Che cos’è il pharming? Come funziona e come le organizzazioni possono ridurre i rischi

Per le organizzazioni, il pharming può minare la fiducia dei clienti, esporre gli utenti al furto delle credenziali e aumentare la pressione nella gestione degli incidenti. È particolarmente pericoloso se combinato con e-mail di phishing, spoofing dei domini o domini simili che fanno apparire legittime le campagne fraudolente.

Questa guida illustra il funzionamento del pharming, le differenze rispetto al phishing, i segnali di allarme a cui prestare attenzione e le misure che le organizzazioni possono adottare per ridurre il rischio.

Nel settembre 2021, oltre 50 società finanziarie sono state vittime di un sofisticato attacco di pharming che ha preso di mira i clienti online negli Stati Uniti, in Europa e nella regione APAC. Per tre giorni sono stati infettati quasi 1.000 dispositivi al giorno, prima che il malware di pharming venisse individuato e neutralizzato.

Che cos’è un attacco di pharming?

Un attacco di pharming manipola il modo in cui un browser risolve un nome di dominio. Anziché indirizzare gli utenti all'indirizzo IP legittimo di un sito web, l'autore dell'attacco li reindirizza verso un sito fraudolento da lui controllato.

Ciò può avvenire tramite l'avvelenamento della cache DNS, impostazioni del router compromesse, configurazioni dannose del browser o malware che modifica i file host locali. L'obiettivo è solitamente quello di sottrarre credenziali, informazioni di pagamento, dati personali o dettagli della sessione.

Poiché il sito web clonato in modo fraudolento può apparire quasi indistinguibile da quello autentico, gli utenti potrebbero inviare inconsapevolmente informazioni sensibili, tra cui dati finanziari, numeri di previdenza sociale, cartelle cliniche, numeri di telefono e indirizzi e-mail. Una volta ottenuti questi dati, gli hacker possono commettere frodi finanziarie, furti di identità e altri crimini informatici.

Il termine "pharming" è una combinazione di due parole: "phishing" e "farming". Gli autori degli attacchi cercano una vittima tramite il phishing e raccolgono i suoi dati intercettando le informazioni inviate a un sito contraffatto.

Come funziona un attacco di pharming?

I team di sicurezza che comprendono la sequenza dell'attacco sono in grado di individuare tempestivamente i punti vulnerabili e di applicare le misure di controllo adeguate in ogni fase. Ecco come si svolge un tipico attacco di pharming:

1. Fase 1 – Selezione dell'obiettivo: l'autore dell'attacco individua un sito web da attaccare, in genere un portale bancario, una piattaforma di e-commerce o la pagina di accesso di un'azienda, e ne crea una replica fraudolenta.
2. Fase 2 – Manipolazione del DNS o del file host: l'autore dell'attacco corrompe la cache DNS su un server oppure installa un malware che sovrascrive il file host sul dispositivo dell'utente, mappando il dominio legittimo a un indirizzo IP dannoso.
3. Fase 3 – L'utente accede al sito: l'utente digita un URL legittimo nel proprio browser, convinto di visitare il sito web autentico.
4. Fase 4 – Il browser viene reindirizzato verso un IP dannoso: poiché la mappatura DNS è stata alterata, il browser viene reindirizzato in modo invisibile al server fraudolento dell’autore dell’attacco anziché a quello legittimo.
5. Fase 5 – L'utente accede a un sito contraffatto: il sito falso sembra identico a quello autentico. L'URL visualizzato nel browser potrebbe apparire corretto, senza fornire all'utente alcuna indicazione evidente di una violazione della sicurezza.
6. Fase 6 – Furto di credenziali e dati: l’utente invia le credenziali di accesso, i dati di pagamento o altre informazioni sensibili direttamente al server dell’autore dell’attacco. Quest’ultimo può quindi utilizzare tali dati per commettere frodi finanziarie, furti di identità o ulteriori attacchi.

Attacco di pharming vs phishing: qual è la differenza?

Il pharming e il phishing sono fenomeni correlati, ma non sono la stessa cosa. Il phishing si avvale solitamente di e-mail, messaggi o link ingannevoli che inducono gli utenti a visitare un sito dannoso. Il pharming manipola le impostazioni del DNS o del dispositivo locale in modo che gli utenti vengano reindirizzati a un sito fraudolento, a volte anche quando digitano l'URL corretto.

