Le conseguenze della perdita di un dominio sono immediate e gravi. Il sito va giù, l'email smette di funzionare e qualsiasi visitatore che digita il tuo indirizzo finisce in un posto che non controlli. Per un brand che ha costruito la sua reputazione su un nome preciso, il danno va ben oltre l'interruzione tecnica. Recuperare un dominio dirottato è possibile, ma è lento, incerto e a volte non riesce. L'approccio di gran lunga migliore è rendere difficile il dirottamento fin dall'inizio.
Che cos'è il dirottamento di un dominio?
Il dirottamento di un dominio avviene quando qualcuno prende il controllo di un dominio che possiedi senza il tuo permesso. L'attaccante trasferisce il dominio a un altro registrar, cambia la proprietà del dominio verso un altro account, oppure fa entrambe le cose in sequenza. Quando il trasferimento è completo, perdi la possibilità di gestire il dominio, rinnovarlo o puntarlo al tuo server.
È diverso dal domain squatting, in cui qualcuno registra un nome simile al tuo. Il dirottamento colpisce un dominio che possiedi già e su cui hai costruito il tuo brand. L'obiettivo dell'attaccante di solito è rivendertelo a un prezzo gonfiato, tenerlo in ostaggio, reindirizzare il tuo traffico o prendere il controllo della tua email per accedere ad altri account collegati a quell'indirizzo.
Per capire perché è possibile, aiuta capire come funziona normalmente un trasferimento di dominio. Quando sposti un dominio da un registrar a un altro, fornisci un codice di autorizzazione e confermi la richiesta. Il trasferimento richiede diversi giorni per completarsi e può essere annullato in quella finestra. I dirottatori sfruttano questo processo entrando nel tuo account presso il registrar o nel tuo indirizzo email, autorizzando loro stessi il trasferimento e completandolo prima che tu ti accorga di qualcosa. Puoi saperne di più su come funziona il processo di trasferimento nel capitolo su che cos'è un trasferimento di dominio.
Come avviene il dirottamento di un dominio?
Il dirottamento parte quasi sempre da uno di quattro punti di ingresso. Chiuderli tutti e quattro è il modo per proteggerti.
Attacchi di phishing contro il login del registrar
Il metodo più comune è un'email di phishing che imita un messaggio del tuo registrar di domini. Il messaggio può avvisarti che il dominio sta per scadere, che è stato rilevato un accesso sospetto o che devi verificare il tuo account. Il link nell'email porta a una finta pagina di accesso che cattura nome utente e password. Con quelle credenziali, l'attaccante accede al tuo account vero e avvia un trasferimento.
Le email di phishing rivolte ai proprietari di domini sono diventate molto convincenti. Copiano esattamente l'aspetto e il linguaggio delle vere comunicazioni dei registrar. L'unica difesa affidabile è non cliccare mai sui link nelle email che chiedono di accedere. Apri invece il sito del registrar direttamente dal browser e controlla da lì il tuo account.
Account email compromessi
Il tuo account presso il registrar è sicuro quanto l'indirizzo email collegato. Se un attaccante ottiene l'accesso alla tua email, può usare la funzione "password dimenticata" del registrar per reimpostare l'accesso e prendere il controllo del tuo account. Per questo l'email di contatto del registrar è uno dei beni più delicati che possiedi. Una password debole o riutilizzata su quell'account email crea una strada diretta verso il tuo dominio.
Password deboli o riutilizzate
Una password debole sull'account del registrar è un invito aperto. Gli attaccanti usano strumenti automatici che prendono combinazioni di nome utente e password trapelate da altre violazioni di dati e le provano in automatico sulle pagine di accesso dei registrar. Se riutilizzi una password di un qualsiasi altro servizio che sia mai stato compromesso, il tuo dominio è a rischio.
Attacchi di ingegneria sociale
Alcuni dirottatori aggirano del tutto i metodi tecnici e contattano direttamente l'assistenza clienti del registrar, fingendosi te. Dicono di aver perso l'accesso al proprio account e chiedono all'assistenza di reimpostare le credenziali. Se i tuoi dati di contatto WHOIS sono visibili pubblicamente, hanno già nome, email e indirizzo per sostenere la loro richiesta. È uno dei motivi per cui la privacy WHOIS conta per la sicurezza del dominio, tema trattato nel capitolo precedente su che cos'è la privacy WHOIS.
Quali sono le conseguenze del dirottamento di un dominio?
