L’acquisizione di domini scaduti è diventata una delle tecniche più insidiose nel panorama del phishing moderno. Gli attaccanti sfruttano la reputazione storica di domini precedentemente legittimi per ingannare i filtri email aziendali. Questa tattica, documentata da più fonti indipendenti, rappresenta una sfida concreta per qualsiasi organizzazione che si affidi ai sistemi di reputazione per proteggere la propria posta elettronica.
Cosa Sono i Domini Scaduti e Perché i Criminali li Cercano
Un dominio scaduto è un indirizzo web non rinnovato dal suo proprietario originale. Dopo la scadenza, torna disponibile per la registrazione pubblica.
Il Valore della Reputazione Accumulata
I domini più vecchi hanno una storia digitale verificabile. I motori di ricerca e i filtri anti-spam li considerano più affidabili. Un dominio attivo da cinque anni, con backlink legittimi e storico di traffico pulito, ottiene punteggi di reputazione elevati.
Di conseguenza, un phishing operator che acquista questo tipo di dominio eredita automaticamente quella credibilità. Il filtro email non vede un dominio nuovo e sospetto. Vede un indirizzo con anni di storia pulita.
In particolare, gli attaccanti cercano domini con:
- Backlink da siti autorevoli
- Storico di traffico organico
- Assenza di segnalazioni in blacklist
- Anzianità superiore a 24 mesi
Come Funziona l’Acquisizione di Domini Scaduti nel Phishing
Il processo è più strutturato di quanto sembri. Non si tratta di un’azione improvvisata.
La Fase di Ricognizione e Acquisto
Gli attaccanti monitorano costantemente i marketplace di domini in scadenza. Strumenti pubblici permettono di filtrare i risultati per anzianità, backlink e storico di reputazione.
Una volta identificato il dominio ideale, lo acquistano. Il costo varia da pochi dollari a centinaia di euro, a seconda della qualità storica del dominio.
Il Domain Aging Strategico
Parallelamente all’acquisizione di domini già maturi, esiste una variante ancora più paziente: il domain aging. In questo scenario, l’attaccante registra un dominio nuovo e lo lascia dormiente per mesi o anni.
Durante questo periodo, il dominio può inviare solo traffico benigno. Magari ospita un sito web generico o una newsletter innocua. L’obiettivo è costruire una reputazione pulita prima di lanciare la campagna malevola.
Vale la pena sottolineare che questa tecnica richiede pianificazione a lungo termine. Indica un livello di sofisticazione elevato. Non è appannaggio solo dei gruppi APT: anche i phishing operator comuni hanno adottato questa metodologia.
Perché i Filtri Email Tradizionali Faticano a Bloccarli
I Secure Email Gateway (SEG) moderni si basano su più fattori di analisi. Tuttavia, la reputazione del dominio rimane uno dei segnali più pesanti.
I Limiti dei Sistemi Basati sulla Reputazione
Un dominio con storia pulita supera i controlli reputazionali senza difficoltà. I filtri basati su blacklist non contengono il dominio. I controlli di anzianità restituiscono un risultato positivo.
Di conseguenza, il messaggio di phishing raggiunge la casella inbox del destinatario. L’utente vede un’email apparentemente proveniente da una fonte attendibile. Il rischio di compromissione aumenta drasticamente.
Inoltre, i controlli tecnici come SPF, DKIM e DMARC possono essere configurati correttamente anche su domini malevoli. L’attaccante dedica tempo alla configurazione proprio per superare ogni controllo automatico.
L’Impatto Operativo per le Organizzazioni
L’effetto concreto è misurabile. Una campagna di phishing che bypassa i filtri ottiene tassi di consegna molto più alti. Più email consegnate significa più probabilità che un utente clicchi su un link malevolo.
In questo contesto, le conseguenze includono furto di credenziali, esecuzione di malware e intrusioni nelle infrastrutture aziendali. Le organizzazioni con difese basate esclusivamente sulla reputazione del dominio sono le più esposte.
Come Difendersi dall’Acquisizione di Domini Scaduti
Nessuna difesa singola è sufficiente. Occorre un approccio stratificato.
Misure Tecniche e Comportamentali
- Analisi comportamentale delle email: valutare il contenuto, non solo il mittente.
- Sandboxing dei link: aprire i link in ambienti isolati prima della consegna.
- Threat intelligence sui domini: monitorare cambi di proprietà e anomalie nei whois.
- Formazione continua degli utenti: il filtro umano rimane essenziale.
- Zero trust per le comunicazioni email: non fidarsi automaticamente di nessun mittente.
Tuttavia, la misura più efficace rimane l’integrazione di feed di threat intelligence aggiornati. Questi permettono di identificare domini con comportamenti anomali anche se tecnicamente “puliti”.
Conclusione
L’acquisizione di domini scaduti rappresenta una minaccia reale e in crescita. La tecnica è accessibile, economica ed efficace contro i controlli tradizionali. I CISO devono aggiornare le loro strategie di email security. Affidarsi solo alla reputazione del dominio non è più sufficiente.
Fonti
- CSO Online – Aged-domain acquisition
- Lumu.io – 4 Ways Threat Actors Weaponize Domain Reputation
- SpecterOps – One Phish, Two Phish, Red Teams Spew Phish
- RealtimeCyber – 10 Ways Phishing Bypasses Spam Filters
- Sprocket Security – Pro Tips for Purchasing and Aging Phishing Domains
Fonte: Articolo originale
La condivisione tempestiva di threat intelligence sui domini sospetti è oggi una delle difese più efficaci contro il phishing basato su domini scaduti. IsacChain consente alle organizzazioni di condividere in modo sicuro indicatori di compromissione e anomalie WHOIS tra membri della stessa filiera, automatizzando la compliance NIS2 e garantendo l’integrità dei dati attraverso verifica blockchain. In un contesto in cui i filtri tradizionali non bastano, la cooperazione strutturata tra organizzazioni diventa un moltiplicatore di sicurezza. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com