Che cos’è il ty­po­squat­ting?

Il ty­po­squat­ting indica la re­gi­stra­zio­ne mirata di domini che so­mi­glia­no a indirizzi internet noti e con­ten­go­no solo errori di di­gi­ta­zio­ne minimi. L’obiettivo è in­ter­cet­ta­re gli utenti che sbagliano a digitare un indirizzo web e rein­di­riz­zar­li verso siti falsi o fuor­vian­ti.

Come funziona il ty­po­squat­ting?

Il ty­po­squat­ting si basa su semplici va­ria­zio­ni di caratteri: una lettera viene omessa, scambiata o so­sti­tui­ta con una variante vi­si­va­men­te simile. Par­ti­co­lar­men­te insidiosi sono i co­sid­det­ti attacchi con omoglifi, in cui per esempio la cifra “0” viene usata al posto della lettera “O” o si impiegano caratteri Unicode di altri alfabeti. Varianti di questo tipo sono dif­fi­cil­men­te ri­co­no­sci­bi­li a occhio nudo.

Mentre in passato esempi classici ri­guar­da­va­no errori di di­gi­ta­zio­ne su grandi motori di ricerca o negozi online, i casi attuali di ty­po­squat­ting prendono di mira sempre più spesso servizi SaaS, piat­ta­for­me cloud, ap­pli­ca­zio­ni di IA e fornitori di pagamenti. Finte pagine di login nello stile di ChatGPT, Microsoft 365 o note piat­ta­for­me crypto mostrano quanto siano ormai pro­fes­sio­na­li questi attacchi. L’obiettivo è rein­di­riz­za­re il traffico generato inav­ver­ti­ta­men­te e sfrut­tar­lo eco­no­mi­ca­men­te. Nei casi più gravi vengono uti­liz­za­te pagine di login in­gan­ne­vol­men­te au­ten­ti­che per carpire dati di accesso o in­for­ma­zio­ni di pagamento. Per le aziende, ogni episodio di ty­po­squat­ting rap­pre­sen­ta una po­ten­zia­le perdita di clienti.

Varianti tipiche del ty­po­squat­ting

I criminali di­spon­go­no di una serie di pos­si­bi­li­tà per ingannare gli utenti tramite ty­po­squat­ting. Di seguito sono riportate le varianti più im­por­tan­ti.

• Errori di di­gi­ta­zio­ne: in­ver­sio­ni di lettere, caratteri doppi o mancanti rientrano tra gli errori più comuni. Da un dominio noto nascono così varianti con sco­sta­men­ti minimi. Oggi molti grandi brand re­gi­stra­no di­ret­ta­men­te queste grafie e le rein­di­riz­za­no tramite rein­di­riz­za­men­ti al dominio prin­ci­pa­le, per prevenire abusi.
• Errori or­to­gra­fi­ci: non tutti gli errori derivano da una di­gi­ta­zio­ne af­fret­ta­ta. Anche nomi di marca o de­no­mi­na­zio­ni di prodotto scritti si­ste­ma­ti­ca­men­te in modo errato vengono re­gi­stra­ti in­ten­zio­nal­men­te come dominio. Varianti di questo tipo possono generare un traffico con­si­de­re­vo­le, so­prat­tut­to per i marchi molto richiesti.
• Grafie al­ter­na­ti­ve: anche le grafie al­ter­na­ti­ve molto diffuse di de­no­mi­na­zio­ni di prodotti o servizi possono trarre in inganno gli utenti. Chi desidera con­so­li­da­re la propria attività online su www.fotoservice.berlin dovrebbe as­si­cu­rar­si che i po­ten­zia­li clienti arrivino a de­sti­na­zio­ne anche tramite www.photoservice.berlin e non si perdano su un dominio basato su un refuso.
• Domini con trattino: i domini con o senza trattino sono par­ti­co­lar­men­te vul­ne­ra­bi­li. Se il trattino viene omesso o aggiunto, si genera ra­pi­da­men­te un nuovo indirizzo tec­ni­ca­men­te in­di­pen­den­te. Inoltre, i ty­po­squat­ter combinano marchi noti con aggiunte come “shop”, “online” o “service” per suggerire un col­le­ga­men­to ufficiale.
• Esten­sio­ne di dominio errata: con l’in­tro­du­zio­ne dei nuovi domini di primo livello il rischio è ul­te­rior­men­te aumentato. Un marchio con un’esten­sio­ne .it può, per esempio, essere re­gi­stra­to come .com, .shop, .online o .web. Par­ti­co­lar­men­te diffusa è l’esten­sio­ne .co, poiché ricorda molto il dominio .com. Chi registra un solo TLD rischia che esten­sio­ni al­ter­na­ti­ve vengano usate per scopi fuor­vian­ti o frau­do­len­ti.