Gli effetti di un dirottamento riuscito si estendono ben oltre il dominio stesso. Il sito va offline nel momento in cui l'attaccante cambia le impostazioni DNS. I visitatori trovano errori o finiscono su una pagina che non hai creato. L'email inviata al tuo dominio rimbalza oppure arriva nella casella dell'attaccante, comprese le email di reimpostazione della password di qualsiasi servizio legato a quell'indirizzo. Ogni account che usa l'email del tuo dominio resta esposto.
Il danno al brand si accumula in fretta. I clienti che provano a raggiungerti non ci riescono. I partner che mandano email non ricevono risposta. Se l'attaccante mette una pagina fraudolenta sul tuo dominio, i visitatori possono essere ingannati o subire il furto dei dati, e il nome del tuo brand sarà associato a quell'esperienza.
Riavere il dominio tramite il processo di controversia di ICANN o un ordine del tribunale può richiedere da settimane a mesi. Non c'è garanzia di recupero. Alcuni domini vengono trasferiti a registrar di paesi dove è difficile portare avanti le controversie, e alcuni attaccanti rivendono i domini abbastanza in fretta da complicare le tracce. Più dura il recupero, più peggiorano il posizionamento del brand nelle ricerche e la reputazione della sua email.
Come si previene il dirottamento di un dominio?
La prevenzione è semplice. Ognuna delle misure qui sotto copre uno dei punti di ingresso che gli attaccanti usano. Insieme, rendono il dirottamento del tuo dominio molto più difficile che prendere di mira chi non ha adottato queste misure.
Tieni attivo il blocco del registrar (blocco del trasferimento)
Il blocco del registrar, chiamato anche blocco del trasferimento o blocco del dominio, è un'impostazione di stato che impedisce il trasferimento del tuo dominio a un altro registrar finché non lo disattivi in modo esplicito. Quando il blocco è attivo, qualsiasi richiesta di trasferimento viene respinta in automatico. La maggior parte dei registrar offre questa funzione e la lascia disattivata di default, che è l'opposto di quello che vuoi.
Accedi subito al tuo account presso il registrar e controlla se il blocco del dominio è attivo. Se è disattivato, attivalo. L'unico momento in cui dovresti disattivarlo è quando stai trasferendo tu stesso il dominio, e dovresti riattivarlo appena il trasferimento è completo.
Usa una password forte e unica per l'account del registrar
La password dell'account presso il registrar dovrebbe essere lunga, casuale e non usata altrove. Un gestore di password rende tutto facile. Genera una password di almeno 16 caratteri e conservala in un gestore di password, invece di scriverla o provare a ricordarla. Non riutilizzare mai per il login del registrar una password di un altro servizio.
Attiva l'autenticazione a due fattori sull'account del registrar
L'autenticazione a due fattori (2FA) richiede un secondo elemento di verifica, di solito un codice da un'app di autenticazione, oltre alla password quando accedi. Anche se un attaccante ottiene la tua password con un attacco di phishing o una violazione di dati, non può accedere al tuo account senza controllare anche il tuo secondo fattore. La maggior parte dei registrar principali supporta la 2FA. Se il tuo non la supporta, è un motivo per considerare di passare a uno che lo fa.
Usa un'app di autenticazione invece della verifica via SMS, quando possibile. I codici SMS possono essere intercettati con attacchi in cui qualcuno inganna il tuo operatore mobile e fa spostare il tuo numero su un dispositivo che controlla. Un autenticatore basato su app resiste meglio a questo rischio.
Tieni al sicuro e accessibile l'email di contatto WHOIS
L'indirizzo email nel record WHOIS del tuo dominio è quello che il registrar usa per inviare le richieste di conferma del trasferimento. Se un attaccante avvia un trasferimento, un'email di conferma arriva a quell'indirizzo. Se non hai più accesso a quell'indirizzo, o se lo controlla l'attaccante, il trasferimento può andare a buon fine a tua insaputa.
Usa un indirizzo email dedicato per la registrazione del dominio, non un'email personale che potresti abbandonare né una casella condivisa a cui altri hanno accesso. Assicurati che l'account abbia una password forte e la 2FA attiva. Controllalo con una frequenza tale da notare un'email di conferma del trasferimento prima che la finestra di trasferimento si chiuda.
Attiva la privacy WHOIS per ridurre il rischio di ingegneria sociale
Quando la privacy WHOIS è disattivata, nome, indirizzo email, numero di telefono e indirizzo postale si trovano pubblicamente nel database WHOIS globale. Queste informazioni danno a chi pratica ingegneria sociale tutto quello che serve per impersonarti quando contatta l'assistenza del registrar. La privacy WHOIS sostituisce i tuoi dati di contatto personali con dati di contatto generici del registrar, eliminando la materia prima per questo tipo di attacco.
