenenti un link typosquatted verso «ip-sccanner[.]com» [3]. Il gruppo ha anche registrato un dominio dannoso, advanced-ip-sccanner[.]com, che reindirizzava a un Dropbox controllato dall'attaccante e contenente l'eseguibile dannoso [1]. ### Magic Hound: domini scelti per vittime precise (data non precisata dalla fonte) Magic Hound ha registrato domini fraudolenti come «mail-newyorker[.]com» e «news12[.]com.recover-session-service[.]site» per colpire vittime determinate con attacchi di phishing [1]. ### Scattered Spider e Silent Librarian (data non precisata dalla fonte) Scattered Spider ha registrato domini per impersonare portali di accesso di aziende [1]. Silent Librarian ha acquisito domini per pagine di raccolta di credenziali, che spesso impersonano l'organizzazione presa di mira, con estensioni gratuite: .TK, .ML, .GA, .CF e .GQ [1]. ## Cosa fate - Leggete l'indirizzo per intero, da sinistra a destra, prima di cliccare. Passate il cursore sul link e confrontatelo con il testo mostrato [2]. - Non aprite il servizio dal link ricevuto: la CISA raccomanda di non seguire i link inviati per email per fornire informazioni personali o finanziarie [2]. Brain consiglia di passare dai preferiti. La CISA raccomanda anche di verificare la richiesta presso l'organizzazione con recapiti trovati in uno scambio precedente, non sul sito indicato nel messaggio [2]. - Attivate l'autenticazione a più fattori quando esiste [2]. - Segnalate il messaggio. L'NCSC britannico indica che segnalare una truffa è gratuito, richiede un minuto e permette di proteggere altre persone [5]. Può indagare sugli indirizzi email e sui siti fraudolenti e farli rimuovere [5]. In azienda, seguite prima la procedura di segnalazione interna. ## Le trappole - Fidarsi del solo lucchetto: vedere sopra, la fonte parla di cifratura [2]. - Giudicare dall'impaginazione: un sito può essere un clone fedele del portale legittimo [4]. - Contare sull'occhio: gli omoglifi rendono difficile una verifica manuale [3]. - Riutilizzare una password: se una password inserita su un sito falso serve altrove, va cambiata ovunque [2]. - Pubblicare troppe informazioni su di sé: l'NCSC osserva che i criminali usano informazioni disponibili online, anche sui social network, per rendere più convincenti i loro messaggi [5]. ## Fonti 1. MITRE ATT&CK, «Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1583/001/ (consultato il 3 novembre 2026) 2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/003/ (consultato il 3 novembre 2026) 5. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.