Similar domain: cosa sono, come riconoscerli e come difendersi

I similar domain sono tra le insidie più subdole dell’attuale panorama digitale in continua evoluzione: nomi di dominio creati ad arte per imitare quelli legittimi che, sfruttando le debolezze umane, possono divenire i precursori di una vasta gamma di azioni offensive.

Le minacce dovute a questi domini sono in costante aumento, alimentate dalla crescente dipendenza dalla tecnologia e dalla diffusione di pratiche dannose come il phishing o il brandjacking. Le conseguenze di un attacco che sfrutta i similar domain possono essere devastanti, dal danno reputazionale fino al completo dissesto finanziario.

Per i professionisti della cyber security è essenziale comprendere a fondo l’anatomia di questo pericolo e valutare quali siano le migliori strategie difensive.

Similar domain: cosa sono

I similar domain sono creati con l’intento di imitare i nomi di dominio legittimi, sfruttando l’ingegneria sociale e le sottili sfumature del linguaggio per ingannare gli utenti, al fine di condurli a navigare su siti web malevoli creati ad hoc.

L’obiettivo finale può variare, ma ciò che conta è che questi nomi di dominio siano sempre creati per incanalare traffico web con scopi fraudolenti.

L’efficacia dei domini clone sta nella capacità di trarre in inganno gli utenti, sfruttando sia la disattenzione che la fiducia in un marchio o un nome noto, modificando minimamente l’ortografia, aggiungendo un prefisso o un suffisso che ad un occhio inesperto può apparire identico al dominio originale.

Similar domain: i quattro principi alla base degli attacchi

La creazione di similar domain o domini look-alike si basa solitamente su quattro principi linguistici:

1. Omografia: parole che hanno la medesima grafia ma significati diversi. In questo contesto possiamo citare a titolo di esempio caratteri che paiono identici ma provengono da alfabeti diversi, come ad esempio il cirillico а al posto del latino a. Appare chiaro come ciò permetta di creare domini molto difficili da distinguere visivamente da quelli legittimi.
2. Omofonia: parole che hanno il medesimo suono ma grafia e significati diversi. Gli attaccanti possono creare domini che suonano simili a quelli legittimi, aumentando la possibilità di errori di battitura e confusione da parte degli utenti.
3. Typosquatting: errori di battitura comuni, come ad esempio: cyberscurity360.it invece di cybersecurity360.it. Gli attaccanti registrano questi domini nella speranza che durante la navigazione gli utenti commettano tali errori di digitazione e vadano a navigare su siti simili.
4. Variazioni ortografiche: variazioni minori nell’ortografia di un dominio, come ad esempio aggiunta e omissione di lettere, uso di trattini o sostituzione di caratteri simili (cybersecurity360.it vs cybersecurity36O.it).

Questi principi linguistici permettono di perpetrare una serie di attacchi sfruttando:

1. Inganno visivo: l’omografia e le variazioni ortografiche creano un’illusione, facendo sembrare il similar domain identico o quasi a quello legittimo, inducendo gli utenti in errore.
2. Confusione uditiva: l’omofonia può causare confusione quando un dominio viene comunicato oralmente, portando a digitare erroneamente l’indirizzo.
3. Sfruttamento degli errori umani: il typosquatting fa leva sugli errori di battitura, comuni soprattutto con indirizzi lunghi o complessi.

La minaccia dei domini clone è in continua evoluzione e i cyber criminali affinano le proprie tecniche, sfruttando ad esempio caratteri Unicode per creare domini visivamente indistinguibili da quelli legittimi.

Questa tendenza, nota come homograph attack, rende ancora più difficile individuare i similar domain, sottolineando la necessità di un approccio multilivello nella difesa del cyberspazio.

L’esempio: wikipedia.org

Prendiamo come esempio uno dei domini più visitati in Italia nel 2024: wikipedia.org. Utilizzando tool proprietari per l’analisi della domain reputation di base, sono stati rilevati oltre 170 domini registrati simili a wikipedia.org, ciascuno generato attraverso diverse tecniche di permutazione.

Alcuni casi significativi:

• wkiipedia.org: typosquatting (trasposizione di lettere)
• wikipediao.org: addition (aggiunta di una lettera)
• wiki.pedia.org: subdomain (creazione di un sottodominio)
• qikipedia.org: replacement (sostituzione di una lettera)
• wikipediaonline.org: dictionary (combinazione di parole)

L’analisi di base mostra come per ciascun similar domain individuato, la tabella sottostante riporti l’indirizzo IP associato, un punteggio di affidabilità che indica la probabilità che il dominio sia coinvolto in attività malevole, il tipo di utilizzo rilevato e il livello di rischio corrispondente.

Infine, per ogni dominio, vengono fornite indicazioni su come affrontare la minaccia, suggerendo azioni come la limitazione della velocità di connessione, il blocco temporaneo dell’indirizzo IP o il semplice monitoraggio del traffico, a seconda del livello di rischio valutato.