I dettagli completi su come funziona la privacy WHOIS e cosa protegge sono nel capitolo precedente su la privacy WHOIS. Se non è già attiva sul tuo dominio, attivarla ora elimina un altro rischio.
Registra il dominio presso un registrar affidabile
Non tutti i registrar hanno gli stessi standard di sicurezza o le stesse pratiche di assistenza. Un registrar con una verifica rigorosa dell'identità, procedure chiare di escalation per le controversie sugli account e un buon supporto della 2FA ha meno probabilità di consegnare il tuo dominio a chi si finge te rispetto a uno che si affida a verifiche minime. Registrare un dominio presso un fornitore economico per risparmiare pochi dollari crea un compromesso sulla sicurezza che non vale la pena di accettare. Il capitolo su come registrare un dominio spiega cosa guardare nella scelta di un registrar.
Rinnova la registrazione del dominio prima che scada
Un dominio scaduto è un dominio vulnerabile. Quando la registrazione decade, il dominio entra in un periodo di tolleranza e poi diventa disponibile per chiunque lo registri. Gli attaccanti monitorano i domini in scadenza, soprattutto quelli con brand consolidati e backlink, e li registrano nell'istante in cui vengono rilasciati. A quel punto recuperare il dominio richiede di trattare con chi lo ha registrato, e può essere costoso o impossibile.
Attiva il rinnovo automatico su ogni dominio che possiedi. Imposta un promemoria in calendario almeno 60 giorni prima della scadenza, come riserva. Assicurati che il metodo di pagamento registrato sia aggiornato, così il rinnovo automatico non fallisce in silenzio. Se vuoi capire l'intera sequenza della scadenza e cosa succede a ogni fase, il capitolo su cos'è la scadenza del dominio e come controllarla tratta ogni fase nel dettaglio. Il capitolo su come comprare un nome di dominio in modo permanente tratta strategie di registrazione a lungo termine che riducono ancora il rischio di scadenza.
Cosa fare se il tuo dominio è stato dirottato?
La velocità conta. Prima agisci, maggiori sono le possibilità di recupero. Ecco l'ordine delle azioni da compiere.
Contatta subito l'assistenza del registrar e segnala il trasferimento non autorizzato. Fornisci più documentazione possibile, comprese le ricevute della registrazione originale, lo storico dei pagamenti e qualsiasi corrispondenza che ti indichi come legittimo proprietario. I registrar hanno procedure per gestire le segnalazioni di dirottamento e a volte possono bloccare o annullare un trasferimento se è stato avviato da poco e non si è ancora completato del tutto.
Se il dominio è già stato trasferito a un altro registrar, presenta un reclamo a ICANN tramite il suo processo di controversia sui trasferimenti. Questo processo è pensato proprio per gestire i trasferimenti non autorizzati e può imporre a un registrar di annullarne uno. Di solito richiede da 30 a 60 giorni e serve documentare la proprietà.
In parallelo, documenta tutto. Fai screenshot del tuo account presso il registrar, di tutte le email ricevute e di ogni modifica visibile in WHOIS. Questa documentazione sostiene sia il reclamo a ICANN sia qualsiasi azione legale che dovessi intraprendere.
Cambia subito la password e attiva la 2FA sull'account del registrar e sull'email di contatto WHOIS, anche se il dominio è già stato spostato. Se un attaccante ha compromesso quegli account, lasciarli aperti espone gli altri domini che possiedi e permette all'attaccante di interferire con qualsiasi tentativo di recupero.
Quanto dura il recupero?
I tempi di recupero variano molto a seconda di quanto in fretta agisci, di quanto è collaborativo il registrar ricevente e del fatto che il dominio abbia cambiato mano più di una volta. Il processo formale di controversia di ICANN richiede da settimane a mesi. La collaborazione volontaria del registrar ricevente può accelerare le cose, ma non è garantita. I procedimenti legali con un ordine del tribunale richiedono ancora di più e non danno certezza di successo.
Il dirottamento di un dominio è più difficile da recuperare della maggior parte degli incidenti di sicurezza perché non c'è un pulsante "annulla". Una password compromessa si può reimpostare. Un account email violato si può recuperare. Un dominio trasferito è sotto il controllo di qualcun altro, in un altro account, magari presso un altro registrar in un altro paese. I documenti della registrazione originale aiutano, ma non sempre bastano da soli.
