Un certificato HTTPS valido, un logo curato, immagini ad alta definizione: sono elementi rassicuranti, ma costano pochissimo da realizzare. Per individuare i segnali d’allarme di un sito web sospetto bisogna incrociare diversi indizi tecnici e giuridici, senza affidarsi alle impressioni visive. Questo articolo passa in rassegna i criteri misurabili che distinguono un sito affidabile da una facciata fraudolenta.
Affidabilità di un sito web: tabella dei segnali tecnici da incrociare
Nessun singolo segnale basta a definire fraudolento un sito. È la combinazione di più indicatori a far pendere la valutazione da una parte o dall’altra. La tabella seguente raccoglie i controlli più significativi, classificati in base al livello di affidabilità.
| Segnale verificato | Sito affidabile | Sito sospetto |
|---|---|---|
| Età del dominio (WHOIS) | Registrato da diversi anni, proprietario identificabile | Dominio registrato da poche settimane o mesi, dati nascosti |
| Note legali / condizioni generali di vendita | Ragione sociale, SIRET, indirizzo fisico, contatti | Assenti, incomplete o copiate da un altro sito |
| Identità del venditore (marketplace) | Nome, paese e qualifica professionale indicati prima dell’acquisto | Nessuna informazione sul venditore terzo |
| URL e nome di dominio | Coerenti con il marchio, senza caratteri sospetti | Errori, trattini multipli, estensione insolita (.xyz, .top) |
| Avviso del browser | Nessun messaggio di sicurezza | Avviso «sito ingannevole» o certificato scaduto |
| Modalità di pagamento | Metodi di pagamento tracciabili (carta, PayPal) | Solo bonifico bancario, criptovaluta obbligatoria |
Un dominio creato da meno di tre mesi, insieme all’assenza di note legali, costituisce un insieme di indizi sufficiente per rinunciare a qualsiasi acquisto. L’analisi che segue illustra le anomalie più rivelatrici.
URL e nome di dominio: i primi indizi di una truffa online
L’indirizzo web è il punto di partenza più rapido da esaminare. I cosiddetti attacchi omografici consistono nel sostituire una lettera con un carattere visivamente simile (una «q» al posto di una «g», oppure «rn» al posto di «m»). Questo tipo di manipolazione prende di mira i marchi noti per intercettare il traffico degli utenti che si fidano di loro.
Un articolo che spiega come riconoscere un sito sospetto come Aplouf.com illustra bene il metodo: verificare la coerenza tra il nome di dominio, l’attività dichiarata e le informazioni legali pubblicate.
Oltre all’ortografia, è bene prestare attenzione all’estensione del dominio. Le estensioni generiche a basso costo (.top, .xyz, .click) compaiono in misura sproporzionata nelle campagne di phishing perché costano meno di un euro all’anno. Un sito commerciale francese legittimo usa più spesso un .fr o un .com.
Obblighi legali recenti: cosa deve indicare un sito in Francia e nell’UE
La normativa offre criteri oggettivi per valutare un sito, purché si sappia cosa cercare.
- La legge SREN del 21 maggio 2024 impone ai marketplace di indicare chiaramente se il venditore è un professionista o un privato. L’assenza di questa informazione su un marketplace costituisce una violazione di legge e un concreto segnale d’allarme.
- Il DSA (Digital Services Act) obbliga le piattaforme a raccogliere e rendere accessibili determinate informazioni identificative sui venditori professionali prima di qualsiasi transazione.
- Dal 13 dicembre 2024, il regolamento europeo sulla sicurezza generale dei prodotti impone che le schede prodotto indichino un responsabile stabilito nell’UE, con i relativi recapiti. La vendita online di un prodotto senza queste informazioni viola la normativa.
Questi obblighi rappresentano altrettanti punti di controllo. Un sito che non li rispetta non è necessariamente fraudolento, ma opera al di fuori del quadro normativo applicabile, riducendo così ogni possibilità di ricorso in caso di controversia.
Note legali assenti o generiche
La DGCCRF raccomanda di verificare la presenza della ragione sociale, di un indirizzo fisico e di un numero di registrazione. Su un sito francese, l’assenza del numero SIRET è un forte segnale d’allarme. Copiare l’indirizzo postale e cercarlo in un motore di ricerca può talvolta rivelare che corrisponde a un terreno incolto o a un’attività commerciale senza alcun legame con il sito.
Recenti tecniche di manipolazione: ClickFix e falsi CAPTCHA
Le tecniche di inganno si evolvono e vanno oltre il classico phishing via e-mail. Lo scenario ClickFix si basa su una pagina che simula un errore tecnico o un CAPTCHA e poi chiede all’utente di copiare ed eseguire un comando sul proprio computer. La vittima crede di risolvere un problema tecnico, mentre in realtà installa da sola un software dannoso.
Google ha reagito integrando in Chrome una protezione specifica: il browser può ora avvisare l’utente prima che incolli un comando ritenuto pericoloso. Questo tipo di avviso del browser rientra tra i segnali da non ignorare mai.
Richieste insolite di autorizzazione sulla pagina
Un sito legittimo non chiede l’accesso alle notifiche già dalla pagina iniziale, né l’autorizzazione a leggere gli appunti. Queste richieste premature rivelano un intento di raccolta aggressiva dei dati. Se una pagina ti invita ad autorizzare le notifiche prima ancora che tu ne abbia consultato i contenuti, chiudi la scheda.
Verifica rapida della reputazione di un sito: metodo in tre passaggi
La DGCCRF suggerisce un approccio semplice: cercare il nome del sito seguito dalla parola «truffa» in un motore di ricerca. Questo metodo, abbinato ad altri due controlli, permette di individuare la maggior parte dei casi.
- Cercare il nome del sito o del prodotto insieme a «truffa» o «recensioni» per individuare eventuali segnalazioni negative di altri consumatori.
- Consultare uno strumento WHOIS per verificare la data di creazione del dominio e l’identità del titolare. Un dominio registrato da poche settimane, associato a un negozio che propone prezzi molto bassi, è un segnale d’allarme affidabile.
- Verificare la presenza del sito sui social network: un’attività regolare accompagnata da commenti autentici è un indizio positivo, anche se non costituisce una garanzia assoluta.
Questi tre controlli richiedono meno di un minuto e permettono di individuare la grande maggioranza dei siti fraudolenti prima di interagire con la pagina di pagamento.
Il lucchetto HTTPS, spesso considerato una garanzia di sicurezza, indica soltanto che la connessione è crittografata. Anche un sito di phishing può avere un certificato SSL valido, ottenuto gratuitamente. Questo criterio, da solo, non è una garanzia di affidabilità e va sempre incrociato con i segnali elencati sopra.