Negli attacchi reali, queste due tecniche possono presentarsi contemporaneamente. Un’e-mail contraffatta può indirizzare gli utenti verso una pagina di accesso fasulla, mentre la manipolazione del DNS o l’uso di domini simili rendono la campagna più difficile da individuare. Ecco perché le organizzazioni hanno bisogno sia di misure volte a sensibilizzare gli utenti sia di difese tecniche quali l’autenticazione delle e-mail, il monitoraggio del DNS e la protezione degli endpoint.

Pharming, phishing e spoofing: tabella comparativa

Tipi di attacchi di pharming ed esempi concreti

Gli attacchi di pharming funzionano alterando il modo in cui un browser risolve un indirizzo web, reindirizzando gli utenti verso un indirizzo IP errato in modo che finiscano su un sito web contraffatto. Ne esistono diversi tipi distinti, ciascuno dei quali prende di mira un diverso livello dello stack di rete, e gli incidenti verificatisi nella realtà dimostrano con quanta rapidità ciascuno di essi possa diffondersi su larga scala.

Il pharming locale/basato sull'host si verifica quando un malware sovrascrive il file host su un singolo dispositivo, reindirizzando specifici indirizzi web verso un indirizzo IP dannoso. Il rilevamento risulta difficile poiché è interessato solo quel dispositivo; pertanto, la protezione degli endpoint e il monitoraggio del file host costituiscono le difese principali.

La campagna malware DNSChanger rappresenta uno dei più grandi esempi di questo tipo di attacco su larga scala:

• Metodo: la campagna malware DNSChanger ha modificato le impostazioni DNS direttamente sui dispositivi infetti, reindirizzando il traffico attraverso server DNS non autorizzati controllati dagli autori dell'attacco.
• Obiettivo: oltre 4 milioni di dispositivi in tutto il mondo, distribuiti sia nelle reti dei consumatori che in quelle aziendali.
• Conseguenze: le vittime venivano reindirizzate in modo invisibile verso siti fraudolenti, favorendo così frodi pubblicitarie e furti di credenziali, fino a quando l’FBI non ha sequestrato i server illegali nel 2011.
• Lezione: le impostazioni del router e del DNS devono essere verificate regolarmente e le organizzazioni devono monitorare eventuali modifiche non autorizzate al DNS nei propri ambienti.

L'avvelenamento della cache DNS si verifica quando gli aggressori corrompono la cache di un resolver DNS con record falsi, reindirizzando in modo errato tutti gli utenti che effettuano una query. Si tratta di un fenomeno molto difficile da rilevare, poiché la compromissione avviene a monte del dispositivo della vittima. Il protocollo DNSSEC e i resolver DNS sicuri (DoH/DoT) rappresentano le difese più efficaci.

Il dirottamento DNS dei router si verifica quando gli hacker sfruttano i router con credenziali di amministratore predefinite o deboli per modificare le impostazioni DNS, reindirizzando contemporaneamente tutti i dispositivi presenti sulla rete. Si tratta di una tattica comune utilizzata contro i router domestici con un livello di sicurezza insufficiente:

• Metodo: gli autori dell'attacco hanno sfruttato i router con credenziali amministrative predefinite o deboli per modificare le impostazioni DNS di intere reti.
• Destinatari: Utenti privati e piccole imprese che utilizzano router di fascia consumer.
• Conseguenze: tutti i dispositivi presenti sulla rete interessata sono stati reindirizzati verso siti fraudolenti senza alcun avviso visibile.
• Lezione: le credenziali predefinite del router devono essere modificate immediatamente dopo l'implementazione. Il firmware deve essere mantenuto aggiornato e le impostazioni DNS devono essere bloccate su resolver affidabili.

La compromissione di un server DNS si verifica quando gli aggressori prendono di mira direttamente un server DNS, reindirizzando gli utenti senza bisogno di malware sui singoli dispositivi. Un singolo server compromesso può reindirizzare migliaia di utenti contemporaneamente, rendendo questa tecnica la più utilizzata per il furto su larga scala di credenziali ai danni di istituzioni finanziarie e piattaforme aziendali. Il protocollo DNSSEC, il monitoraggio del DNS e un rigoroso controllo degli accessi costituiscono le difese fondamentali.

