Cyberpediadi Brain
ITDEENESFR

Typosquatting e combosquatting

Come un attaccante registra un dominio simile a quello di un marchio per rubare le vostre credenziali e come riconoscere l'indirizzo trappola.

In 30 secondi

Dove succede
In un'email, in un SMS o in un messaggio il cui indirizzo del mittente o il cui link imita un'azienda nota. L'indirizzo può essere molto vicino a quello vero, con alcuni caratteri modificati o tolti2.
Cosa vuole l'attaccante
Portarvi su un sito falso per ottenere informazioni personali, spesso le credenziali di accesso4.
Il riflesso
Leggere l'indirizzo per intero, non seguire il link ricevuto per fornire informazioni personali o finanziarie2, aprire invece il servizio dai vostri preferiti (consiglio di Brain) e segnalare il messaggio.
Se è già successo
Avvisare le persone competenti nell'organizzazione e cambiare subito le password inserite, insieme a quelle degli altri account in cui si usa la stessa password2.

Di cosa si tratta

Un nome di dominio è l'indirizzo leggibile di un sito, per esempio la parte che segue la «@» di un'email o che compare nella barra del browser. Un dominio si può acquistare e, in alcuni casi, ottenere gratuitamente1. A volte un attaccante ne sceglie uno simile a quello di un'azienda legittima: lettere sostituite da caratteri che somigliano agli originali (omoglifi) oppure un'estensione diversa, come .co al posto di .com1.

I domini simili a un dominio legittimo possono servire a diffondere codice dannoso tramite la compromissione di un sito al passaggio dell'utente (drive-by compromise)1.

Domande dirette

Che cos'è un dominio sosia?

È un nome di dominio registrato per somigliare a quello di un'organizzazione reale. MITRE ATT&CK descrive domini simili a domini legittimi, ottenuti con omoglifi o con un'altra estensione1. La CISA descrive indirizzi del mittente che somigliano molto a quello di un'azienda affidabile, alterando o omettendo alcuni caratteri2.

Che cos'è un omoglifo?

È un carattere che somiglia visivamente a un altro. MITRE cita gli «IDN homograph attacks»: l'attaccante usa nomi di dominio internazionalizzati e altri alfabeti (cirillico, greco) per creare domini visivamente simili all'originale1. I link in apparenza innocui che sfruttano caratteri speciali per imitare un sito legittimo rientrano nella stessa tecnica3.

Un lucchetto nel browser dimostra che il sito è quello giusto?

La fonte CISA citata qui consiglia di cercare un indirizzo che inizia con «https» e un lucchetto chiuso, segni che le informazioni saranno cifrate2. Parla di cifratura, non dell'identità del sito: lo stesso testo chiede di controllare anche l'ortografia dell'indirizzo e il dominio2. Il lucchetto non sostituisce quindi la lettura dell'indirizzo.

Un'email con un link sosia può anche installare un software dannoso?

Sì. MITRE indica che il typosquatting può servire a consegnare codice dannoso durante la visita di un sito1. Il link può anche condurre a una pagina che propone di scaricare un file3.

Che cosa fare se penso di aver cliccato?

Se informazioni dell'organizzazione possono essere state rivelate, la CISA consiglia di avvisare le persone interessate, tra cui gli amministratori di rete, che potranno sorvegliare le attività insolite2. Le password rivelate vanno cambiate subito2.

1Nei panni dell'attaccante1 min

L'attaccante comincia scegliendo un nome vicino a quello del bersaglio. MITRE descrive diverse varianti: omoglifi, altra estensione, alfabeti diversi1. Il gruppo EXOTIC LILY, per esempio, ha impersonato organizzazioni cambiando l'estensione in «.us», «.co» o «.biz»1.

Poi acquista il dominio. Ogni registrar tiene una banca dati pubblica che mostra i recapiti di ogni dominio registrato. I servizi di WHOIS privato mostrano invece le proprie informazioni, nascondendo il titolare. L'attaccante può anche variare i dati di registrazione e i registrar per ostacolare il tracciamento della sua infrastruttura1.

Alcuni domini sono monouso: MITRE osserva che gli indirizzi possono essere generati dinamicamente per servire un contenuto dannoso a una sola vittima, anche con nomi di dominio usati una volta sola1. Altri attaccanti rilevano domini scaduti, che possono essere già autorizzati o ritenuti affidabili dai difensori in base alla loro storia1.

Resta il sito vero e proprio. Il sito preso di mira può essere un clone di un portale di accesso legittimo, o somigliargli abbastanza da riportare nel proprio indirizzo elementi del sito reale4. Il messaggio che lo accompagna cerca di far cliccare, a volte con più messaggi dall'aria urgente4.

2Cosa si vede sullo schermo1 min

Il messaggio sembra provenire da un ente noto. La CISA elenca degli indizi: indirizzo del mittente vicino a un indirizzo reale, formula di apertura generica del tipo «Dear Valued Customer», firma senza recapiti, errori di ortografia e impaginazione incoerente2.

Il link è il punto debole. Se passate il cursore sopra il link e l'indirizzo mostrato non corrisponde al testo, il link può essere falsificato. Un sito dannoso può somigliare all'originale, ma il suo indirizzo usa un'ortografia diversa o un altro dominio, per esempio .com al posto di .net2. Anche un servizio di abbreviazione degli indirizzi può nascondere la destinazione reale2.

