Che cos’è il typosquatting?

Basta un single errore nella digitazione di un URL per indirizzare gli utenti nel posto sbagliato. Il typosquatting sfrutta proprio quel momento utilizzando domini simili che ricordano siti web legittimi.

Per le imprese, il rischio va ben oltre le visite accidentali. Un dominio oggetto di typosquatting può essere utilizzato per attività di phishing, furto di credenziali, diffusione di malware, business email compromise e usurpazione dell’identità del marchio. Ciò rende il “typo squatting” un problema che riguarda i domini, la posta elettronica e la sicurezza delle persone.

Che cos’è il typosquatting?

Il typosquatting è un attacco informatico in cui gli autori delle minacce registrano domini che assomigliano a siti web legittimi ma presentano piccole variazioni, quali errori ortografici, lettere invertite, caratteri mancanti o domini di primo livello ingannevoli.

Questi domini simili sono talmente diffusi da avere ripercussioni sui principali marchi online; uno studio ha infatti rilevato che 13.857 domini oggetto di typosquatting prendevano di mira i 500 siti web più visitati al mondo. Un dominio oggetto di typosquatting è concepito per sembrare familiare a prima vista, in modo che gli utenti possano visitare il sito sbagliato senza rendersene conto.

Il "typosquatting" è noto anche come "dirottamento di URL" ed è correlato all'usurpazione di domini, all'usurpazione di marchi e al "cybersquatting". L'obiettivo principale è quello di sfruttare la fiducia riposta in nomi, domini e marchi noti, in modo che gli autori degli attacchi possano reindirizzare il traffico, sottrarre credenziali, raccogliere informazioni sensibili o favorire attività di phishing e frodi.

Typosquatting e cybersquatting

Il typosquatting e il cybersquatting sono fenomeni correlati, ma non sono esattamente la stessa cosa. Il typosquatting si concentra su domini simili che presentano piccoli errori o variazioni di caratteri, con l’intento di indurre gli utenti a digitare erroneamente un URL, a cliccare su un link ingannevole, a scansionare un codice QR o a non notare una differenza in un messaggio di phishing.

Il cybersquatting ha una portata più ampia, poiché consiste nella registrazione di nomi di dominio legati a un marchio, a un marchio commerciale o a una ragione sociale al fine di trarne profitto tramite la rivendita, l’uso improprio o la creazione di confusione. In pratica, il typosquatting viene spesso utilizzato a fini di inganno deliberato, mentre il cybersquatting può comportare anche la rivendita di domini, l’abuso di marchi registrati o la creazione di confusione riguardo al marchio.

Come funziona il typosquatting?

Un attacco di typosquatting segue solitamente un percorso semplice. Il dominio sembra familiare, l’utente si fida di esso e l’autore dell’attacco sfrutta tale fiducia per sottrarre informazioni o reindirizzare il traffico.

Individuare un marchio o un dominio affidabile

Gli autori degli attacchi spesso prendono di mira un sito web molto frequentato, una piattaforma aziendale, un portale fornitori o una pagina di accesso. Scelgono nomi che gli utenti potrebbero facilmente riconoscere, quali applicazioni aziendali, strumenti per la gestione delle buste paga, siti di condivisione file, banche, portali di e-commerce o pagine di assistenza clienti.

Registrare un dominio simile

L'autore dell'attacco crea un dominio simile utilizzando un errore ortografico comune, una lettera mancante, un carattere aggiunto, una lettera invertita o un dominio di primo livello ingannevole. Una piccola modifica può essere sufficiente se gli utenti navigano rapidamente o visualizzano il link su un dispositivo mobile.

Creare un sito ingannevole o un reindirizzamento

Il sito contraffatto potrebbe simulare una pagina di accesso, un portale di pagamento, un servizio di assistenza, una pagina di condivisione file o una pagina di download di software. In altri casi, il dominio potrebbe reindirizzare gli utenti verso annunci pubblicitari, pagine fraudolente, download dannosi o altre infrastrutture controllate dagli autori degli attacchi.

Indirizzare gli utenti verso il dominio falso

Alcuni utenti accedono a domini oggetto di typosquatting digitando un URL errato. Altri arrivano tramite e-mail di phishing, risultati di ricerca, annunci a pagamento, codici QR, post sui social media o link condivisi tramite strumenti di collaborazione. Ecco perché il typosquatting spesso dà i migliori risultati se abbinato a campagne di phishing.

