Rischi di sicurezza nascosti nell'utilizzo di domini e sottodomini multipli

Possedere più siti web è come gestire un impero digitale. Ogni nuovo dominio o sottodominio apre la porta a nuovi mercati e opportunità. Ma ecco il colpo di scena: ogni porta aperta può anche essere un punto di ingresso per gli aggressori.

I criminali informatici lo sanno. Adorano sfruttare le aziende con impronte digitali molto estese. Gli episodi globali di spoofing di nomi di dominio e dirottamento di sottodomini sono saliti alle stelle negli ultimi tre anni. E non ci sono solo le aziende SaaS o le grandi agenzie nella lista dei bersagli. Anche i freelance e gli scrittori di saggi che si destreggiano tra blog personali, portali di clienti o siti di nicchia corrono gli stessi rischi.

In questo articolo, vi spiegheremo come si presentano questi rischi, perché sono importanti e cosa potete fare per proteggervi.

Comprendere i rischi dei domini multipli

Prima di passare alla tattica, iniziamo con la chiarezza.

Quindi, che cos'è lo spoofing del dominio? È quando gli aggressori falsificano o imitano il vostro nome di dominio per ingannare le persone. Pensate a siti web falsi che sembrano vostri o a e-mail che fingono di provenire dalla vostra azienda. Gli aggressori utilizzano l'impersonificazione per rubare i login, diffondere malware o commettere frodi.

Ora aggiungete più domini al mix. Ogni dominio e sottodominio che possedete amplia la vostra superficie di attacco. Si tratta di un record in più nel vostro DNS, un posto in più dove potreste dimenticare di chiudere la porta. I micrositi di marketing abbandonati, gli account di hosting scaduti o i portali dei clienti non monitorati offrono agli aggressori nuovi campi di gioco.

Una grossa fetta di questo rischio è rappresentata dall'acquisizione di sottodomini. Questo avviene quando un sottodominio punta a un servizio che non utilizzate più. Se avevate shop.yourcompany.com una volta collegato a una piattaforma di terze parti e non avesse mai rimosso la voce DNS, un utente malintenzionato potrebbe intervenire, rivendicare la risorsa e prendere il controllo del sottodominio.

Non si tratta solo di teoria. Michael Perkins di essaywriters.com osserva che i truffatori clonano persino i servizi di scrittura accademica per ingannare gli studenti. In un sondaggio interno del 2024, ha scoperto che oltre il 12% dei reclami degli studenti erano collegati a siti di imitatori, a riprova del fatto che anche gli autori di saggi devono affrontare frodi a livello di dominio.

Vettori di attacco in azione

Dirottamento del sottodominio

Il caso più famoso è stato quello della campagna SubdoMailing (2022-2024). Gli aggressori hanno dirottato più di 8.000 sottodomini di marchi come MSN, VMware, McAfee, The Economist e Marvel. Poiché i sottodomini avevano ancora nomi affidabili, i criminali hanno inviato milioni di e-mail di phishing che hanno eluso i filtri.

Solo Microsoft Azure vede circa 15.000 sottodomini vulnerabili ogni mese. I ricercatori hanno avvertito oltre 1.000 organizzazioni, ma il 98% ha ignorato gli avvisi. Si tratta di un sacco di porte aperte lasciate al vento.

Spoofing del dominio e-mail

In questo caso, i criminali falsificano il nome o l'intestazione del mittente per far sembrare che un'e-mail provenga dalla vostra azienda. Le vittime vedono il marchio di cui si fidano e cliccano.

Nel 2024, il dominio di Facebook è stato spoofato in 44.750 attacchi di phishing. E non si è trattato di un caso isolato. Secondo il rapporto rapporto APWG sulle tendenze del phishing globaleil phishing ha raggiunto livelli record nel 2023, con quasi cinque milioni di attacchi registrati. La maggior parte di questi attacchi ha coinvolto domini progettati per sembrare familiari.

Senza una protezione contro lo spoofing dei domini, anche una piccola organizzazione rischia di veder dirottata la propria reputazione per la truffa di qualcun altro.

Impatto sul business e sul marchio

Ci si potrebbe chiedere: qual è la cosa peggiore che potrebbe accadere se un sottodominio dimenticato o un'e-mail contraffatta si insinuasse? Molto.

