Perché verificare gli URL sospetti?
Il phishing tramite URL resta il vettore di attacco numero 1 via email. Secondo l'Anti-Phishing Working Group (APWG), nel 2023 sono stati registrati oltre 4,7 milioni di attacchi di phishing, un record storico. Il rapporto Verizon DBIR 2024 conferma: il 36% delle violazioni di dati coinvolge il phishing.
Il meccanismo è semplice. I cybercriminali creano pagine che imitano servizi legittimi (banche, social network, webmail) per rubare credenziali. Questi link circolano via email, SMS e social network. La durata media di vita di un URL di phishing è inferiore a 24 ore. Questo rende la verifica in tempo reale indispensabile.
Tre motivi per verificare un link prima di cliccarci:
- Protezione personale: Un singolo link trappola in un'email basta per catturare le tue credenziali bancarie o email in meno di 10 secondi
- Protezione della tua organizzazione: Il 91% degli attacchi informatici mirati inizia con un'email di phishing (Trend Micro). Un clic compromette l'intera rete
- Verifica proattiva: Se gestisci un sito web, verifica che il tuo dominio non sia erroneamente segnalato (falso positivo) nei database di minacce
Come usare il phishing URL checker in 3 passaggi
Passaggio 1: inserisci l'URL sospetto
Incolla l'URL completo nel campo di input. Lo strumento accetta tre formati:
- URL completo:
https://suspicious-site.com/login - Dominio nudo:
suspicious-site.com - Indirizzo IP:
192.168.1.1
L'URL viene normalizzato automaticamente (rimozione degli spazi, conversione in minuscolo, rimozione del frammento).
Passaggio 2: avvia la verifica
Clicca su Verifica. Lo strumento interroga in parallelo fino a 3 fonti di threat intelligence. Ogni fonte viene interrogata in modo indipendente con il proprio timeout.
Passaggio 3: analizza il rapporto
Il rapporto mostra:
- Verdetto complessivo: Sicuro, Sospetto o Malevolo
- Punteggio di rischio: Da 0 (nessun rischio) a 100 (critico)
- Dettagli per fonte: Stato, tipi di minaccia, tempo di risposta
- Diagnostica: Errori, avvisi e informazioni sulla copertura
Come funzionano i database di threat intelligence?
I database di threat intelligence sono repertori di minacce note. Vengono alimentati da più canali: segnalazioni degli utenti, analisi automatizzata del malware, honeypot e partnership con fornitori di sicurezza.
| Fonte | Che cosa copre | Input accettati | Punto di forza |
|---|---|---|---|
| Google Web Risk | Ingegneria sociale (phishing), malware, software indesiderato | URL, dominio | Le stesse liste che attivano gli avvisi di Chrome, Firefox e Safari |
| VirusTotal | Aggregato di oltre 70 motori e servizi di reputazione degli URL | URL, dominio | Un consenso multi-motore invece del parere di un singolo fornitore |
| URLhaus (abuse.ch) | Solo distribuzione di malware, mai phishing | URL, dominio, indirizzo IP | Unica fonte che accetta un indirizzo IP. Indice locale aggiornato ogni 10 minuti |
Le tre fonti non guardano la stessa cosa, ed è proprio per questo che vengono interrogate insieme. Google Web Risk e VirusTotal coprono il phishing; URLhaus elenca soltanto URL che distribuiscono un file malevolo. Conseguenza pratica: un esito pulito di URLhaus non dice nulla sul phishing, dice solo che l'URL non è noto per distribuire malware.
PhishTank, a lungo il database comunitario di riferimento per il phishing (verifica umana della comunità OpenDNS), ha chiuso le iscrizioni. L'analisi si concentra ora sui tre feed più affidabili e attivamente mantenuti.
Come si calcola il punteggio di rischio
Il punteggio di rischio non è una somma di punti. È un livello di fiducia fissato dal verdetto e poi affinato in base a quante fonti concordano. Una sola fonte autorevole basta per un punteggio alto: non diluiamo la fiducia sommando pesi parziali.
| Verdetto | Fonti che reagiscono | Punteggio di rischio | Livello |
|---|---|---|---|
| Sicuro | Nessuna fonte segnala il bersaglio | 0 | Nessuno |
| Sospetto | Un segnale debole (VirusTotal sotto la soglia, o la copertura estesa di Google Web Risk) | ~35 | Medio |
| Malevolo | Una fonte autorevole conferma (Google Web Risk, URLhaus o VirusTotal con più motori) | ~75 | Alto |
| Malevolo | Due fonti concordano | ~90 | Critico |
| Malevolo | Tutte e tre le fonti concordano | 100 | Critico |
L'idea chiave: una sola fonte autorevole, come Google Web Risk, basta a raggiungere un punteggio alto da sola. L'aggiunta di una seconda fonte concordante porta la fiducia a critico. Una rilevazione isolata di VirusTotal con uno o due motori soltanto è trattata come un probabile falso positivo (Sospetto, circa 35), non come una minaccia confermata.
