Guida · Rischi dei link · · di Stefan Tsezarov
Leggilo da destra
Un indirizzo web dice esattamente dove porta. Solo che non lo dice nell’ordine in cui lo leggi.
Ti hanno detto di controllare un link prima di cliccarlo. È un buon consiglio, ma quasi tutti controllano la parte sbagliata.
Un link può portare il nome di un’azienda nota e finire da tutt’altra parte. Il nome può stare in un sottodominio, nel percorso o prima di un segno @. Sul telefono, il vero dominio può essere tagliato se non espandi prima il link.
Un’abitudine risolve quasi tutto:
Leggi il dominio da destra.
Questa guida ti mostra come esaminare un link senza aprirlo. Non dimostrerà che un link è sicuro. Ti aiuterà a scoprire i trucchi comuni prima di cliccare.
Qui sotto: i trucchi principali, come controllarli senza aprire nulla e cosa può e non può dirti un’analisi della struttura.
01Dove punta un indirizzo
Prendi questo indirizzo:
Il browser lo divide in uno schema, un host e un percorso. L’host è dove ti colleghi davvero. Il percorso lo sceglie chi gestisce quell’host, e può dire quello che vuole.
https://schemametamask.io.sottodominio: lo sceglie il proprietario qui sottosecure-verify.exampledominio registrabile: la destinazione/loginpercorso: lo sceglie lo stesso proprietario
Le quattro parti di https://metamask.io.secure-verify.example/login, in ordine.
In quell’host, il dominio registrabile è secure-verify.example. Tutto ciò che sta alla sua sinistra è un sottodominio, controllato da chi possiede secure-verify.example. Un proprietario può creare tutti i sottodomini che vuole e chiamarli quasi liberamente, anche metamask.io.
Quindi qui metamask.io non è la destinazione. È solo un’etichetta a sinistra.
Cosa significa «dominio registrabile»
La parte che conta è il dominio registrabile: il nome che una persona o un’azienda può davvero registrare. È il suffisso pubblico più l’etichetta che lo precede. Spesso ha la forma example.com. Con alcune strutture dei codici paese ha la forma example.co.uk o example.com.au.
Browser e strumenti di sicurezza usano dati sui suffissi pubblici per trovare quel confine. Non dare per scontato che ogni suffisso abbia lo stesso numero di etichette. L’istruzione pratica è:
poi prendi l’etichetta subito prima.
Quello è il dominio registrabile.
Questo confine non è una nota a margine. Il nostro scanner contava le etichette fino al 19 settembre 2026, ha deciso che il proprietario di coinbase.co.uk fosse co.uk e ha segnalato un normale link legittimo come impersonificazione di un marchio. Uno strumento che grida al lupo sui siti veri viene spento, e allora non protegge nessuno. Cosa è cambiato, e cosa ancora non riesce a capire, è nella Trasparenza tecnica.
02Il nome a sinistra
Un nome di fiducia può stare in un sottodominio o nel percorso senza controllare nulla.
https://metamask.io/download
https://metamask.io.wallet-check.example/download
Lo stesso trucco funziona nel percorso, dove si legge in modo ancora più naturale:
In entrambi gli esempi ingannevoli il dominio registrabile è wallet-check.example o cdn-assets-9931.example. Il nome del marchio compare solo in uno spazio che riempie il proprietario di quel dominio.
Sul telefono, un indirizzo lungo può spingere il vero dominio fuori dalla vista. Espandi o copia il link prima di giudicarlo.
03Caratteri sosia
Qui l’indirizzo non ha niente di ingegnoso. Qualcuno registra semplicemente un dominio che somiglia a un altro.
| Grafia familiare | Sosia | Cosa è cambiato |
|---|---|---|
metamask | metarnask | rn può passare per m |
paypal | paypa1 | la cifra 1 può passare per una l minuscola |
binance | b1nance | la cifra 1 può passare per una i minuscola |
A questa dimensione la differenza è evidente. In una barra degli indirizzi spesso no.
Un dominio sosia è un dominio vero. Non è un bug del browser. Funziona perché i nostri occhi arrotondano le forme simili.
Guarda la terza riga: lo stesso carattere sostituisce una lettera diversa rispetto alla seconda. Per questo rilevarlo automaticamente è più difficile di quanto sembri: correggi una grafia e prendi paypa1 mentre ti sfugge b1nance. Il nostro scanner prova diversi modi in cui un nome potrebbe essere letto invece di ridurlo a uno solo.
