Cybersquatting: cos’è e come proteggere il dominio della tua azienda

Cybersquatting: registrare un dominio costa relativamente poco, ma quel nome può rappresentare un’azienda, un marchio e anni di reputazione costruita online. Proprio questa differenza tra il costo di registrazione e il valore commerciale di un dominio rende possibili abusi, imitazioni e registrazioni effettuate in malafede.

Può capitare, per esempio, che qualcuno registri un dominio molto simile al nome di un’azienda, una variante con un errore di battitura oppure la stessa denominazione con un’estensione differente.

Gli obiettivi possono essere diversi:

• rivendere il dominio al titolare del marchio;
• intercettare visitatori che sbagliano indirizzo;
• imitare il sito originale;
• effettuare phishing;
• raccogliere credenziali;
• danneggiare la reputazione di un’azienda;
• sfruttare commercialmente un marchio conosciuto.

Il fenomeno prende il nome di cybersquatting ed è un problema che riguarda non soltanto grandi multinazionali, ma anche PMI, professionisti, ecommerce e attività locali.

Vediamo come funziona, come riconoscerlo e quali misure adottare per proteggere il proprio dominio.

Cos’è il cybersquatting?

Con cybersquatting si indica generalmente la registrazione o l’utilizzo abusivo di un nome a dominio identico o confondibile con un marchio, una denominazione aziendale o un altro segno distintivo, con l’obiettivo di trarne un vantaggio.

Un esempio molto semplice potrebbe essere:

azienda originale:
esempio.it

domini registrati da terzi:
esempio.com
esempio-online.it
esemp1o.it
esempio-shop.com

La semplice registrazione di un dominio simile, però, non significa automaticamente cybersquatting.

Due soggetti possono infatti avere legittimamente nomi simili oppure utilizzare lo stesso termine in settori differenti.

Per questo, nelle controversie, assumono particolare importanza elementi come:

• diritti sul nome o sul marchio;
• interessi legittimi del registrante;
• modalità con cui il dominio viene utilizzato;
• eventuale registrazione o utilizzo in malafede.

Perché un dominio può valere molto più del costo di registrazione?

Un dominio può costare poche decine di euro all’anno, ma nel tempo può diventare un vero asset aziendale.

Su quel nome possono essere costruiti:

• sito web;
• ecommerce;
• email aziendali;
• posizionamento sui motori di ricerca;
• campagne pubblicitarie;
• link provenienti da altri siti;
• reputazione del marchio;
• fiducia dei clienti.

Se un’azienda utilizza da dieci anni:

nomeazienda.it

quel dominio non rappresenta più soltanto un indirizzo tecnico.

Può essere parte integrante dell’identità digitale dell’impresa.

Cybersquatting e typosquatting: qual è la differenza?

Un termine strettamente collegato al cybersquatting è typosquatting.

In questo caso vengono registrate varianti del dominio originale basate su errori di digitazione facilmente prevedibili.

Per esempio:

xlogic.org
xllogic.org
xloglc.org
x-logic.org
xlogic-online.org

Un utente che digita velocemente l’indirizzo potrebbe quindi finire sul dominio sbagliato.

Un typosquatter potrebbe utilizzare quel traffico per:

• mostrare pubblicità;
• reindirizzare verso concorrenti;
• creare pagine di phishing;
• imitare il sito originale;
• distribuire malware.

Attenzione ai caratteri simili

Esistono anche tecniche più sofisticate che sfruttano caratteri graficamente simili.

Per esempio una lettera potrebbe essere sostituita con un carattere appartenente a un altro alfabeto che appare quasi identico sullo schermo.

Questo tipo di attacco può rendere difficile accorgersi immediatamente che il dominio visualizzato nella barra del browser non è quello corretto.

Per questo è sempre consigliabile controllare attentamente il nome del dominio quando si inseriscono:

• password;
• dati bancari;
• informazioni personali;
• credenziali amministrative.

Cybersquatting e phishing

Il problema diventa particolarmente serio quando il dominio viene utilizzato per impersonare un’azienda.

Immaginiamo un dominio ufficiale:

azienda.it

e un dominio fraudolento:

azienda-assistenza.it

L’attaccante potrebbe creare una copia grafica del sito originale e inviare email del tipo:

Il tuo account è stato sospeso.
Accedi immediatamente per confermare i dati.

Il link conduce però al dominio falso.

L’utente vede logo, colori e interfaccia molto simili all’originale e potrebbe inserire le proprie credenziali.

Il dominio diventa quindi parte integrante dell’attacco di phishing.

Cybersquatting e email aziendale

Un dominio simile può essere utilizzato anche per creare indirizzi email credibili.

Per esempio:

amministrazione@azienda.it

potrebbe essere imitato con:

amministrazione@azienda-online.it

La differenza può passare inosservata, soprattutto se il messaggio arriva nel contesto di una conversazione commerciale reale.

Questo tipo di attacco può essere utilizzato per:

• richiedere pagamenti;
• modificare un IBAN;
• inviare false fatture;
• rubare credenziali;
• ottenere documenti riservati.