Sfruttate al meglio la visita

Una volta che gli utenti accedono al sito, gli autori degli attacchi potrebbero sottrarre credenziali, acquisire dati di pagamento, raccogliere informazioni personali, installare malware, reindirizzare il traffico o spacciarsi per il marchio di fiducia. Alcuni schemi di typosquatting pubblicitario generano inoltre profitti ogni volta che qualcuno visita il sito o clicca su un annuncio.

Quali sono i tipi più comuni di domini oggetto di typosquatting?

I domini oggetto di typosquatting si basano spesso su piccole variazioni ortografiche o di caratteri. La differenza può risultare evidente se considerata isolatamente, ma è facile che sfugga in un’e-mail, in un risultato di ricerca o in un browser mobile.

• Errori ortografici — Utilizzi un errore ortografico comune o una variante fonetica, come ad esempio “exampel.com”.
• Lettere mancanti — Rimuova un carattere dal dominio corretto, ad esempio “examle.com”.
• Lettere aggiunte — Aggiunga un carattere in più, ad esempio “exampple.com”.
• Caratteri ripetuti — Ripetere una vocale o una consonante, ad esempio “exammple.com”.
• Lettere invertite — Riorganizzate le lettere vicine, ad esempio “exmaple.com”.
• Errori di digitazione dovuti a tasti adiacenti — Sostituzione di un carattere con una lettera vicina sulla tastiera, come ad esempio “exanple.com”.
• Parole al plurale — Aggiungere o rimuovere una “s”, come nel caso di “examples.com”.
• Versioni con trattino — Inserite un trattino per conferire un aspetto ufficiale, ad esempio “example-login.com”.
• Domini di primo livello simili — Modifichi l’estensione, ad esempio “example.co” anziché “example.com.”

Gli autori degli attacchi potrebbero inoltre utilizzare caratteri visivamente simili o nomi di dominio internazionalizzati per rendere più difficile l'individuazione di un dominio oggetto di typosquatting. Ecco perché gli utenti non dovrebbero affidarsi esclusivamente alla verifica visiva.

Quali sono alcuni esempi di typosquatting negli attacchi alle aziende?

Gli attacchi di typosquatting rivolti alle aziende prendono spesso di mira gli strumenti che i dipendenti utilizzano già. Il sito falso non deve necessariamente ingannare tutti. È sufficiente ingannare un solo utente che disponga degli accessi giusti.

Pagine di accesso contraffatte a Microsoft 365

Gli autori degli attacchi potrebbero imitare pagine di accesso familiari dell'ambiente di lavoro per sottrarre nomi utente, password, codici MFA o informazioni relative alla sessione. Una volta ottenute le credenziali, gli autori degli attacchi potrebbero tentare di accedere alla posta elettronica, ai documenti, a Teams o ad altre app collegate.

Portali delle risorse umane

Un portale delle risorse umane contraffatto può essere utilizzato per raccogliere i dati dei dipendenti, le informazioni fiscali, i dettagli relativi ai benefici o le credenziali di accesso. Tali attacchi possono verificarsi durante i periodi di iscrizione aperta, di inserimento dei nuovi assunti o di aggiornamento delle buste paga.

Siti dedicati alla gestione delle buste paga

Le pagine relative alle buste paga oggetto di typosquatting potrebbero acquisire dati bancari, informazioni relative al bonifico diretto, codici identificativi dei dipendenti o credenziali di accesso agli account. Ciò può portare a frodi relative alle buste paga, al furto d’identità o all’appropriazione indebita di un account.

Pagine di condivisione di file

Gli autori degli attacchi potrebbero simulare servizi di condivisione di documenti per indurre i dipendenti ad aprire file dannosi o a inserire le proprie credenziali. Una pagina falsa che riproduce un “documento condiviso” può rivelarsi particolarmente efficace se inviata da un account compromesso.

Piattaforme per la gestione delle spese

I siti fasulli dedicati ai rimborsi o alle spese possono raccogliere informazioni di pagamento, dati finanziari interni o credenziali dei dipendenti. Tali attacchi potrebbero essere programmati in concomitanza con viaggi, procedure di approvvigionamento o rendicontazione di fine mese.

Pagine di accesso tramite VPN o SSO

Le pagine VPN contraffatte o quelle relative al Single Sign-On possono consentire agli autori degli attacchi di ottenere un accesso più ampio ai sistemi aziendali. Se l'utente inserisce credenziali valide, l'autore dell'attacco potrebbe ottenere un punto d'appoggio per effettuare un accesso non autorizzato o un movimento laterale.

Quali sono i rischi aziendali legati al typosquatting?

Il typosquatting può fungere da punto di accesso piuttosto che da minaccia a sé stante. Un sito web contraffatto, un’e-mail di phishing, un codice QR o un messaggio di ingegneria sociale possono causare gravi problemi di sicurezza e frodi.