• Reputazione. Quando le e-mail di phishing o i siti web falsi portano il vostro nome, la fiducia crolla. Ai clienti non importa se si tratta di un vostro errore o di un trucco di un criminale: vedono il vostro marchio sotto attacco.
• Perdite finanziarie. Il costo medio di una violazione dei dati legata al phishing nel 2024 è stato di 4,9 milioni di dollari. E questo senza contare le perdite indirette, come il churn o i rimborsi.
• Clienti come bersagli. Una pagina di pagamento falsificata o un portale clonato prosciugano i portafogli e rubano le credenziali. I vostri utenti diventano un danno collaterale.
• Caos operativo. I domini nella lista nera, i tempi di inattività improvvisi o la necessità di dire ai clienti "non fidatevi delle nostre e-mail" creano un vero e proprio caos.
• Conformità e problemi legali. Il GDPR, l'HIPAA o le leggi locali sui dati non giustificano una gestione approssimativa del dominio. Se la vostra negligenza ha permesso una frode, le cause legali seguono.

Sebbene si voglia sapere come fermare lo spoofing del dominio una volta che si è verificato, la verità è semplice: prevenire è molto più economico che rispondere.

Impatto nel mondo reale degli attacchi ai domini e ai sottodomini

Strategie di prevenzione e protezione

È qui che si assume il controllo. La gestione sicura di più domini si basa su livelli di difesa.

1. Audit di ogni cosa 

Mantenete un inventario aggiornato di tutti i domini e sottodomini. Eliminate rapidamente i record inutilizzati per ridurre la superficie di attacco.

2. DNS sicuro 

Utilizzare i blocchi del registro per i domini chiave. Abilitare DNSSEC per evitare manomissioni. Rimuovere i record pendenti quando un servizio viene ritirato.

3. Autenticazione e-mail 

Implementare SPF e DKIM, quindi bloccare il tutto con DMARC. Pubblicare criteri che rifiutino la posta non autenticata.

4. Monitoraggio dei sosia 

Fate attenzione ai typosquat e ai domini omografi. Registrate voi stessi le varianti più ovvie, se il budget lo consente.

5. Sottodomini resistenti 

Applicare HTTPS ovunque. Isolate le applicazioni per evitare che una violazione si diffonda. Monitorate i registri dei certificati alla ricerca di modifiche sospette.

6. Formazione dei team e dei clienti 

Insegnate ai dipendenti a riconoscere le e-mail contraffatte. Condividete istruzioni chiare che aiutino i vostri clienti a verificare se un messaggio è autentico.

7. Utilizzo degli strumenti di sicurezza 

Piattaforme come PowerDMARC o altri strumenti di monitoraggio della superficie di attacco offrono visibilità su portafogli di domini molto estesi.

Tendenze emergenti 2022-2025

I rischi non si riducono. Ecco cosa sta dando vita alla prossima ondata:

• Phishing in scala. Quasi cinque milioni di tentativi di phishing nel 2023, e la curva continua a salire.
• Configurazioni errate del cloud. I servizi SaaS e cloud favoriscono la crescita, ma lasciano dietro di sé migliaia di sottodomini vulnerabili.
• Abuso di nuovi TLD. I domini che terminano con .xyz, .app o .shop sono molto utilizzati nelle campagne di phishing.
• Automazione dell'intelligenza artificiale. Gli aggressori utilizzano i bot e l'intelligenza artificiale per analizzare le configurazioni errate più velocemente di quanto gli esseri umani possano fare.
• Maggiore consapevolezza. Le autorità di regolamentazione, le assicurazioni e le piattaforme iniziano a richiedere difese più forti. L'adozione del DMARC sta salendo, lentamente ma inesorabilmente.

Pensieri finali

Gestire più domini è una grande responsabilità. Ogni dominio acquistato e ogni sottodominio creato fa parte della proprietà online del vostro marchio. Se ne lasciate uno incustodito, gli aggressori lo reclameranno.

Il lato positivo è che ora conoscete i rischi, dallo spoofing dei domini alle campagne di dirottamento dei sottodomini, e avete il manuale per la prevenzione. Controllate i vostri domini. Bloccate il vostro DNS. Implementare DMARC. Monitorare i lookalike. Educate il vostro personale.

Gli aggressori continueranno a provarci. Ma con la vigilanza, le politiche intelligenti e gli strumenti giusti, potete mantenere il vostro impero digitale sicuro e fiorente.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e delle e-mail presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• Caso di studio DMARC MSP: come Pablo Herreros ha semplificato la gestione dei record DNS per i clienti con PowerDMARC - 10 dicembre 2025
• SMB1001 e DMARC: cosa devono sapere le PMI per garantire la conformità in materia di sicurezza delle e-mail - 8 dicembre 2025
• I migliori analizzatori di domini per la sicurezza delle e-mail nel 2026 - 5 dicembre 2025