Un dominio lookalike è un nome registrato da qualcun altro per assomigliare al tuo: una lettera in meno, due invertite, uno zero al posto della o, il tuo nome più una parola come fatture o login, la stessa parola con un'estensione diversa. Serve a farsi passare per la tua azienda con clienti e dipendenti. La tua policy DMARC non lo copre, perché non è un tuo dominio: contro questi servono sorveglianza, una scala di priorità basata su quali sono già armati, e azioni diverse a seconda del caso.
Quando pubblichi una policy DMARC in reject chiudi una porta precisa: nessuno può più inviare posta usando il tuo dominio esatto nel mittente e farla consegnare. È la difesa più efficace che esista contro lo spoofing, e va fatta per prima.
Chi vuole impersonare la tua azienda ha però un'alternativa banale: registrare un dominio diverso, che assomiglia al tuo, e usare quello. Su un dominio proprio può pubblicare SPF, DKIM e DMARC perfetti, perché ne è il legittimo proprietario. Il messaggio arriverà autenticato e pulito, e nessun controllo tecnico dalla parte del ricevente lo segnalerà come falso: non lo è. È semplicemente di qualcun altro.
Questa è la ragione per cui la protezione del dominio ha due metà. La prima è tecnica e si chiude con DMARC. La seconda è di sorveglianza e non si chiude mai del tutto: si tiene sotto controllo.
Le varianti si generano in modo sistematico, ed è così che si costruisce anche la lista da sorvegliare.
| Tecnica | Esempio su esempio.it | Dove funziona meglio |
|---|---|---|
| Lettera mancante | esemio.it | Digitazione veloce, indirizzi letti al telefono |
| Lettere invertite | esmepio.it | Errori di battitura su tastiera |
| Lettera doppia | essempio.it | Difficile da notare in un mittente lungo |
| Carattere sostituito | esemp1o.it, esempi0.it | Testo piccolo su schermo di telefono |
| Caratteri di altri alfabeti che appaiono identici | una a cirillica al posto di una latina | Inganna anche chi legge con attenzione |
| Trattino aggiunto o rimosso | es-empio.it | Sembra una variante ufficiale |
| Parola aggiunta | esempio-fatture.it, login-esempio.it | Il più efficace nelle frodi, perché sembra un servizio tuo |
| Estensione diversa | esempio.com, esempio.net, esempio.info | Chi non conosce il tuo dominio esatto |
| Sottodominio ingannevole su un dominio terzo | esempio.it.qualcosa.xyz | Su telefono si legge solo l'inizio |
Le due righe che contano di più nella pratica sono la parola aggiunta e l'estensione diversa. Non richiedono errori di digitazione da parte della vittima: bastano in un mittente o in un link che qualcuno legge di fretta.
Generare le varianti di un nome produce facilmente centinaia di risultati. Trattarle tutte allo stesso modo è inutile e costoso. Quello che separa un nome innocuo da una minaccia concreta è se il dominio è armato, cioè se è stato messo in condizione di fare qualcosa.
I segnali, in ordine di gravità:
Un dominio che esiste ma non ha posta, non ha certificato e non risolve verso nulla va tenuto in elenco e osservato, non trattato come emergenza. Il momento in cui compare un record di posta è il momento in cui si agisce.
Le opzioni esistono ma vanno usate con realismo: alcune sono rapide, altre sono lunghe e costose, e non tutte finiscono bene.
Va detto chiaramente: non si possono eliminare tutti i domini simili al proprio, e chi promette il contrario non sta descrivendo la realtà. L'obiettivo raggiungibile è sapere che esistono, accorgersi quando uno diventa pericoloso e reagire prima che il danno si verifichi.
La sorveglianza manuale non regge: le varianti sono troppe e lo stato cambia. Un presidio sostenibile ha quattro pezzi.
La protezione dell'identità email con Defensio Identity Shield include questa sorveglianza: genera le varianti, verifica quali esistono e segnala quelle armate con record di posta, certificato o sito attivo. Nel piano base la sorveglianza copre le registrazioni; il rilevamento dei domini già armati è incluso nel piano Compliance.
Una sequenza che riduce il danno, in ordine di urgenza e non di eleganza.
La sorveglianza dei domini simili non è nominata da nessuna norma con questo nome, ma rientra fra le misure che riducono un rischio esplicitamente considerato. Per il GDPR il rischio è la frode e la sottrazione di credenziali a danno degli interessati; per la NIS2 rientra nelle misure sulla sicurezza delle comunicazioni e nella gestione del rischio della catena di fornitura, perché il bersaglio tipico di un dominio sosia sono i tuoi clienti e fornitori.