Per questo i passaggi di prevenzione contano più di quelli di recupero. L'obiettivo è rendere così difficile il dirottamento del tuo dominio che un attaccante passi a un bersaglio più facile. Se vuoi evitare gli errori più comuni che lasciano esposti i domini fin dall'inizio, il capitolo su errori sul nome di dominio da evitare tratta gli schemi più ampi che mettono a rischio i proprietari di domini.
Come gestisce WEMASY la sicurezza del dominio
Quando registri un dominio tramite WEMASY, il blocco del trasferimento è attivo di default su tutti i domini. La privacy WHOIS è inclusa in ogni registrazione senza costi aggiuntivi. La registrazione del tuo dominio è legata direttamente al tuo account WEMASY, che supporta l'autenticazione a due fattori, quindi per accedere alla gestione del dominio servono sia la password sia il secondo fattore.
Il rinnovo automatico è attivo di default per tutti i domini registrati tramite WEMASY e i promemoria di rinnovo arrivano 90, 60 e 30 giorni prima della scadenza, così non c'è rischio di un rinnovo saltato. Vedi cosa include ogni piano nella pagina dei prezzi di WEMASY.
Domande frequenti sul dirottamento di un dominio
Un dominio può essere dirottato anche se non ho fatto nulla di sbagliato?
Sì. Il dirottamento non è sempre causato da negligenza del proprietario. Una violazione di dati in un servizio dove hai riutilizzato la password del registrar, un'email di phishing sofisticata e difficile da riconoscere o una telefonata di ingegneria sociale all'assistenza del registrar possono riuscire anche se sei stato attento. Per questo conta una protezione a più livelli, con blocco del registrar, 2FA e privacy WHOIS. Nessuna misura da sola è infallibile, ma insieme alzano molto la difficoltà. Con il creatore di siti di WEMASY puoi configurarlo direttamente sul tuo sito.
Il blocco del registrar previene tutti i tipi di dirottamento di un dominio?
Il blocco del registrar previene i trasferimenti non autorizzati verso un altro registrar. Non impedisce a un attaccante che ha già ottenuto l'accesso al tuo account presso il registrar di cambiare i tuoi record DNS, i nameserver o i dati di contatto. Per una protezione completa servono il blocco del registrar più una password forte, la 2FA e un'email di contatto sicura. Ogni livello ferma un tipo di attacco diverso.
Che differenza c'è tra dirottamento del dominio e dirottamento DNS?
Il dirottamento del dominio trasferisce la proprietà della registrazione stessa. Il dirottamento DNS cambia dove punta il dominio senza trasferirne la proprietà. Nel dirottamento DNS, l'attaccante modifica i record DNS nel tuo account presso il registrar per reindirizzare il traffico verso un server che controlla, ma il tuo nome resta sulla registrazione. Entrambi sono gravi ed entrambi si prevengono proteggendo l'account. Il blocco del registrar affronta in particolare il dirottamento del dominio, bloccando i trasferimenti. Il dirottamento DNS si previene proteggendo l'accesso all'account con una password forte e la 2FA.
Se il mio dominio viene dirottato, Google rimuove il mio sito dall'indice?
Non subito. L'indice di Google riflette l'ultimo stato scansionato del tuo sito. Ma se l'attaccante cambia i tuoi DNS per puntare a contenuti diversi, Google prima o poi scansionerà i nuovi contenuti e aggiornerà l'indice di conseguenza. Se i nuovi contenuti violano le linee guida di Google, può seguire una penalizzazione manuale. Più a lungo il dominio resta fuori dal tuo controllo, più possono peggiorare il posizionamento e la reputazione del sito. Agire in fretta è importante per proteggere la presenza nelle ricerche, non solo l'accesso al sito.
Dovrei registrare il dominio nello stesso posto in cui ospito il sito?
Ci sono opinioni diverse. Tenere insieme dominio e hosting semplifica la gestione e riduce il numero di account da proteggere. Alcuni brand preferiscono registrare il dominio separatamente dal fornitore di hosting come precauzione, così la violazione di un account non espone subito entrambi. Entrambi gli approcci possono essere resi sicuri con una buona cura degli account. Se li tieni insieme, la priorità è assicurarsi che quell'account condiviso abbia una password forte, la 2FA attiva e il blocco del registrar attivo.
Il prossimo capitolo tratta i certificati SSL e i domini: cosa fa un certificato SSL, come si collega al tuo dominio e perché influisce sul modo in cui visitatori e browser percepiscono il tuo sito.