• Furto di credenziali — Le pagine di accesso contraffatte possono raccogliere nomi utente, password, codici MFA, token e informazioni sulla sessione da dipendenti, clienti o fornitori.
• Phishing — Un dominio simile a quello originale può rendere le e-mail di phishing, i codici QR, gli annunci pubblicitari e i post sui social media più credibili agli occhi degli utenti ignari.
• Perdita finanziaria — Gli autori degli attacchi potrebbero utilizzare domini oggetto di typosquatting per raccogliere dati di pagamento, reindirizzare fatture, facilitare frodi tramite bonifico bancario o indurre gli utenti a effettuare pagamenti a fornitori fasulli.
• Danno alla reputazione — Un sito web oggetto di typosquatting può indurre i clienti a dubitare dell’affidabilità di un marchio, soprattutto qualora gli utenti perdessero le proprie credenziali o informazioni sensibili.
• Questioni legali — Le aziende potrebbero dover dedicare tempo e risorse finanziarie a indagini, controversie relative ai domini, richieste di rimozione, comunicazioni ai clienti ed eventuali azioni legali.
• Diffusione di malware— I siti contraffatti potrebbero indurre gli utenti a scaricare file dannosi, aggiornamenti del browser, fatture o programmi di installazione di software.
• Punti di accesso del ransomware — Il malware diffuso tramite un sito oggetto di typosquatting può fornire agli autori degli attacchi un punto d’appoggio iniziale per le attività di ransomware .
• Business email compromise support — I domini simili a quelli autentici possono essere utilizzati per inviare messaggi falsi da parte di fornitori, commettere frodi relative alle fatture, richiedere modifiche ai pagamenti e simulare l’identità di dirigenti.
• Appropriazione indebita dell'account — Le credenziali rubate possono consentire agli aggressori di accedere alla posta elettronica, alle applicazioni SaaS, ai portali clienti o ai sistemi interni.
• Accesso non autorizzato — Le credenziali di accesso, i token o i dati di sessione intercettati possono consentire agli autori degli attacchi di visualizzare dati sensibili o di penetrare più in profondità nell’ambiente.

Il typosquatting può influire anche sulle catene di approvvigionamento del software. In alcuni casi, gli autori degli attacchi creano un pacchetto dannoso con un nome simile a quello di un pacchetto legittimo, nella speranza che gli sviluppatori installino quello sbagliato.

In che modo le organizzazioni possono individuare il typosquatting?

Il rilevamento inizia con la visibilità su domini, URL, e-mail, comportamento degli utenti e minacce segnalate. L'obiettivo è individuare attività sospette prima che gli utenti cadano nella trappola del sito fasullo.

Monitorare domini e URL

Le organizzazioni dovrebbero monitorare i domini di nuova registrazione, i domini simili, i domini di primo livello sospetti, i domini costituiti dal marchio seguito da una parola chiave e i caratteri visivamente simili. I team dovrebbero inoltre monitorare il traffico sospetto, gli URL bloccati, i clic degli utenti, le segnalazioni di phishing e i tentativi di accesso insoliti collegati a siti simili.

Individuare le e-mail e i comportamenti degli utenti a rischio

Gli strumenti di sicurezza della posta elettronica dovrebbero individuare i messaggi che rimandano a domini con errori ortografici, reindirizzamenti sospetti, pagine di accesso contraffatte, siti finalizzati al furto di credenziali e portali di pagamento inattesi. I segnali relativi al comportamento degli utenti, quali clic ripetuti su link rischiosi, l’inserimento di credenziali, tentativi di accesso non riusciti o segnalazioni relative a domini simili a quelli del marchio, possono aiutare i team a identificare gli utenti esposti al rischio e ad applicare controlli più rigorosi.

In che modo le organizzazioni possono prevenire gli attacchi di typosquatting?

Le organizzazioni non possono impedire agli autori degli attacchi di registrare tutti i domini ingannevoli, ma possono ridurre la propria esposizione. La prevenzione dovrebbe combinare il monitoraggio dei domini, la sicurezza della posta elettronica, i controlli DNS, la formazione degli utenti e procedure di risposta ben definite.