Nei questionari di sicurezza dei clienti compare sempre più spesso come domanda autonoma, accanto a quella sulla policy DMARC, e nei questionari delle polizze cyber rientra nella sezione sulla frode sui pagamenti, che è la voce con i sottolimiti più bassi e quindi quella su cui l'assicuratore guarda con più attenzione.
È un nome a dominio registrato da qualcun altro per assomigliare al tuo e sfruttare la fiducia che il tuo nome genera. Le forme più comuni sono una lettera in meno o in più, due lettere invertite, una cifra al posto di una lettera, un trattino aggiunto, il tuo nome combinato con una parola come fatture, login o supporto, oppure lo stesso nome con un'estensione diversa. Serve quasi sempre a frodi sui pagamenti o al furto di credenziali ai danni dei tuoi clienti, fornitori e dipendenti.
No, e questo è il malinteso più frequente. La policy DMARC vale solo per il tuo dominio: dice ai riceventi cosa fare con i messaggi che dichiarano il tuo nome. Un dominio lookalike è un dominio diverso, con un proprio DNS, di cui l'attaccante è il legittimo proprietario: può pubblicarvi SPF, DKIM e DMARC corretti e la sua posta arriverà regolarmente autenticata. Servono strumenti diversi, cioè sorveglianza, segnalazioni e informazione a chi riceve.
Registrarne alcune sì, tutte no. Le varianti possibili sono centinaia e il costo annuo di rinnovo diventa rapidamente sproporzionato rispetto al beneficio. La scelta ragionevole è registrare le estensioni principali del tuo nome e due o tre errori di digitazione davvero plausibili, e sorvegliare tutto il resto. Registrare è una misura una tantum contro un rischio noto; la sorveglianza è ciò che copre l'infinito insieme delle varianti che non hai preso.
Guardando se è armato, cioè se qualcuno lo ha messo in condizione di agire. In ordine di gravità: ha record di posta configurati, il che significa che è predisposto per inviare email; ha un certificato TLS emesso di recente; risolve verso un sito attivo, tanto più se riprende i tuoi contenuti o mostra una pagina di accesso; è stato registrato da poche settimane. Un nome registrato ma senza posta, senza certificato e senza sito va tenuto in osservazione, non trattato come un'emergenza.
A volte sì, e la via più rapida è la segnalazione al registrar e all'hosting quando il dominio ospita una copia del tuo sito, un logo o una pagina di accesso falsa: l'uso fraudolento viola le condizioni d'uso e può portare alla sospensione in tempi che vanno da ore a settimane. Se il nome viola un marchio registrato esistono le procedure di risoluzione delle dispute, efficaci ma con tempi nell'ordine dei mesi e costi legali. Non tutti i casi si chiudono, ed è realistico saperlo in partenza.
La lista dei nomi registrati va rigenerata periodicamente, ma la parte che conta è il controllo dello stato: un dominio innocuo da mesi può ricevere record di posta in un pomeriggio, e quello è il momento in cui serve l'avviso. Un controllo continuo con notifica al cambiamento è l'unica forma sostenibile; un controllo manuale trimestrale scopre la frode dopo che è avvenuta. La differenza pratica è fra sapere che un dominio esiste e sapere quando è diventato pericoloso.
Prima di tutto conserva le prove, perché dopo la sospensione del dominio spariscono: immagini delle pagine, indirizzi completi, dati di registrazione, messaggi con gli header completi. Poi avvisa subito clienti e fornitori indicando quali sono i tuoi domini legittimi e chiedendo di verificare qualsiasi variazione di pagamento su un secondo canale. Blocca il dominio sui tuoi filtri, segnalalo a registrar, hosting e servizi di navigazione sicura, e sporgi denuncia se c'è una frode in corso.
Sì, anche se meno comuni delle varianti banali. Alcune lettere di alfabeti diversi hanno una forma praticamente identica a quelle latine, quindi il nome appare corretto anche a chi legge con attenzione. I browser moderni applicano contromisure e in molti casi mostrano la forma codificata del nome invece dei caratteri, ma la protezione non è uniforme e nella posta elettronica il testo del mittente può comunque ingannare. Una sorveglianza seria include anche queste varianti nella generazione.
Generazione delle varianti, verifica di quali esistono e segnalazione di quelle armate con posta, certificato o sito attivo. Guarda la protezione dell'identità email.