Una variante vicina non ha bisogno di caratteri sosia. Attacca semplicemente altre parole al nome vero:
Ognuno di questi mette il marchio nella posizione del dominio registrabile. Il nome non è fuori posto né scritto male. È solo in compagnia. Le aziende gestiscono legittimamente più domini, quindi da solo non dimostra nulla, ma un dominio sconosciuto del tipo marchio-più-parola non va considerato ufficiale solo perché contiene il marchio.
Non fidarti solo dei tuoi occhi. Confronta il dominio con qualcosa di cui già ti fidi: un segnalibro salvato o l’app ufficiale.
04Domini internazionalizzati e punycode
I nomi di dominio internazionalizzati permettono di scrivere domini in alfabeti come il greco, il cirillico, l’arabo e il cinese. Perché i sistemi più vecchi continuino a funzionare, molti di questi nomi hanno anche una forma ASCII che comincia con xn--. È il punycode.
Il punycode non è automaticamente un segnale d’allarme. Molte organizzazioni legittime usano domini internazionalizzati. Ma un link punycode inatteso merita uno sguardo più attento, soprattutto in un messaggio non richiesto che parla di soldi, accesso a un account o verifiche urgenti.
Diverse lettere cirilliche si disegnano quasi come quelle latine (а, е, о, р, с), quindi un nome con lettere sostituite può sembrare quasi identico sullo schermo pur essendo un dominio del tutto diverso in rete.
I browser possono mostrare la forma Unicode o quella ASCII, a seconda del dominio e delle loro regole. Uno scanner può riconoscere il punycode senza poter dimostrare come appare il nome mostrato. Segnalare il punycode indica qualcosa da esaminare; non dimostra una frode.
05Il segno @
In un URL HTTP o HTTPS, tutto ciò che sta prima di @ è un’informazione dell’utente. Non è l’host di destinazione.
https://schemaledger.cominformazione dell’utente: non è la destinazione@separatoreledgerlive-verify.examplehost: il sito a cui arrivi/devicepercorso
Le cinque parti di https://ledger.com@ledgerlive-verify.example/device, in ordine.
L’host è ledgerlive-verify.example. Il testo ledger.com non è il sito che stai visitando.
È il trucco che resiste a una lettura attenta, perché il nome familiare c’è davvero, fa davvero parte dell’indirizzo ed è davvero scritto bene. Un nome familiare prima di @ non dimostra nulla su chi possiede il link.
06Link abbreviati e codici QR
Un link abbreviato nasconde la destinazione finché non lo espandi o lo segui. Servizi come bit.ly, t.co e cutt.ly sono comuni e molto usati per buoni motivi, ed è anche per questo che sono un’ottima copertura.
Un codice QR nasconde completamente l’indirizzo. Il codice può andare benissimo, ma non puoi esaminare la destinazione dall’immagine.
Il nostro scanner segnala gli abbreviatori che riconosce ma non li risolve per te. Se seguisse il link di uno sconosciuto, contatterebbe il server dell’attaccante e gli farebbe sapere che il link è stato esaminato.
Se devi espandere un link breve, usa un servizio di cui ti fidi e considera non affidabile ciò che restituisce finché non l’hai controllato.
07Un esempio commentato
Leggilo come arriverebbe davvero: sul telefono, in una notifica, su un dispositivo che possiedi.
Esempio inventato · domini riservati
Niente in quel messaggio chiede qualcosa di segreto. Nessuna frase di recupero, nessuna chiave privata, nessuna password. Chiede un clic, ed è quello l’attacco, perché la pagina dall’altra parte può fare la richiesta successiva una volta che sei lì.
Mostrami cosa non va
Il messaggio usa diversi trucchi insieme:
- Il link principale mette
ledger.comprima di@, dove è un’informazione dell’utente e non la destinazione. L’host èledgerlive-verify.example. - Quell’host porta il nome del marchio con altre parole attaccate, nella posizione del dominio registrabile, quindi sembra ancora ufficiale anche dopo aver trovato la parte giusta dell’indirizzo.
- Il link di riserva usa un dominio punycode, presentato come un comodo mirror. La frase precedente spiega in anticipo perché il primo link potrebbe non funzionare, così un errore sembra previsto invece che sospetto.
- Aggiunge urgenza e una conseguenza: 48 ore e trasferimenti in uscita descritti come sospesi.
- Chiede solo un clic. La pagina dall’altra parte fa la richiesta successiva una volta che sei lì.
Il dettaglio che fa quasi tutto il lavoro è la restrizione stessa. Il messaggio dà una spiegazione dall’aria tecnica per uno stato che il destinatario non può verificare da solo, e crederci non costa nulla sul momento.
Il nostro motore restituisce FAIL su questo messaggio: per il link con @, l’host punycode e il dominio marchio-più-parole. Ci arriva senza interpretare una sola frase dell’inglese.