• Monitorare le registrazioni dei domini — Tenere traccia dei domini di nuova registrazione, dei domini simili, dei domini di primo livello sospetti e delle varianti del marchio abbinate a parole chiave che potrebbero imitare l’organizzazione o i suoi partner.
• Registrate i domini difensivi — Assicuratevi di acquisire gli errori ortografici più comuni, i domini di primo livello alternativi e le varianti ad alto rischio prima che gli hacker possano utilizzarli.
• Rafforzare l'autenticazione delle e-mail — Utilizzate DMARC, SPF e DKIM per ridurre lo spoofing dei domini e facilitare l'identificazione delle e-mail fraudolente.
• Migliorare la sicurezza del DNS — Utilizzare il filtraggio DNS e i controlli di sicurezza per individuare modelli di risoluzione sospetti, bloccare i domini dannosi e ridurre il traffico reindirizzato.
• Utilizzi il filtraggio degli URL e l’isolamento del browser — Blocchi i domini noti come dannosi, i reindirizzamenti sospetti, i domini simili individuati di recente e gli URL collegati ad attività di phishing o di raccolta delle credenziali.
• Creare procedure operative per la rimozione — Definire un processo chiaro per segnalare, verificare e rimuovere rapidamente i domini fraudolenti o i siti web falsi.
• Utilizzate i segnalibri per i siti più importanti — Incoraggiate i dipendenti a salvare i siti web aziendali, i portali dei fornitori e le pagine di accesso utilizzati più di frequente, anziché digitare manualmente gli URL.
• Formare gli utenti sui domini simili: istruire i dipendenti a controllare i link, a non affrettarsi nel rispondere alle richieste di accesso e a segnalare i domini sospetti prima di inserire le credenziali.

Questi controlli sono più efficaci quando agiscono in sinergia. Il monitoraggio dei domini può aiutare a individuare registrazioni sospette, mentre la sicurezza della posta elettronica, l’ispezione degli URL, il filtraggio DNS e la sensibilizzazione degli utenti possono ridurre la probabilità che i dipendenti accedano a un sito falso o si fidino di esso.

Per le organizzazioni che necessitano di una protezione più efficace contro gli URL dannosi e i domini simili, Mimecast URL Protection consente di analizzare i link al momento del clic e di bloccare l'accesso a destinazioni sospette.

In che modo Mimecast può contribuire a proteggere dal typosquatting?

Mimecast aiuta le organizzazioni a proteggersi dal typosquatting, riducendo il rischio che gli utenti clicchino su link dannosi, pagine di phishing, siti finalizzati al furto di credenziali e reindirizzamenti sospetti.

Protezione dell'URL al momento del clic

Mimecast URL Protection consente di verificare i link presenti nelle e-mail e negli allegati nel momento in cui gli utenti vi cliccano sopra. Ciò è importante perché gli autori degli attacchi potrebbero inviare link che, al momento della ricezione, sembrano sicuri ma che in seguito reindirizzano a un sito dannoso, a una pagina di phishing, a una pagina di ransomware o a un dominio oggetto di typosquatting.

Protezione per la posta elettronica e gli strumenti di collaborazione

Il typosquatting non si manifesta solo nella posta elettronica tradizionale. Gli autori degli attacchi possono inserire collegamenti dannosi nei file condivisi, nelle conversazioni di Teams, nei contenuti di SharePoint, nei documenti di OneDrive e in altri canali di collaborazione; per questo motivo, la protezione dei collegamenti e dei contenuti dovrebbe estendersi oltre la posta in arrivo.

Visibilità dei rischi legati al personale e attività di coaching

Mimecast è in grado di collegare il comportamento relativo ai clic sui link alla gestione del rischio umano. Se alcuni utenti interagiscono ripetutamente con URL rischiosi, i team di sicurezza possono individuare schemi ricorrenti, fornire formazione, proporre suggerimenti comportamentali e concentrare la protezione laddove il rischio è maggiore.

Rafforzare le misure di difesa contro il typosquatting

Il typosquatting trasforma piccole differenze nei nomi di dominio in opportunità di phishing, malware, frodi e usurpazione di marchi. Una lettera mancante, un carattere invertito o un dominio di primo livello ingannevole possono essere sufficienti per fuorviare gli utenti, sottrarre credenziali o aprire una via d’accesso ai sistemi aziendali.

Per prevenire il typosquatting non basta chiedere agli utenti di “osservare attentamente” i link. Le organizzazioni necessitano di una protezione a più livelli che comprenda il monitoraggio dei domini, la sicurezza della posta elettronica, il filtraggio DNS, l’ispezione degli URL, l’isolamento del browser, i flussi di lavoro per la rimozione dei contenuti e la gestione dei rischi legati al fattore umano. Mimecast aiuta le organizzazioni a rafforzare la protezione contro URL dannosi, phishing, furti d’identità e minacce rivolte alle persone attraverso i canali di posta elettronica e di collaborazione.