Ty­po­squat­ting nell’ambito SaaS e IA

Il ty­po­squat­ting si è no­te­vol­men­te pro­fes­sio­na­liz­za­to negli ultimi anni. Al posto di semplici rein­di­riz­za­men­ti pub­bli­ci­ta­ri, oggi l’at­ten­zio­ne è rivolta ad account di alto valore e a dati di accesso sensibili. Sono par­ti­co­lar­men­te colpiti i servizi cloud, gli strumenti di project ma­na­ge­ment, le piat­ta­for­me di pagamento e le ap­pli­ca­zio­ni di IA con ab­bo­na­men­ti a pagamento.

I cy­ber­cri­mi­na­li re­gi­stra­no domini che as­so­mi­glia­no in modo in­gan­ne­vo­le alle pagine di login ufficiali. Combinano tipici errori di di­gi­ta­zio­ne con aggiunte che ispirano fiducia come “secure”, “verify” o “account” e dotano le pagine di cer­ti­fi­ca­ti TLS validi. Per l’utente la pagina appare così tec­ni­ca­men­te legittima.

Di seguito i tipici scenari:

• Portali di login falsi per strumenti di project ma­na­ge­ment o col­la­bo­ra­zio­ne
• Finte pagine di fat­tu­ra­zio­ne di servizi di spe­di­zio­ne pacchi
• Portali di pagamento o wallet con­traf­fat­ti
• Piat­ta­for­me di IA imitate con presunti avvisi di upgrade
• Domini con minime va­ria­zio­ni di caratteri come 1 invece di l o 0 invece di O

Grazie alla ge­ne­ra­zio­ne di siti web sup­por­ta­ta dall’IA è oggi possibile creare in po­chis­si­mo tempo copie vi­si­va­men­te quasi identiche dei siti dei veri fornitori. Il ty­po­squat­ting non è quindi più solo un fenomeno legato al traffico, ma una com­po­nen­te centrale delle moderne strategie di phishing. Per le aziende ne derivano rischi concreti:

• Perdita di po­ten­zia­li clienti
• Danni all’immagine e alla re­pu­ta­zio­ne
• Aumento dei costi di supporto e sicurezza
• Possibili vio­la­zio­ni della pro­te­zio­ne dei dati a causa di cre­den­zia­li di accesso com­pro­mes­se

Qual è la si­tua­zio­ne giuridica in caso di ty­po­squat­ting?

Il ty­po­squat­ting non è au­to­ma­ti­ca­men­te illegale. In molti casi, tuttavia, la re­gi­stra­zio­ne e l’utilizzo di un dominio con errore di di­gi­ta­zio­ne co­sti­tui­sce una vio­la­zio­ne di legge. Se sussiste un’in­fra­zio­ne dipende dal fatto se siano stati violati diritti tutelati su marchi, aziende o nomi, oppure che i con­su­ma­to­ri siano stati de­li­be­ra­ta­men­te ingannati.

Diritto dei marchi

Nella maggior parte dei casi si applica il diritto dei marchi: se un marchio re­gi­stra­to viene uti­liz­za­to tramite un dominio che si può con­fon­de­re con un altro, di norma si configura una vio­la­zio­ne del diritto dei marchi. Decisivo è il co­sid­det­to rischio di con­fu­sio­ne. Questo sussiste quando gli utenti possono ritenere che il dominio con errore di di­gi­ta­zio­ne sia collegato al reale titolare del marchio.

Le possibili azioni in questo caso sono le seguenti:

• Ri­chie­de­re la ces­sa­zio­ne dell’uso (diffida)
• Ri­chie­de­re la can­cel­la­zio­ne o il tra­sfe­ri­men­to del dominio
• Ri­chie­de­re il ri­sar­ci­men­to dei danni

I casi sono par­ti­co­lar­men­te chiari quando il dominio viene uti­liz­za­to per servizi identici o simili.

