La blacklist di cui nessuno parla: come un sito hackerato rovina la tua raggiungibilità
Un attacco si sistema in giorni. La reputazione del tuo dominio richiede settimane. Come funzionano le blocklist di dominio, perché danneggiano più dell'attacco stesso, e come saperlo prima che lo sappiano i tuoi clienti.
Quando una piccola impresa viene hackerata, il titolare pensa di solito al danno immediato: dati rubati, una homepage defacciata, una fattura per la bonifica. Ma la conseguenza più costosa è spesso invisibile e arriva dopo che l'attacco è già stato sistemato. È il momento in cui il tuo dominio finisce in una blocklist. Improvvisamente le tue fatture rimbalzano, la tua newsletter finisce nello spam, e i clienti vedono una schermata di avviso rossa invece del tuo sito.
Monitoriamo la reputazione del dominio per ogni cliente Noroshi. In questo articolo spieghiamo cosa sono le blocklist, perché una sola segnalazione può costare più dell'attacco che l'ha causata, e come scoprirlo prima che te lo dicano i clienti.
Cosa succede quando il tuo dominio viene dirottato
Agli attaccanti non interessa di solito il contenuto del sito di una PMI. Vogliono la sua portata: un dominio con storia, una reputazione di mittente affidabile e visitatori che tornano. Un sito compromesso è un'infrastruttura, e viene usata esattamente come tale. Tre schemi si ripetono continuamente:
- Relè di spam e phishing. L'attaccante installa uno script di posta sul tuo account di hosting e invia migliaia di e-mail di phishing che sembrano provenire dal tuo dominio. I destinatari si fidano del mittente perché il dominio è reale. È proprio per questo che è stato rubato.
- Hosting di malware. File dannosi compaiono in una cartella di upload dimenticata, oppure una pagina nascosta reindirizza i visitatori verso un sito truffa. L'attaccante prende in prestito la tua buona reputazione per far passare i filtri di sicurezza al suo payload.
- Partecipazione a botnet. Il tuo server diventa parte di una rete criminale: invia traffico di attacco o ospita un canale di controllo per macchine infette altrove.
In tutti e tre i casi succede dopo la stessa cosa: ricercatori di sicurezza, filtri antispam e organizzazioni antiabuso notano l'attività dannosa. E non incolpano l'attaccante. Incolpano il tuo dominio.
Quanto costa davvero finire in una blocklist
La reputazione di domini e IP è mantenuta in blocklist condivise: database dove viene pubblicata l'infrastruttura dannosa segnalata, così che server di posta, firewall e browser possano bloccarla automaticamente. Feed noti includono la famiglia abuse.ch (URLhaus, ThreatFox) e Spamhaus. Quando il tuo dominio compare in una di queste, succedono tre cose, e nessuna è sotto il tuo controllo:
- La tua e-mail smette di arrivare. I server di posta in ricezione consultano queste liste prima di accettare un messaggio. Quando il tuo dominio o IP è inserito in lista, una gran parte della tua e-mail sparisce silenziosamente nelle cartelle spam o rimbalza. Preventivi, fatture, solleciti di pagamento: nulla arriva, e la maggior parte dei destinatari non te lo dice.
- I visitatori vedono un avviso invece del tuo sito. Browser e prodotti antivirus usano gli stessi feed. Un cliente che clicca il tuo link può ottenere un interstitial rosso “questo sito può danneggiare il tuo computer”, e la maggior parte se ne va semplicemente.
- Partner e piattaforme ti tagliano fuori. Molte piattaforme B2B, fornitori di pagamento e marketplace eseguono controlli di reputazione propri. Una segnalazione può sospendere il tuo account o marcare ogni messaggio che invii come sospetto.
La parte brutale: una bonifica competente di un sito defacciato o infetto richiede giorni. Farsi rimuovere dalle liste richiede settimane. La segnalazione si basa su prove reali: il traffico dannoso veniva davvero dal tuo dominio, quindi ogni feed applica il suo periodo di raffreddamento e la sua procedura di rimozione, se la prevede. Nel frattempo la tua azienda comunica attraverso un canale che non funziona più.
La modalità di guasto: nessuno se ne accorge per settimane
Gli scenari sopra assumono che tu ti accorga presto dell'attacco. In pratica, le piccole imprese senza un reparto IT spesso non se ne accorgono. Gli attaccanti tengono deliberatamente il sito dall'aspetto normale: la tua homepage si visualizza bene, il tuo modulo di contatto funziona. Lo script di spam e le cartelle di malware vivono in percorsi che non visiti mai. Dall'interno non sembra ci sia nulla di sbagliato.
Il primo segnale arriva dall'esterno: un cliente ti dice che la tua e-mail rimbalza. O, peggio, non lo dice nessuno, e tre settimane di contatti semplicemente evaporano nelle cartelle spam. Il tempo medio per rilevare un compromettimento in una piccola organizzazione si misura ancora in settimane o mesi. Durante tutto quel tempo la tua reputazione viene attivamente distrutta, e ogni giorno rende la rimozione più difficile.
È proprio il vuoto che colma il monitoraggio esterno. Non scansionando i tuoi file, ma sorvegliando il tuo dominio dall'esterno, allo stesso modo in cui lo vede il resto di internet.
Cosa puoi fare
Il rischio blocklist non si può eliminare, ma si può gestire:
- Tieni il sito stesso difficile da compromettere. La maggior parte dei dirottamenti parte da un CMS non aggiornato, un pannello di amministrazione esposto o un security header mancante. Prima le basi: aggiornamenti, credenziali forti, nessuna porta inutile.
- Proteggi il tuo canale e-mail. Record SPF, DKIM e DMARC corretti rendono molto più difficile per un attaccante inviare posta che finge di essere te, e migliorano la consegnabilità della tua posta legittima.
- Sorveglia la tua reputazione in continuo. Verifica se il tuo dominio compare nei principali feed di abuso: automaticamente, non una volta l'anno. Una segnalazione scoperta il giorno stesso in cui appare è un incidente gestibile. Una segnalazione scoperta tre settimane dopo è una crisi.
- Conosci in anticipo il percorso di rimozione. Ogni feed ha il proprio processo di rimozione. Se ti capitasse di finire in lista, vuoi starci lavorando subito, non studiandolo sotto pressione.
Come lo fa Noroshi per te
Noroshi controlla il tuo dominio ogni giorno contro le blocklist per abusi consolidate (la famiglia abuse.ch, incluso URLhaus e ThreatFox). Se il tuo dominio compare come host di malware, fonte di phishing o infrastruttura di botnet, ricevi un avviso con la fonte della segnalazione e passi concreti per la bonifica e la richiesta di rimozione. Lo scopri entro 24 ore invece che dopo tre settimane.
È uno dei diversi controlli esterni che Noroshi esegue in continuo: security header, certificato TLS, autenticazione e-mail (SPF, DKIM, DMARC), file esposti, porte aperte e domini lookalike. Tutto gira dalla nostra infrastruttura europea, senza installare nulla sul tuo server.