08Come leggere un indirizzo prima di aprirlo
Fermati alla prima barra singola dopo l’inizio dell’host
Tutto ciò che segue quella barra è il percorso. Può dire qualsiasi cosa e non dimostra nulla su chi possiede il sito. Se c’è una @ prima del percorso, ignora tutto ciò che sta alla sua sinistra per capire l’host.
Trova l’host e leggilo da destra a sinistra
Trova il suffisso pubblico e l’etichetta subito prima. Insieme sono il dominio registrabile.
Confrontalo con il dominio esatto che volevi visitare
Non «sembra ufficiale?» e non «contiene il marchio?».
Se l’indirizzo è tagliato, espandilo prima di decidere
Meglio ancora, apri il servizio dal tuo segnalibro, dall’app salvata o da un indirizzo che hai digitato tu.
Non cliccare prima per esaminare dopo.
Esamina prima di arrivare.
09Cosa può e non può dirti l’analisi
Incolla un messaggio nello scanner e controllerà la struttura degli indirizzi e dei link che copre, cercando i soliti segnali d’allarme.
L’analisi in sé non contatta nulla. Gira nel tuo browser, e nessun link del messaggio viene caricato o risolto. Se poi premi Controlla questo indirizzo su un indirizzo crypto trovato dall’analisi, quell’indirizzo, e nient’altro del messaggio, va al fornitore di sicurezza degli indirizzi. È un passaggio separato che scegli tu, e la Trasparenza tecnica elenca esattamente cosa riceve ogni fornitore.
| L’analisi può aiutare a individuare | L’analisi non può dimostrare |
|---|---|
Trucchi con l’informazione dell’utente e @ | Che un sito con struttura normale sia legittimo |
| Host con IP nudo | Che il mittente sia chi dice di essere |
| Abbreviatori riconosciuti | Che una destinazione abbreviata sia sicura senza risolverla |
| Indizi di punycode | Come appare ogni dominio punycode una volta mostrato |
| Nomi di marchi in posizioni sospette | Che un semplice errore di battitura sia malevolo |
| Nomi di marchi con altre parole attaccate | Che un risultato pulito significhi che non c’è truffa |
| Alcuni caratteri confondibili | Che un sito si comporterà in modo sicuro una volta aperto |
| Contenuto codificato sospetto negli URL | Chi possiede un dominio con un suffisso che non sa risolvere |
| Indirizzi crypto supportati nel messaggio | Che un indirizzo senza risultati appartenga a chi pensi |
La struttura non è la reputazione.
Un risultato pulito significa solo che nel testo inviato non è comparso alcun trucco strutturale coperto. Non significa che il link, il sito, il mittente o l’offerta siano sicuri.
Tre limiti meritano di essere detti a parte.
Un dominio senza trucchi è invisibile a un controllo strutturale. wallet-refund-centre.example non ha caratteri sosia, nessun marchio, niente fuori posto. Registrato stamattina e con una copia convincente della pagina di accesso di un wallet, supererebbe questo controllo e la maggior parte di quelli simili. I sistemi di reputazione (servizi che tengono liste di indirizzi noti come pericolosi) rispondono a un’altra domanda, e questo scanner non fa il loro lavoro.
I semplici errori di battitura non vengono rilevati in modo affidabile. metamsk.io è un refuso, non una sostituzione con un carattere confondibile. Lo scanner non li rileva tutti. È un limite noto, non una promessa silenziosa.
Il punycode viene identificato, non tradotto. Lo scanner può dirti che un dominio è in forma punycode. Non sempre può dirti quale nome scrive quella forma.
La regola
La presenza del nome familiare non è una prova. Trova il dominio registrabile.
È la cosa più economica da mettere in tutto l’indirizzo, e la parte su cui chi legge ha più probabilità di fermarsi.
Ogni indirizzo di questa guida che mostra un trucco punta a un dominio di esempio riservato. Quelle destinazioni non si risolvono e non sono servizi reali. L’unico dominio reale citato è metamask.io, il vero sito di MetaMask. Compare nella sezione 2 come caso corretto, perché mostrare dove sta davvero un nome di marchio richiede un indirizzo vero da contrapporre a quelli ingannevoli.
Il messaggio di esempio è inventato. Correlati: cosa chiede di solito la pagina all’altro capo di un link, testo che non si vede affatto e istruzioni scritte per un’IA invece che per te. Questo articolo ha solo scopo educativo e non è una consulenza finanziaria.
Stai leggendo un messaggio sospetto nel browser? Il segnalibro per analizzare il testo selezionato lo controlla senza copiare e incollare, e il testo resta nel tuo browser.