Diritto al nome

Anche senza un marchio re­gi­stra­to può ap­pli­car­si il diritto al nome ai sensi dell’articolo 6 del Codice Civile. Se il nome di una persona o di un’azienda viene uti­liz­za­to come dominio senza au­to­riz­za­zio­ne e ne deriva una con­fu­sio­ne sull’at­tri­bu­zio­ne, sussiste ugual­men­te il diritto a un’azione ini­bi­to­ria.

Diritto della con­cor­ren­za

Ai sensi della Legge contro la con­cor­ren­za sleale il ty­po­squat­ting può essere clas­si­fi­ca­to come pratica com­mer­cia­le sleale, in par­ti­co­la­re quando i con­cor­ren­ti vengono de­li­be­ra­ta­men­te osta­co­la­ti o i con­su­ma­to­ri indotti in errore. Ciò riguarda, ad esempio, i casi in cui i clienti vengono con­sa­pe­vol­men­te rein­di­riz­za­ti verso offerte con­cor­ren­ti.

Rilevanza penale

Se un dominio con errore di di­gi­ta­zio­ne viene uti­liz­za­to per phishing, furto d’identità o frode, possono inoltre essere integrati fat­ti­spe­cie penali. Tra queste rientrano in par­ti­co­la­re la truffa o l’in­ter­cet­ta­zio­ne/spio­nag­gio di dati. In tali casi non si tratta più soltanto di una con­tro­ver­sia in materia di marchi, ma di un reato.

Ri­so­lu­zio­ne in­ter­na­zio­na­le delle con­tro­ver­sie sui domini

Poiché i domini possono essere re­gi­stra­ti a livello globale, le cause davanti ai tribunali ordinari sono spesso complesse. Per molti domini di primo livello esiste quindi una procedura di con­ci­lia­zio­ne stra­giu­di­zia­le secondo la Uniform Domain Name Dispute Re­so­lu­tion Policy (UDRP). Questa procedura viene svolta, tra gli altri, dall’Or­ga­niz­za­zio­ne mondiale per la proprietà in­tel­let­tua­le (WIPO).

Il pre­sup­po­sto per un reclamo accolto è di norma che

• il dominio sia facile da con­fon­de­re con un marchio tutelato,
• il titolare del dominio non abbia un interesse legittimo al suo utilizzo e
• la re­gi­stra­zio­ne o l’utilizzo sia avvenuta in malafede.

La procedura UDRP può portare al tra­sfe­ri­men­to o alla can­cel­la­zio­ne del dominio, senza che sia ne­ces­sa­rio un pro­ce­di­men­to davanti a un tribunale nazionale.

Ty­po­squat­ting: pro­spet­ti­va aziendale e pro­spet­ti­va degli utenti privati

Il ty­po­squat­ting riguarda sia le aziende sia i privati, ma con effetti diversi.

Mentre le aziende devono reagire a livello stra­te­gi­co e legale, per gli utenti privati l’at­ten­zio­ne è rivolta so­prat­tut­to alla prudenza e alla pre­ven­zio­ne tecnica. Entrambe le pro­spet­ti­ve mostrano che il ty­po­squat­ting non è un rischio teorico, ma un problema concreto di sicurezza nella vita digitale quo­ti­dia­na.

Come pro­teg­ger­ti dal ty­po­squat­ting

Una pro­te­zio­ne completa dal ty­po­squat­ting è dif­fi­cil­men­te possibile. Tuttavia, con una com­bi­na­zio­ne di re­gi­stra­zio­ne stra­te­gi­ca dei domini, misure tecniche di pro­te­zio­ne e misure or­ga­niz­za­ti­ve è possibile ridurre sen­si­bil­men­te il rischio.