Casi d'uso concreti
Caso 1: email di phishing bancario
Sintomo: Ricevi un'email dalla tua "banca" che ti chiede di verificare il tuo conto tramite un link.
Diagnosi: Incolla l'URL nello strumento. Google Web Risk che lo conferma da solo basta per un punteggio alto (circa 75). Se anche VirusTotal lo segnala, due fonti concordano e il punteggio sale a critico (circa 90). I tipi di minaccia "phishing" e "social_engineering" appariranno nei risultati.
Azione: Non cliccare. Segnala l'email come phishing al tuo provider email. Accedi al sito della tua banca direttamente dal browser. Se hai già cliccato, cambia subito la tua password.
Caso 2: link abbreviato in un SMS
Sintomo: Un SMS contiene un link abbreviato (bit.ly, tinyurl) che ti chiede di "aggiornare il tuo pacco".
Diagnosi: Espandi prima il link abbreviato (esistono strumenti online per visualizzare l'URL finale). Poi verifica l'URL finale nel nostro strumento.
Azione: Se l'URL finale è segnalato, elimina l'SMS. I servizi di spedizione legittimi non chiedono mai pagamenti via SMS.
Caso 3: falso positivo sul tuo dominio
Sintomo: Il tuo sito è segnalato come pericoloso dai browser, ma non contiene nulla di malevolo.
Diagnosi: Verifica il tuo dominio nello strumento per identificare quale fonte ti segnala. Consulta il link di riferimento della fonte per capirne il motivo.
Azione: Contatta la fonte interessata per richiedere la rimozione (delist). Verifica anche che nessun contenuto iniettato (hack, redirect) sia presente sul tuo sito.
FAQ - Domande frequenti
D: Come verifico se un link è phishing?
R: Incolla l'URL sospetto nel campo di input e clicca su Verifica. Lo strumento interroga 3 database di minacce (Google Web Risk, VirusTotal, URLhaus) e fornisce un verdetto chiaro con un punteggio di rischio da 0 a 100.
D: Quali fonti di dati vengono utilizzate?
R: Vengono interrogate tre fonti complementari. Google Web Risk rileva ingegneria sociale, malware e software indesiderato, a partire dalle liste che attivano gli avvisi dei browser. VirusTotal aggrega oltre 70 motori antivirus per un verdetto di consenso. URLhaus (abuse.ch) copre soltanto la distribuzione di malware, mai il phishing, ed è l'unica fonte che accetta un indirizzo IP. PhishTank, storica fonte collaborativa, ha chiuso le iscrizioni e non fa più parte dei flussi interrogati.
D: Il risultato è affidabile al 100%?
R: Nessuno strumento garantisce un rilevamento del 100%. I database di minacce vengono aggiornati continuamente, ma esiste un intervallo tra la comparsa di un URL malevolo e la sua segnalazione. Un risultato sicuro significa che nessuna fonte lo segnala attualmente.
D: Posso verificare un dominio senza l'URL completo?
R: Sì. Inserisci semplicemente il nome di dominio (ad esempio, captaindns.com) o un indirizzo IP. Lo strumento adatta automaticamente le richieste alle fonti compatibili.
D: Cosa significa il punteggio di rischio?
R: Il punteggio da 0 a 100 è un livello di fiducia, non una somma di punti. Sicuro vale 0. Un singolo segnale debole (Sospetto) si aggira sui 35. Una fonte autorevole che conferma la minaccia vale circa 75 (alto), due fonti concordanti raggiungono 90 e tutte e tre raggiungono 100 (critico). Sopra 85, più fonti concordano.
D: Cosa fare se il risultato è "malevolo"?
R: Non cliccare sul link. Se lo hai già visitato, cambia subito le tue password e sorveglia i tuoi account. Segnala il link al tuo provider email e, se pertinente, al tuo team di sicurezza. Usa i link di riferimento del rapporto per capire il tipo di minaccia rilevata.
Strumenti correlati
| Strumento | Scopo |
|---|---|
| IP Blacklist Checker | Verifica se il tuo IP è nelle blacklist email |
| Domain Blacklist Checker | Verifica se il tuo dominio è in una blacklist |
| Mail Header Analysis | Analizza gli header di un'email sospetta |
| Redirect Checker | Analizza catene di redirect ed espandi link abbreviati |
| Page Crawl Checker | Analizza il comportamento di crawl di una pagina web |
| Controllo header HTTP | Auditare i security header (CSP, HSTS, X-Frame-Options) con un voto da A a F |
Risorse utili
- Google Web Risk - API commerciale di Google contro i siti pericolosi, basata sulle liste che attivano gli avvisi dei browser
- VirusTotal - Analizza un URL con oltre 70 motori antivirus e servizi di reputazione
- URLhaus by abuse.ch - Database di URL malevoli
- PhishTank - Verifica collaborativa del phishing (iscrizioni chiuse)
- Anti-Phishing Working Group (APWG) - Coalizione internazionale contro il phishing