Leggere l’URL contro il phishing: lookalike, IDN e truffe «quasi uguali»

Lookalike, IDN e domini «quasi uguali»: come leggere l’host contro il phishing, cosa fare con i caratteri strani e quali abitudini riducono gli errori.

Nell’articolo su cosa indica davvero il lucchetto HTTPS ho spiegato che cifratura ≠ onestà del sito. Resta un pezzo pratico: come leggere l’host quando i caratteri sembrano giusti, ma non lo sono.

Qui mi concentro sugli inganni tipografici e di struttura: lookalike, typosquatting, sottodomini bugiardi e IDN/Punycode. L’obiettivo non è trasformarti in un analista di sicurezza, ma allenare l’occhio sull’unico pezzo dell’indirizzo che decide chi controlla la pagina: l’host. Il lucchetto HTTPS dice solo che la connessione è cifrata, non che il sito è quello che dichiara di essere.

Se ti è arrivato un link concreto e vuoi un secondo controllo (dominio effettivo, lookalike, @, Punycode) senza inviarmi l’indirizzo, puoi usare il tool offline Analizza un link: rende visibili i segnali che di solito sfuggono a occhio, con un consiglio pratico — non una sentenza di phishing.

La regola pratica: isolare l’host

Quando apri un link, il browser mostra una stringa spesso lunghissima. Per capire chi controlla la pagina ti basta una sezione: l’host (nome a dominio).

ℹ️ Nota / Prerequisito operativo
Se non hai familiarità con le parti di un indirizzo, la lettura opzionale è cosa c’è dentro un URL. Qui resto solo sull’host.

L’host si trova subito dopo https:// e finisce prima del primo / (slash singolo). Tutto ciò che viene dopo lo slash (il path) è sotto il controllo di chi possiede quell’host.

Se il sito reale della tua banca fosse banca.it, una pagina che inizia con https://banca.it/ è sotto quel dominio. Se l’host è un altro, il resto dell’indirizzo — anche se contiene la parola «banca» — non ti dice chi sei di fronte.

Pattern visivi dei domini lookalike

Chi registra domini per frode spesso punta a somiglianze visive, non a copie perfette. Questi sono pattern di struttura tipici (esempi fittizi, solo per allenare l’occhio).

1. Typosquatting classico

Si sfrutta la fretta o un errore di digitazione. Caratteri che, in certi font, si confondono:

• «m» ↔ «rn»: arnazon.com invece di amazon.com
• «l» (elle) ↔ «1» (uno): paypa1.com anziché paypal.com
• lettere mancanti o doppie: googl.com, facebbok.com

2. Suffissi e «hyphen soup»

Si unisce il nome del brand a parole di urgenza/sicurezza, separate da trattini. L’occhio vede il brand e si ferma:

• Esempio ingannevole: poste-login-sicurezza.com
• Host reale: l’intero blocco poste-login-sicurezza.com — non è poste.it

3. Sottodominio bugiardo

I sottodomini (prima del dominio registrabile, separati da .) li controlla il proprietario del dominio principale. L’attaccante mette il brand come sottodominio del suo sito:

• Esempio: www.paypal.com.verifica-dati.net
• Host reale: verifica-dati.net (non paypal.com)

4. TLD diversi

Il nome sembra uguale, cambia l’estensione (.co, .site, .xyz, .online…). Non è una prova automatica di truffa, ma se un servizio italiano che usi di solito su .it / .com ti arriva all’improvviso su un TLD strano via SMS urgente, fermati e verifica fuori dal messaggio.

Attacchi omografici, IDN e Punycode

C’è un livello più sottile: non solo la fretta umana, ma come i computer distinguono i caratteri. Si parla di phishing omografico e di IDN (Internationalized Domain Names).

Il DNS storico gestiva soprattutto ASCII (lettere latine, numeri, trattini). Per domini in altri alfabeti esiste Punycode: una traduzione in ASCII che inizia con xn--.

Alcune lettere di alfabeti diversi sembrano identiche a quelle latine. Una «a» cirillica (U+0430) e una «a» latina (U+0061) sul monitor possono apparire uguali; per il computer sono due code point diversi. Un dominio «tipo apple.com» con una lettera sostituita può quindi sembrare corretto e non esserlo.

Cosa fanno i browser moderni

Chrome, Edge, Firefox (e in larga misura Safari) applicano policy anti-omografo: se un dominio mescola script in modo sospetto, possono mostrare la forma Punycode (xn--…) invece dei glifi «belli». Non è un interruttore magico su ogni caso, ma è un aiuto reale.

Se nella barra vedi https://xn--… mentre ti aspettavi un sito locale in caratteri latini, non assumere che sia il servizio che conosci: verifica host e, meglio, apri il sito dai segnalibri.

Laboratorio pratico: leggere il browser

Prima di cliccare: anteprima del link (hover / long-press)

Il testo blu può dire «banca.it»; la destinazione HTML può puntare altrove.

• Windows / macOS / Linux (Chrome, Edge, Firefox, Safari): passa il mouse sul link senza cliccare. In basso a sinistra compare l’URL reale — è lì che isoli l’host.
• Android / iOS: tieni premuto a lungo sul link. Il menu contestuale mostra di solito l’URL completo (o un’anteprima).