Il pharming basato su malware viene diffuso tramite link o allegati e-mail; il malware sovrascrive i file host in modo che i dispositivi infetti aprano un sito dannoso ogni volta che viene digitato un indirizzo specifico. È difficile risolvere il problema perché spesso la sola scansione antimalware non è sufficiente; in genere è necessaria una pulizia approfondita degli endpoint. L’attacco del 2021 al settore finanziario dimostra fino a che punto questa tecnica possa estendersi:

• Metodo: nel settembre 2021, una campagna di pharming basata su malware ha preso di mira i dispositivi degli utenti finali negli Stati Uniti, in Europa e nella regione APAC.
• Destinatari: i clienti dei servizi bancari online di oltre 50 istituti finanziari.
• Impatto: nei tre giorni precedenti all’individuazione e alla neutralizzazione del malware, sono stati infettati quasi 1.000 dispositivi al giorno.
• Lezione: anche gli istituti finanziari dotati di risorse adeguate possono subire ripercussioni su larga scala. Il rilevamento degli endpoint e il monitoraggio del DNS sono controlli fondamentali per l’allerta precoce.

Quali sono i rischi di un attacco di pharming?

Il pharming comporta gravi conseguenze sia per i singoli individui che per le organizzazioni, e la gravità varia a seconda di ciò che viene compromesso.

Segni di un attacco di Pharming

I team di sicurezza e gli utenti dovrebbero prestare attenzione ai seguenti indicatori. I segnali sono raggruppati per categoria per consentire una valutazione più rapida:

Segnali relativi al browser e alla rete

• Avvisi imprevisti relativi ai certificati SSL o discrepanze su siti che in precedenza venivano caricati senza errori.
• Modifiche alle impostazioni della pagina iniziale del browser non effettuate dall'utente.
• Frequenti finestre pop-up che reindirizzano a siti sconosciuti.
• Le impostazioni DNS sul dispositivo o sul router sono state modificate senza autorizzazione.
• L'indirizzo IP risolto per un dominio attendibile non corrisponde al valore previsto.

Indicatori contabili e finanziari

• Operazioni finanziarie che gli utenti non riconoscono, ad esempio transazioni con carta di credito o bonifici bancari.
• Risposte a e-mail non inviate dall'utente o dall'organizzazione.
• Attività insolite o non riconosciute sui social media o sugli account aziendali.

Segnaletica dei dispositivi

• Antivirus, anti-malware o altri software di sicurezza disattivati.
• Nuovo software installato sui dispositivi all'insaputa dell'utente.
• I sistemi si bloccano o si arrestano frequentemente; il malware di tipo “pharming” può consumare una quantità significativa di risorse.
• Dispositivi che, all'avvio, visualizzano messaggi o programmi insoliti.

Come prevenire gli attacchi di pharming

Per ridurre il rischio di pharming è necessaria una sicurezza a più livelli. Nessuna misura di controllo, da sola, è in grado di bloccare tutti gli attacchi basati sul reindirizzamento, ma le misure riportate di seguito riducono l'esposizione a livello di DNS, endpoint, utenti e posta elettronica.

Per i privati

1. Modificare le credenziali predefinite del router e applicare tempestivamente gli aggiornamenti del firmware.
2. Utilizza un resolver DNS affidabile. I resolver pubblici, come quelli che offrono DNS-over-HTTPS (DoH) o DNS-over-TLS (DoT), aggiungono un ulteriore livello di verifica.
3. Verifica i dettagli del certificato SSL quando una pagina di accesso ti sembra sospetta. Il protocollo HTTPS crittografa il traffico tra il browser e il server, ma non garantisce che il sito stesso sia legittimo. Controlla attentamente l'emittente del certificato e il dominio.
4. Abilita l'autenticazione a più fattori (MFA) su tutti gli account importanti. Anche se le credenziali venissero intercettate da un sito contraffatto, l'MFA riduce il rischio di accessi non autorizzati.
5. Mantenere aggiornati i software anti-malware e di protezione degli endpoint. Eseguire scansioni regolari per rilevare eventuali modifiche al file host.
6. Evitate di cliccare sui link contenuti in e-mail o messaggi non richiesti. Seguite solo i link provenienti da fonti conosciute e affidabili. In caso contrario, gli utenti potrebbero essere reindirizzati verso siti web clonati, creati appositamente per sottrarre credenziali o dati di pagamento. A volte gli hacker mascherano le destinazioni dannose utilizzando URL abbreviati con il marchio dell’azienda; pertanto, verifica il dominio sottostante prima di cliccare, anche se il link sembra legittimo.
7. Diffidate di offerte quali sconti elevati, lotterie o premi che vi vengono proposti senza che li abbiate richiesti. Si tratta di esche comunemente utilizzate per attirare gli utenti verso siti fraudolenti.
8. Ove possibile, utilizzare l'autenticazione tramite app o basata su codici QR anziché le password monouso via SMS, che possono essere intercettate o reindirizzate nell’ambito di un attacco più ampio.