La tabella dimostra come anche i siti web più autorevoli siano vulnerabili alla creazione di domini simili, utilizzati per frodi online come phishing e furto di dati. L’utente, tratto in inganno dalla somiglianza con il sito originale, rischia di fornire informazioni sensibili o cliccare su link dannosi.

Sebbene non tutti i similar domain siano malevoli, è cruciale un monitoraggio costante e l’adozione di misure preventive per mitigare i rischi: l’attenzione ai dettagli e la verifica dell’autenticità dei siti web sono fondamentali per una navigazione sicura.

Impatto dei similar domain e strategie di difesa

Le conseguenze di un attacco perpetrato utilizzando domini look-alike possono essere devastanti sia a livello individuale che aziendale.

Per gli utenti, il principale rischio è da identificarsi con la compromissione dell’integrità dei dati personali e delle credenziali di accesso, che possono essere sfruttati sia per furti di identità che frodi finanziarie, sia a medio che a breve termine, nonché danni reputazionali che generalmente sono irreparabili.

Parimenti, per le aziende, l’utilizzo di domini clone da parte di cyber criminali porta ad una significativa erosione della fiducia delle terze parti con le quali interagiscono, con conseguenti perdite economiche dirette ed indirette e il potenziale deterioramento del valore del marchio.

Per contrastare questa minaccia, è opportuno adottare un approccio proattivo che integri strategie di monitoraggio, analisi del rischio, soluzioni tecniche dedicate e formazione degli utenti.

Si possono individuare una serie di aree di azione interessate:

1. Implementazione di sistemi di rilevamento basati su AI: l’utilizzo di machine learning ed algoritmi di apprendimento automatico permette di processare in breve tempo grandi quantità di dati provenienti da diverse fonti, identificando pattern sospetti e similar domain potenzialmente dannosi. L’integrazione di tecniche di Natural Language Processing può ulteriormente migliorare l’accuratezza di questi tool per individuare quelle che sono le tipiche red flag riconducibili a frodi e phishing.
2. Valutazione periodica del rischio: l’analisi del rischio dovrebbe essere condotta in maniera sistematica ed a cadenza periodica, tenendo conto sia della tipologia del marchio che delle vulnerabilità specifiche della infrastruttura aziendale, nonché delle minacce emergenti più comuni e tipiche del settore di business.
3. Integrazione di informazioni di threat intelligence: l’utilizzo di feed dedicati ed aggiornati provenienti da fonti affidabili (ad esempio CERT) permette di ottenere una visione d’insieme integrale delle minacce, approfondendo la postura legata i similar domain.

Da non sottovalutare anche le azioni di monitoraggio proattivo dell’utilizzo che viene effettuato online del proprio marchio.

Tool basati su web scraping e analisi dei social media consentono di individuare in maniera tempestiva quelli che siano eventuali similar domain che sfruttino variazioni del nome aziendale, permettendo di intraprendere azioni legali mirate, come ad esempio le richieste di takedown o di riassegnazione del dominio.

Sono consigliabili anche una serie di azioni tecniche, ad esempio l’implementazione di tecnologie come DNSSEC, che garantisce l’autenticità delle risposte DNS, e DMARC, che protegge il dominio da spoofing e phishing, ad oggi strumenti fondamentali per mitigare quelli che sono i rischi derivanti dai similar domain.

Da non dimenticare anche i più classici sistemi antispam e antimalware, che, pur non essendo verticalmente studiati per limitare l’impatto di questa tipologia di attacco, sono certamente strumenti utili per combattere e ridurre il rischio.

La formazione continua degli utenti in merito alle minacce emergenti e sulle modalità di riconoscimento dei domini look-alike è essenziale per prevenire attacchi. Insegnare a prestare attenzione ai dettagli, come sempre in cyber security, può contribuire in maniera significativa a ridurre la possibilità di cadere vittima di frodi online e di attacchi di social engineering.

La sfida continua

La lotta contro le tecniche di attacco che si basano su similar domain non è una semplice questione tecnica, ma una sfida continua che richiede costante dedizione e condivisione da parte di tutti gli attori coinvolti nel panorama digitale: aziende, istituzioni e singoli utenti devono essere consci della gravità di questa minaccia e adottare un approccio proattivo per proteggersi.

Ogni giorno migliaia di utenti cadono vittima di attacchi di social engineering, di furti di identità e di frodi a causa di questi domini creati per ingannare e trarre vantaggio dalle vulnerabilità umane.

È tempo di agire, implementare soluzioni tecniche mirate e funzionali, ma soprattutto sensibilizzare e formare gli utenti, che ancora una volta sono fondamentali per creare e mantenere una cultura della sicurezza informatica diffusa e consapevole.