Controllare se un sito è pericoloso con la verifica diretta

Tutti i controlli da fare per sapere se un sito internet è pericoloso o se è affidabile e come segnalare i link dannosi

Ricevere un messaggio dalla banca o un'offerta imperdibile via email è ormai una routine quotidiana che nasconde insidie sempre più sofisticate. Il vecchio suggerimento di cercare il lucchetto HTTPS non è più sufficiente: oggi gran parte delle pagine di phishing utilizza certificati di sicurezza validi, cifrando la connessione verso server gestiti da criminali. Cliccare su un collegamento sconosciuto può innescare download involontari o condurre su cloni perfetti di portali noti, progettati per rubare credenziali. Esistono metodi per esaminare un indirizzo web rimanendo all'esterno, lasciando che siano strumenti remoti a interagire con la pagina.

Quando inseriamo dei dati sensibili (dati della carta di credito per comprare qualcosa o dati personali d'accesso ad un servizio), è importantissimo saper riconoscere i siti pericolosi subito e sapere a chi stiamo trasmettendo informazioni private. Lo stesso vale per quei siti che, per cercare un film o un software da scaricare, viene richiesta una registrazione con tanto di dati di pagamento da inserire, nonostante il programma fosse presentato come gratuito o peggio ci viene chiesto di scaricare un plugin o un programma speciale per visualizzare il video in una determinata pagina.

Il primo livello di difesa consiste nel sottoporre l'indirizzo a decine di motori di sicurezza contemporaneamente. Non occorre installare software aggiuntivi; ci si appoggia a database in cloud che raccolgono le firme delle minacce più recenti.

Scansione antivirus simultanea

Scanner su Link e URL da NavigaWeb

Analizza link sospetti prima di cliccare

Nota: L'analisi è basata su parametri euristici e database pubblici.

Lo strumento di riferimento globale è VirusTotal. Acquisito da Google, agisce come aggregatore: inserendo un link nella scheda URL, il sistema interroga oltre 70 scanner (inclusi Kaspersky, Sophos e Bitdefender) restituendo un verdetto unificato. Se anche solo un paio di questi motori classificano il sito come "Malicious" o "Phishing", l'apertura è sconsigliata. Il punto di forza di VirusTotal risiede nella memoria storica, che permette di vedere se un dominio è stato segnalato in passato.

Per chi teme specificamente infezioni del dispositivo o exploit del browser, un'alternativa valida è Sucuri SiteCheck. Sebbene nasca per i webmaster che devono bonificare i propri portali, offre un'analisi esterna eccellente per rilevare malware, errori del server e software non aggiornato potenzialmente compromesso.

Vedere il contenuto senza visitare la pagina

I database antivirus potrebbero non essere aggiornati su minacce nate da poche ore, le cosiddette minacce zero-day. In questi casi, la strategia vincente è osservare il contenuto della pagina senza che il browser del computer o dello smartphone carichi alcuno script.

Il servizio urlscan.io offre una soluzione tecnica avanzata. Inserendo l'indirizzo sospetto e avviando la scansione pubblica, viene lanciato un browser automatizzato sui loro server che carica la pagina e ne scatta uno screenshot. All'utente viene mostrata l'immagine statica: se l'URL prometteva un documento di spedizione ma lo screenshot mostra un modulo di login identico a quello di Microsoft 365, si tratta di phishing. Oltre all'immagine, urlscan.io elenca gli indirizzi IP contattati e i domini di terze parti caricati, offrendo una radiografia dell'infrastruttura.

Verifica reputazione per negozi online

il malware non è l'unico rischio; spesso il pericolo è un e-commerce che incassa denaro senza spedire la merce. In questo scenario gli antivirus sono inefficaci poiché il sito non contiene virus. È necessario analizzare la struttura societaria e la storia del dominio.

Per smascherare negozi truffaldini, Scamadviser utilizza un algoritmo che valuta l'età del dominio, la posizione del server (spesso nascosta dietro proxy), la presenza di recensioni e i dati di registrazione. Un sito creato da due settimane che vende prodotti di lusso scontati drasticamente otterrà un punteggio di affidabilità minimo.

Parallelamente, è utile consultare Trustpilot, mantenendo però un occhio critico. Le recensioni possono essere manipolate. Bisogna cercare schemi ricorrenti: molte recensioni a 5 stelle generiche scritte tutte nello stesso breve periodo, seguite da recensioni a 1 stella molto dettagliate su mancata consegna, indicano solitamente un'attività fraudolenta.

Controllo manuale dell'età del dominio

I truffatori operano con velocità. Creano siti, colpiscono e li chiudono in pochi giorni per riaprirne altri altrove. Un dominio registrato da meno di un mese è statisticamente molto più pericoloso di uno attivo da anni.