La pagina di accesso può essere una copia del portale legittimo: le informazioni inserite nei moduli vengono raccolte e inviate all'attaccante4. Con alcuni kit di phishing (EvilProxy, Evilginx2), la vittima viene poi reindirizzata al sito vero e l'attaccante cattura anche il cookie di sessione, oltre a nome utente e password4.

Il controllo visivo ha dei limiti. MITRE riconosce che gli omoglifi, sia in ASCII sia nei domini internazionalizzati, e l'offuscamento degli indirizzi possono rendere difficile una verifica manuale3. Da qui l'utilità degli strumenti: banner di avviso sulle email provenienti dall'esterno, filtri e funzioni anti-phishing del browser e della posta23.

3Sotto il cofanoTeam IT1 min

Il percorso tecnico si riduce a poche tappe che le fonti descrivono separatamente. L'attaccante acquisisce un dominio vicino al bersaglio1. Prepara un sito che clona un portale legittimo o ne imita l'aspetto4. Invia un'email con un link accompagnato da un testo che spinge a cliccare o a copiare l'indirizzo nel browser4. Il sito raccoglie poi le credenziali, oppure propone di scaricare un file a seconda del pretesto34.

Il link può nascondere la propria destinazione in altri modi. MITRE cita il formato di indirizzo con numeri interi o esadecimali come nome host e il fatto che il testo posto prima di una «@» viene ignorato. Ecco un'illustrazione neutralizzata di questo tipo di indirizzo, tratta dall'esempio di MITRE4:

Estratto
Illustrazione (indirizzo neutralizzato):
hxxp://google[.]com@1157586937
[il browser ignora «google.com» prima della @ e si collega all'indirizzo numerico]

Sul versante difensivo di un'organizzazione, MITRE propone di registrare volontariamente domini vicini ai propri per scoraggiare il typosquatting1, di sorvegliare i domini creati di recente con una struttura simile alla propria, anche con un'altra estensione1, e di usare SPF, DKIM e DMARC per filtrare i messaggi in base alla validità del dominio del mittente6.

4AutopsieCasi reali1 min

Le pagine di MITRE riportano casi reali senza data della campagna: la data dell'ultima modifica di una pagina non data l'incidente. I casi seguenti sono quindi presentati senza data.

FIN7: un link typosquatted verso un falso strumento (data non precisata dalla fonte)

MITRE riferisce che FIN7 ha inviato email di spearphishing contenenti un link typosquatted verso «ip-sccanner[.]com»3. Il gruppo ha anche registrato un dominio dannoso, advanced-ip-sccanner[.]com, che reindirizzava a un Dropbox controllato dall'attaccante e contenente l'eseguibile dannoso1.

Magic Hound: domini scelti per vittime precise (data non precisata dalla fonte)

Magic Hound ha registrato domini fraudolenti come «mail-newyorker[.]com» e «news12[.]com.recover-session-service[.]site» per colpire vittime determinate con attacchi di phishing1.

Scattered Spider e Silent Librarian (data non precisata dalla fonte)

Scattered Spider ha registrato domini per impersonare portali di accesso di aziende1. Silent Librarian ha acquisito domini per pagine di raccolta di credenziali, che spesso impersonano l'organizzazione presa di mira, con estensioni gratuite: .TK, .ML, .GA, .CF e .GQ1.

5Cosa fate1 min
  • Leggete l'indirizzo per intero, da sinistra a destra, prima di cliccare. Passate il cursore sul link e confrontatelo con il testo mostrato2.
  • Non aprite il servizio dal link ricevuto: la CISA raccomanda di non seguire i link inviati per email per fornire informazioni personali o finanziarie2. Brain consiglia di passare dai preferiti. La CISA raccomanda anche di verificare la richiesta presso l'organizzazione con recapiti trovati in uno scambio precedente, non sul sito indicato nel messaggio2.
  • Attivate l'autenticazione a più fattori quando esiste2.
  • Segnalate il messaggio. L'NCSC britannico indica che segnalare una truffa è gratuito, richiede un minuto e permette di proteggere altre persone5. Può indagare sugli indirizzi email e sui siti fraudolenti e farli rimuovere5. In azienda, seguite prima la procedura di segnalazione interna.
6Le trappole1 min
  • Fidarsi del solo lucchetto: vedere sopra, la fonte parla di cifratura2.
  • Giudicare dall'impaginazione: un sito può essere un clone fedele del portale legittimo4.
  • Contare sull'occhio: gli omoglifi rendono difficile una verifica manuale3.
  • Riutilizzare una password: se una password inserita su un sito falso serve altrove, va cambiata ovunque2.
  • Pubblicare troppe informazioni su di sé: l'NCSC osserva che i criminali usano informazioni disponibili online, anche sui social network, per rendere più convincenti i loro messaggi5.

Scheda

Identificativo
CP-015
Ala
1. Attacchi e tecniche
Competenza Brain
Riconoscere il phishing (detect_phishing)
Riflesso Brain
cr-005
Schema
G1 · Catena d'attacco (Kill Chain)
Lingue
de, en, es, fr, it
Fonti
6 fonti verificate il 3 novembre 2026
Fonti6 fonti
  1. MITRE ATT&CK, «Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1583/001/ (consultato il 3 novembre 2026)
  2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/003/ (consultato il 3 novembre 2026)
  5. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Typosquatting e combosquatting», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/

BibTeX 
@misc{brain_cp015_it_2026,
  author = {Brain},
  title = {Typosquatting e combosquatting},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0