⚠️ Attenzione — Clic involontari su mobile
Un long-press impreciso può diventare un tap. Se il messaggio è già sospetto, la mossa più sicura è non interagire e aprire il servizio a mano.

Dopo aver cliccato: la barra degli indirizzi

Se hai già aperto la pagina, guarda la barra in alto — non loghi, design o countdown di urgenza.

Nei browser desktop l’host principale è spesso evidenziato (più scuro) rispetto al resto. Se hai dubbi: doppio clic nella barra, copia l’URL e incollalo in Blocco note / TextEdit / un editor semplice. Fuori dal contesto visivo del sito, xn--, trattini e lettere scambiate saltano più facilmente all’occhio. In alternativa, incolla lo stesso indirizzo in Analizza un link: vedi subito dominio effettivo e indicatori (lookalike, mixed-script, @) senza lasciare il browser.

Abitudini che riducono l’errore umano

Leggere l’URL aiuta; sotto stress (conto bloccato, pacco in giacenza) l’occhio salta i controlli. Meglio abitudini meccaniche.

1. Segnalibri per i servizi critici

Non cercare «banca login» su Google ogni volta (anche gli annunci possono essere lookalike). Salva l’URL corretto nei segnalibri e parti da lì.

2. Parti dall’homepage / dall’app

Se un’email dice «hai un documento urgente in area riservata», non cliccare il link del messaggio. Apri il servizio dai preferiti o dall’app ufficiale e controlla lì.

3. Tratta con sospetto i link via SMS

Sullo schermo piccolo la barra mostra pochi caratteri; i link abbreviati nascondono l’host. Meglio aprire l’app o digitare l’indirizzo noto.

Per gli SMS di banche e corrieri ho raccolto una routine di quattro domande, da fare con il messaggio aperto: come riconoscere gli SMS falsi in 20 secondi.

4. Password manager come allarme pratico

Un gestore di password confronta l’host (di solito l’origine salvata), non il design della pagina. Se hai salvato le credenziali per amazon.com, su arnazon.com o su molte varianti lookalike di solito non propone l’autofill.

Se arrivi a un login e il password manager non propone nulla, fermati e rileggi l’host. È uno dei segnali quotidiani più utili — approfondimento opzionale: guida pratica al password manager.

Checklist operativa ed errori tipici

Prima di inserire dati sensibili, se sei arrivato da un link o da un messaggio:

1. Ho isolato l’host (subito prima del primo /)?
2. Ci sono typos, lettere scambiate o trattini «di sicurezza»?
3. Il brand è finito in un sottodominio o nel path?
4. Vedo un xn-- (Punycode) che non mi aspettavo per questo servizio?
5. Se resti in dubbio, ho incollato il link in Analizza un link e letto dominio effettivo + consiglio?

Errori comuni

• Fidarsi solo del lucchetto HTTPS — cifra il canale; anche un host falso può avere un certificato valido.
• Fidarsi del design — clonare logo e layout richiede pochi minuti; non è prova di autenticità.
• Farsi prendere dalla fretta — nessuna banca seria chiude un conto in dieci minuti perché non hai cliccato un SMS. Rileggi l’host.

Domande Frequenti (FAQ)

Cos’è un dominio lookalike nel phishing?

È un nome a dominio registrato per somigliare a quello di un servizio legittimo (es. paypa1.com invece di paypal.com, o brand-login-sicurezza.com). L’obiettivo è che, leggendo di fretta, tu non noti la differenza.

Cos’è l’IDN o il Punycode in parole semplici?

L’IDN permette caratteri oltre l’ASCII classico nei nomi a dominio. Dietro le quinte molti di questi nomi diventano una stringa ASCII Punycode che inizia con xn--. Se la barra mostra xn--…, stai guardando quella forma «vera» per la macchina.

Il lucchetto HTTPS protegge dai lookalike?

No. Il lucchetto indica connessione cifrata e (di solito) un certificato accettato dal browser per quel host. Non dimostra che l’host sia l’azienda che ti aspetti.

Come distinguo un sottodominio truffa dal sito ufficiale?

Guarda la parte subito prima del primo /. In https://login.banca.it.dominio-truffa.com/ l’host rilevante è dominio-truffa.com; login.banca.it è solo un sottodominio del dominio dell’attaccante.

Cosa faccio se il password manager non propone l’autofill?

Non compilare a mano. Verifica l’host carattere per carattere (o aprendo il servizio dai segnalibri). L’assenza di autofill è un segnale forte che l’origine non coincide con quella salvata — non una garanzia assoluta, ma un allarme utile.

I caratteri «strani» o xn-- nell’URL sono sempre una truffa?

No. Siti internazionali usano IDN in modo legittimo. Se però un servizio locale che conosci in caratteri latini compare all’improvviso come xn--… da un link urgente, trattalo come sospetto finché non lo confermi fuori dal messaggio.

Meglio cliccare il link dell’SMS o aprire l’app / il sito a mano?

Di regola è più sicuro aprire l’app ufficiale o l’URL dai segnalibri. Gli SMS sono facili da falsificare e sui telefoni l’host è più difficile da leggere per intero.

Letture opzionali

• Tool: Analizza un link — controllo locale su lookalike, IDN e struttura dell’URL
• Email di notifica breach false (phishing)
• Cosa indica davvero il lucchetto HTTPS
• Cosa c’è dentro un URL: protocollo, host, path, query e frammento
• Password manager in pratica