Per verificare questo dato si utilizza il protocollo WHOIS. Servizi come Who.is o ICANN Lookup permettono di inserire il dominio (la parte dopo il www) e leggere la "Registration Date". Se un'email urgente proveniente dalle Poste o dalla Banca rimanda a un sito registrato il giorno prima, il messaggio va cestinato.

Estensioni browser per protezione in tempo reale

Per una difesa passiva durante la navigazione quotidiana, esistono estensioni che bloccano il caricamento di pagine note per essere dannose prima che appaiano sullo schermo.

Bitdefender TrafficLight: Leggera e poco invasiva, intercetta il traffico a livello di browser e analizza i link nei risultati di ricerca, apponendo una spunta verde o rossa a fianco di ogni risultato.
Malwarebytes Browser Guard: Particolarmente efficace contro le truffe di supporto tecnico (i falsi avvisi che bloccano lo schermo) e i reindirizzamenti pubblicitari aggressivi.

Attenzione al Typosquatting

Una tecnica subdola prevede la registrazione di domini che differiscono di una sola lettera da quelli originali (es. goggle.com invece di google.com). A un primo sguardo è difficile notarlo. Seguire la rotta di Navigaweb in questo contesto significa abituarsi a leggere l'indirizzo URL carattere per carattere prima di inserire dati sensibili. Una cautela particolare va riservata agli URL accorciati (come bit.ly o t.co): se non si conosce la fonte, utilizzare servizi come CheckShortURL per espandere il link breve e vederne la destinazione reale in sicurezza.

Raccomandazioni impostanti per la sicurezza online

Diffidare dei chi chiedere troppi dati o cose da inserire:
In linea generale dobbiamo sempre diffidare da un sito web poco famoso o che utilizziamo per la prima volta se questo chiede informazioni personali o numeri di carta di credito. Bisognerebbe anche stare attenti ai siti con offerte che sembrano troppo belle per essere vero, stare molto cauti quando si capita su siti con annunci molto invadenti, che aprono pop-up in continuazione e che richiedono di installare un plugin per visualizzare contenuti e video.

Controllare la cifratura offerta dalla pagina Web
Prima di inserire informazioni private, prima di comprare online o di scrivere dati sensibili è necessario verificare che il sito abbia connessione crittografata, ossia che i dati inviati non siano leggibili in chiaro da nessuno durante il tragitto effettuato su Internet. Per fare questa verifica basta controllare che il sito inizi con HTTPS e non con HTTP direttamente dalla barra degli indirizzi presente in alto (su alcuni siti dovrebbe esserci anche un'indicazione in verde con la scritta del certificato sicuro assegnato a quel sito protetto).

Assicuriamoci anche che non vengano segnalati errori di certificato SSL, che potrebbero indicare sia un problema temporaneo del sito legittimo (capita quando scade un certificato) sia un sito che si spaccia per un altro utilizzando la cifratura "fittizia".

Per sicurezza, consigliamo sempre installare l'estensione HTTPS Everywehere, che forza tutte le connessioni i HTTPS e impedisce di visitare siti ingannevoli di phishing.

Il lucchetto HTTPS garantisce onestà?
No. Garantisce solo che la comunicazione è cifrata e non intercettabile da terzi. Se il sito appartiene a un criminale, i dati verranno inviati in modo sicuro direttamente al criminale.
Si può prendere un virus solo aprendo una pagina?
È raro con i browser moderni (Chrome, Edge, Firefox) completamente aggiornati, ma non impossibile a causa dei "drive-by download" che sfruttano vulnerabilità zero-day. Il rischio maggiore oggi richiede comunque un'interazione dell'utente, come scaricare un file o concedere permessi di notifica.
Cosa fare dopo un clic accidentale?
Chiudere immediatamente la scheda. Se non è stato scaricato nulla e non sono stati inseriti dati, il rischio è contenuto. È buona norma effettuare una scansione completa del sistema con un antimalware e pulire la cache del browser.
Come vedere l'URL reale su smartphone?
Sui dispositivi mobili l'indirizzo completo è spesso nascosto. Tenendo premuto a lungo sul link (tap prolungato), la maggior parte dei sistemi Android e iOS mostra un'anteprima dell'indirizzo di destinazione in un popup. Se questo non corrisponde al testo o appare sospetto, evitare il tocco.

Come segnalare i siti pericolosi?

Se durante la nostra navigazione troviamo un sito è pericoloso (spam, phishing, truffe o inganni di vario tipo), possiamo segnalarlo in modo che questo possa essere chiuso, oscurato o reso inaccessibile da altre persone. Per fare questo tipo di segnalazioni possiamo seguire due vie:

- La prima segnalando il sito web alla polizia italiana, esattamente al commissariato di polizia online, alla sezione collabora.
- La seconda è quella di segnalare il sito a Google, in modo che blocchi la navigazione per gli utenti che lo cercano tramite il motore di ricerca.