Il lato oscuro del DNS: perché 1 nuovo dominio su 5 potrebbe essere pericoloso

Ogni secondo, decine di domini vengono registrati in qualche parte del mondo. Qualcuno avvia una startup. Uno sviluppatore crea un portfolio. Un truffatore allestisce un’altra pagina di phishing progettata per rubare credenziali. Il processo è identico per tutti: pochi clic, un pagamento e, all’improvviso, c’è un nuovo indirizzo su Internet.

La velocità e l’accessibilità della registrazione dei domini sono davvero notevoli. È una delle caratteristiche che rende il web moderno così dinamico. Ma quella stessa accessibilità ha un lato oscuro che il settore ha faticato ad affrontare.

I numeri sono sbalorditivi

Una recente analisi di Interisle Consulting Group ha esaminato i domini di primo livello generici (gTLD) — i .com, i .website e i .fun del mondo — e ha scoperto qualcosa di allarmante. Degli 85 milioni di nuove registrazioni di domini nel 2025, circa 8,5 milioni sono apparsi nelle liste nere di sicurezza entro maggio. Si tratta del 10% segnalato come malevolo. Tuttavia, i ricercatori ritengono che la cifra reale sia più vicina al 20%, tenendo conto dei domini non ancora rilevati o associati a siti già segnalati.

Lasciate che il dato vi penetri. Uno su cinque dei nuovi domini registrati con un gTLD è probabilmente coinvolto in truffe, distribuzione di malware o altre attività criminali.

Alcuni TLD sono peggiori di altri. Tredici domini di primo livello hanno visto oltre la metà delle loro registrazioni comparire nelle liste nere. Come prevedibile, domini come .bid e .loan — spesso utilizzati per truffe bancarie e di pagamento false — hanno mostrato tassi di abuso estremamente elevati. Ma la presenza di TLD come .mobi in quella lista suggerisce che il problema non è limitato alle estensioni ovviamente sospette.

Perché i registrar faticano a tenere il passo

Presso NameOcean prendiamo sul serio la sicurezza dei domini. Implementiamo misure di salvaguardia, monitoriamo i modelli di abuso e lavoriamo per garantire che la nostra piattaforma non venga utilizzata per scopi dannosi. Ma ecco la scomoda verità: nessun registrar può intercettare tutto, e l’economia della situazione favorisce gli attaccanti.

Quando un attore malevolo registra un dominio per una campagna di phishing, spesso lo utilizza solo per 24-48 ore. Invia milioni di email di spam, raccoglie credenziali da vittime ignare e abbandona il dominio prima che la maggior parte delle liste nere possa reagire. Nel momento in cui il nostro team anti-abuso o i servizi di sicurezza esterni segnalano il dominio, il danno è già fatto.

Questo è ciò che l’abuso del DNS sembra nella pratica:

• Domini di phishing che impersonano banche, servizi governativi o marchi popolari
• Siti di distribuzione di malware mascherati da download o aggiornamenti software
• Domini di comando e controllo utilizzati dalle botnet
• Domini di typosquatting che sfruttano errori di battitura comuni (pensate a "g00gle.com" o "paypa1.com")

Internet si muove alla velocità della luce. L’abuso si muove ancora più velocemente.

Cosa funziona davvero?

La ricerca evidenzia che i tassi di sospensione per i domini nelle liste nere variano solo dal 7,4% al 16,3%, il che significa che la maggior parte dei domini malevoli rimane attiva anche dopo essere stata segnalata. Ciò suggerisce che l’attuale approccio reattivo non sta funzionando.

Allora, cosa potrebbe cambiare l’equazione?

Migliori politiche dei registrar sarebbero un inizio. Diversi grandi registrar sono stati criticati per avere una gestione debole degli abusi o persino per ospitare consapevolmente domini di truffa. I registrar che investono in monitoraggio proattivo, tempi di risposta più rapidi e termini di servizio più severi possono ridurre significativamente gli abusi sulle loro piattaforme.

Sistemi di reputazione dei domini simili ai punteggi dei mittenti email potrebbero aiutare. Se un dominio appena registrato non ha storia, non ha impronte di hosting e appare solo nei record DNS con modelli sospetti, i browser e i fornitori di email potrebbero trattarlo con la dovuta diffidenza.

I certificati SSL a validazione estesa (EV) restano sottoutilizzati. Sebbene non impediscano tutti gli abusi, aggiungono un livello di verifica che rende più difficile l’impersonificazione. Le