Per le organizzazioni

Infrastruttura DNS sicura

Utilizzate un provider DNS affidabile, limitate l’accesso alle console di gestione del DNS, monitorate le modifiche ai record DNS e implementate il DNSSEC ove opportuno. Il protocollo DNSSEC aggiunge firme crittografiche ai record DNS, contribuendo a prevenire gli attacchi di cache poisoning.

Proteggere gli endpoint e i browser

Mantenete aggiornati i sistemi operativi, i browser, le soluzioni di protezione degli endpoint e gli strumenti anti-malware. Il pharming basato su malware spesso si basa sulla modifica delle impostazioni locali o dei file host sui dispositivi dei dipendenti.

Rafforzare la sicurezza dei router e della rete

Modificare le credenziali predefinite dei router in tutta l'infrastruttura di rete, applicare gli aggiornamenti del firmware e limitare l'accesso amministrativo agli utenti e alle reti affidabili. Verificare regolarmente le impostazioni DNS sui router.

Utilizza l'autenticazione delle e-mail per ridurre il rischio di spoofing

SPF, DKIM e DMARC aiutano i server di posta in ricezione a verificare se un messaggio che dichiara di provenire dal tuo dominio è autorizzato. Se configurati e monitorati correttamente, questi protocolli riducono il rischio di spoofing del dominio e contribuiscono a impedire agli hacker di utilizzare il tuo marchio in campagne e-mail che indirizzano gli utenti verso siti web fraudolenti.

L'autenticazione delle e-mail opera in sinergia con la sicurezza DNS, la protezione degli endpoint e i controlli per la navigazione sicura, senza sostituirli. Il suo ruolo è più circoscritto: bloccare i messaggi contraffatti che gli aggressori utilizzano per lanciare campagne di pharming o phishing.

Monitorare i domini simili e le infrastrutture sospette

Gli hacker spesso registrano domini che assomigliano molto a marchi affidabili. Utilizza un strumento di verifica dei domini simili per individuare tempestivamente i tentativi di usurpazione d'identità e impedire che vengano utilizzati in campagne di pharming o phishing.

Formare gli utenti e i dipendenti a segnalare i reindirizzamenti sospetti

I dipendenti e i clienti devono sapere come segnalare pagine di accesso insolite, reindirizzamenti imprevisti, avvisi relativi ai certificati SSL ed e-mail sospette. È necessario definire procedure di segnalazione chiare, in modo che i team di sicurezza possano intervenire tempestivamente.

Verifica lo stato di sicurezza del tuo dominio

Utilizza il Domain Analyzer e il DNSSEC Checker di PowerDMARC per verificare lo stato di autenticazione del tuo dominio e individuare eventuali vulnerabilità prima che gli hacker possano sfruttarle.

In che modo PowerDMARC contribuisce alla protezione dei domini

PowerDMARC aiuta le organizzazioni a rafforzare il livello di autenticazione delle e-mail nell'ambito della sicurezza dei domini. La piattaforma offre una dashboard centralizzata per DMARC, SPF, DKIM, BIMI, MTA-STS e TLS-RPT, garantendo ai team di sicurezza una chiara visibilità sulle fonti di invio autorizzate e non autorizzate.

• Monitoraggio e reportistica DMARC: individua i tentativi di spoofing, gli errori di autenticazione e i mittenti non autorizzati su tutti i tuoi domini.
• Gestione automatizzata dell'SPF: evita i problemi legati ai limiti di ricerca dell'SPF man mano che nuove piattaforme SaaS e di marketing vengono aggiunte al tuo stack di invio.
• Servizi di autenticazione in hosting: gestisci DMARC, SPF, DKIM, BIMI, MTA-STS e TLS-RPT da un'unica piattaforma senza complesse modifiche al DNS.
• Supporto alla conformità: garantire la conformità alle linee guida di Google, Microsoft, PCI DSS, al GDPR e alle normative governative in materia di autenticazione delle e-mail.
• Assistenza globale reattiva: ricevi supporto da esperti durante le fasi di onboarding, risoluzione dei problemi e pianificazione dell'applicazione delle politiche, con copertura 24 ore su 24, 7 giorni su 7 per i partner aziendali e MSP.