• Re­gi­stra­re tem­pe­sti­va­men­te le varianti di scrittura tipiche: metti al sicuro i refusi più comuni, le varianti or­to­gra­fi­che al­ter­na­ti­ve, le versioni rilevanti con trattino e le prin­ci­pa­li esten­sio­ni di dominio del tuo marchio. I domini più usati con errori possono rein­di­riz­za­re al tuo dominio prin­ci­pa­le e prevenire così gli abusi.
• Riservare i prin­ci­pa­li domini di primo livello: registra oltre al tuo dominio prin­ci­pa­le le esten­sio­ni più im­por­tan­ti, come .com, .it, .eu o i TLD specifici di settore come .shop o .online. In questo modo eviti che terzi uti­liz­zi­no il tuo marchio con esten­sio­ni al­ter­na­ti­ve.
• Uti­liz­za­re il mo­ni­to­rag­gio dei domini: sfrutta servizi di mo­ni­to­rag­gio che con­trol­la­no le nuove re­gi­stra­zio­ni di domini alla ricerca di varianti simili al tuo marchio. Le se­gna­la­zio­ni tem­pe­sti­ve per­met­to­no di reagire ra­pi­da­men­te, prima che contenuti dannosi ac­qui­si­sca­no vi­si­bi­li­tà.
• Tutela tramite marchio re­gi­stra­to: registra il tuo marchio a livello nazionale o in­ter­na­zio­na­le. Un marchio re­gi­stra­to rende molto più semplice far valere i tuoi diritti, ad esempio nell’ambito di una procedura UDRP o di azioni legali.
• Raf­for­za­re la sicurezza DNS e della posta elet­tro­ni­ca: utilizza misure tecniche di pro­te­zio­ne per rendere più difficile l’abuso dell’in­fra­strut­tu­ra di dominio. Tra queste rientrano, tra l’altro, DNSSEC per la pro­te­zio­ne della ri­so­lu­zio­ne dei nomi e SPF, DKIM e DMARC per evitare lo spoofing.
• Sen­si­bi­liz­za­re col­la­bo­ra­to­ri e clienti: addestra re­go­lar­men­te il tuo personale sulla gestione di link e pagine di login sospette. Informa anche i tuoi clienti su quali domini ufficiali utilizzi e come si pre­sen­ta­no i canali di co­mu­ni­ca­zio­ne autentici.
• Reagire ra­pi­da­men­te e valutare azioni legali: se viene scoperto un dominio uti­liz­za­to in modo illecito, documenta i contenuti e verifica tem­pe­sti­va­men­te eventuali pretese in base al diritto dei marchi o alla normativa sulla con­cor­ren­za. Più rapida è la reazione, minore è il rischio di danni alla re­pu­ta­zio­ne o alla pro­te­zio­ne dei dati.

Come ri­co­no­sce­re un sito di ty­po­squat­ting?

Le pagine di ty­po­squat­ting sono spesso pro­get­ta­te in modo pro­fes­sio­na­le e rea­liz­za­te tec­ni­ca­men­te senza errori. Tuttavia, esistono segnali di allarme tipici che possono indicare un dominio ma­ni­po­la­to o falso:

• Con­trol­la­re at­ten­ta­men­te l’URL: verifica l’indirizzo web carattere per carattere. Fai at­ten­zio­ne a lettere invertite, caratteri in più, lettere mancanti o com­bi­na­zio­ni insolite come “rn” invece di “m” o “0” invece di “O”.
• Fare at­ten­zio­ne a esten­sio­ni di dominio insolite: se un marchio noto appare all’im­prov­vi­so sotto un dominio di primo livello insolito come .co, .online o .shop, potrebbe essere ne­ces­sa­rio prestare par­ti­co­la­re cautela.
• Aggiunte sospette nel dominio: termini come “secure”, “verify”, “login” o “support” in com­bi­na­zio­ne con un nome di marca sono schemi tipici dei domini di phishing.
• Pagina di login senza contesto: se arrivi di­ret­ta­men­te su una pagina di accesso senza aver aperto tu stesso un login, dovresti con­trol­la­re l’URL con par­ti­co­la­re at­ten­zio­ne.
• Rein­di­riz­za­men­ti insoliti: più rein­di­riz­za­men­ti au­to­ma­ti­ci o un URL che cambia dopo il ca­ri­ca­men­to possono essere un indizio di ma­ni­po­la­zio­ne.
• Il cer­ti­fi­ca­to da solo non è una prova: un cer­ti­fi­ca­to TLS valido (https) indica soltanto che la con­nes­sio­ne è cifrata. Non dice nulla sulla le­git­ti­mi­tà del sito.
• Errori di or­to­gra­fia o di layout: anche se oggi molte pagine di phishing appaiono pro­fes­sio­na­li, testi con errori o un design in­coe­ren­te possono essere un indizio.

Ulteriore pro­te­zio­ne è garantita da strumenti tecnici come i gestori di password. Questi, di norma, compilano au­to­ma­ti­ca­men­te le cre­den­zia­li di accesso solo sul dominio esatto originale me­mo­riz­za­to e possono così avvertire in caso di domini con errori di di­gi­ta­zio­ne.