Vuoi verificare se il tuo dominio è protetto contro lo spoofing delle e-mail? Esegui una scansione del tuo dominio per individuare eventuali problemi relativi a DMARC, SPF e DKIM utilizzando il Domain Analyzer gratuito di PowerDMARC.

Domande frequenti

In che modo il pharming si differenzia dal phishing e dallo spoofing?

Il phishing si basa su e-mail, messaggi o link ingannevoli che inducono gli utenti a visitare un sito dannoso con un URL diverso. Lo spoofing consiste nell’usurpazione dell’identità di una persona, di un dominio, di un indirizzo e-mail o di un sito web. Il pharming si distingue da entrambi: manipola le impostazioni del DNS o del dispositivo locale per reindirizzare gli utenti verso un sito fraudolento, a volte anche quando digitano l’URL corretto, senza richiedere alcun clic su un link. In pratica, gli aggressori spesso combinano tutte e tre le tecniche, falsificando l’e-mail di un marchio affidabile per lanciare una campagna, quindi utilizzando il pharming per garantire il reindirizzamento anche per gli utenti che navigano direttamente.

Quali sono alcuni attacchi di pharming più noti?

Tra gli esempi più significativi figurano l’attacco del 2021 contro oltre 50 istituzioni finanziarie, che ha infettato quasi 1.000 dispositivi al giorno, la campagna malware DNSChanger che ha colpito oltre 4 milioni di dispositivi in tutto il mondo e le campagne diffuse di dirottamento DNS dei router che hanno reindirizzato intere reti domestiche o aziendali. Per una sintesi dettagliata dei casi, consultare la sezione “Tipi di attacchi di pharming ed esempi reali” riportata sopra.

Un attacco di pharming può verificarsi anche se l'URL sembra corretto?

Sì. È proprio questo che rende il pharming particolarmente pericoloso. Nel pharming a livello di DNS, l’autore dell’attacco manipola la mappatura tra dominio e indirizzo IP in modo che il browser venga reindirizzato verso un server fraudolento, mentre l’URL nella barra degli indirizzi continua ad apparire corretto. Gli utenti non possono fare affidamento esclusivamente sul controllo dell’URL per individuare il pharming.

In che modo le aziende possono prevenire gli attacchi di pharming?

Le organizzazioni dovrebbero implementare il protocollo DNSSEC, utilizzare resolver DNS sicuri, rafforzare la sicurezza dei router e dei dispositivi di rete, implementare soluzioni di protezione degli endpoint, monitorare le modifiche ai record DNS, applicare l’autenticazione a più fattori, implementare l’autenticazione delle e-mail (SPF, DKIM, DMARC), monitorare la presenza di domini simili e formare i dipendenti affinché segnalino eventuali reindirizzamenti sospetti. È essenziale adottare un approccio a più livelli, poiché nessun singolo controllo è in grado di coprire tutti i vettori di pharming.

Il DMARC può impedire il pharming?

DMARC non impedisce direttamente il DNS poisoning né la manipolazione dei file host. Tuttavia, contribuisce a impedire agli autori degli attacchi di spoofare il proprio dominio in campagne e-mail che potrebbero reindirizzare gli utenti verso siti web fraudolenti. In combinazione con le misure di sicurezza DNS e i controlli sugli endpoint, DMARC costituisce una componente importante di una strategia di difesa a più livelli.

Cosa devo fare se sospetto un attacco di pharming?

Se sospetti un attacco di pharming: (1) Verifica che non siano state apportate modifiche non autorizzate alle impostazioni DNS del tuo dispositivo e alla configurazione DNS del router. (2) Svuota la cache DNS e riavvia il browser. (3) Esegui una scansione completa del dispositivo alla ricerca di malware. (4) Modifica le password di tutti gli account a cui hai avuto accesso durante il periodo in cui si sospetta l’attacco. (5) Contatta immediatamente la tua banca o i fornitori di servizi interessati. (6) Se fai parte di un’organizzazione, segnala l’accaduto al team di risposta agli incidenti ed esamina i registri di monitoraggio del DNS.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• PowerDMARC nominata leader nel settore dei software DMARC per il 13° trimestre consecutivo - 28 agosto 2026
• Quarantena di Microsoft: come individuare e sbloccare le e-mail in quarantena in Outlook - 22 agosto 2026
• Cosa succede quando i chatbot basati sull'intelligenza artificiale divulgano dati aziendali riservati? - 21 agosto 2026