Registrare il dominio principale non protegge automaticamente tutte le varianti

Registrare:

azienda.it

non impedisce automaticamente a un altro soggetto di registrare:

azienda.com
azienda.net
azienda.shop
azienda-online.it

Registro .it specifica infatti che la registrazione di un dominio .it non costituisce da sola una garanzia contro la registrazione di nomi simili.

Per questo le aziende con un marchio importante dovrebbero valutare una strategia di registrazione preventiva.

Registrazione preventiva delle estensioni principali

Una delle difese più semplici è registrare le estensioni realmente importanti per il proprio marchio.

Per un’azienda italiana potrebbero essere, a seconda del progetto:

• .it;
• .com;
• .eu;
• .net;
• estensioni specifiche del settore.

Non significa registrare centinaia di domini inutili.

È invece utile individuare quelli che potrebbero realisticamente essere utilizzati per creare confusione.

Per verificare la disponibilità delle principali estensioni puoi utilizzare il servizio Xlogic dedicato alla registrazione domini.

Conviene registrare anche gli errori di battitura?

Dipende dal valore del marchio.

Per un piccolo sito personale probabilmente non è necessario.

Per un ecommerce importante, un servizio finanziario o un’azienda con migliaia di clienti può invece avere senso registrare alcune varianti particolarmente probabili.

La strategia può essere:

dominio principale
+
principali TLD
+
2-3 errori di battitura critici

I domini secondari possono poi essere semplicemente reindirizzati verso quello principale.

Attenzione alla scadenza del dominio

Un’altra situazione da evitare è perdere il proprio dominio per mancato rinnovo.

Un dominio scaduto può attraversare diversi stati prima di tornare eventualmente disponibile per una nuova registrazione.

Lasciare scadere accidentalmente un dominio aziendale può avere conseguenze molto serie:

• sito offline;
• email non funzionanti;
• perdita temporanea del traffico;
• possibile perdita definitiva del dominio;
• rischio che il nome venga registrato da altri.

Il rinnovo del dominio dovrebbe quindi essere trattato come una delle attività amministrative essenziali dell’azienda.

Controllare sempre chi è il Registrante

Un problema abbastanza comune si verifica quando il dominio viene registrato da:

• webmaster;
• agenzia;
• collaboratore;
• ex dipendente.

senza prestare attenzione ai dati del Registrante.

Quando possibile, un dominio aziendale dovrebbe essere registrato utilizzando dati corretti e riconducibili al reale titolare.

È inoltre importante conservare:

• accesso all’account del registrar;
• email amministrativa;
• credenziali;
• codice AuthInfo/EPP quando necessario;
• dati di fatturazione;
• informazioni sul rinnovo.

Proteggere il codice AuthInfo

Il codice AuthInfo, chiamato anche Auth Code o EPP Code in base all’estensione, viene utilizzato nelle procedure di trasferimento di molti domini.

Deve essere considerato una credenziale sensibile.

Chi ne entra in possesso potrebbe tentare di avviare operazioni di trasferimento, compatibilmente con le regole previste dal TLD e dal registrar.

Xlogic mette a disposizione una guida dedicata su come richiedere e gestire il codice Auth.

Cybersquatting su un dominio .it: cosa si può fare?

Per i domini .it, Registro .it mette a disposizione una specifica procedura di opposizione.

Quando più soggetti rivendicano un diritto sul dominio, chi ritiene di aver subito un pregiudizio può richiedere l’apertura dell’opposizione.

L’opposizione ha l’effetto di “congelare” l’assegnazione durante la controversia.

È importante sottolineare che l’opposizione non trasferisce automaticamente il dominio.

Registro .it indica che dalla procedura possono poi derivare strumenti alternativi alla magistratura, tra cui:

• arbitrato;
• procedura di riassegnazione.

Le procedure ufficiali sono descritte nella sezione Aspetti legali di Registro .it.

Come funziona la riassegnazione di un .it?

La procedura di riassegnazione viene gestita da soggetti accreditati denominati Prestatori del Servizio di Risoluzione delle Dispute.

Lo scopo è verificare, secondo le regole previste, se il dominio sia stato registrato e mantenuto in malafede e se esistano le condizioni per la riassegnazione.

L’eventuale esito positivo può portare alla riassegnazione del dominio al soggetto che ha avviato l’opposizione.

Si tratta comunque di materia giuridica e ogni caso deve essere valutato individualmente.

Domini .com e UDRP

Per numerosi domini generici, come .com e .net, uno dei principali strumenti utilizzati nelle controversie per registrazioni abusive è la Uniform Domain Name Dispute Resolution Policy, conosciuta come UDRP.

La policy è stata adottata da ICANN nel 1999 sulla base del lavoro svolto da WIPO.

In una procedura UDRP il ricorrente deve generalmente dimostrare tre elementi:

1. il dominio è identico o confondibile con un marchio sul quale possiede diritti;
2. il registrante non possiede diritti o interessi legittimi sul dominio;
3. il dominio è stato registrato e viene utilizzato in malafede.

La documentazione ufficiale è disponibile nella guida UDRP di WIPO.

Cosa significa registrazione in malafede?

La valutazione dipende dal singolo caso.

Tra le circostanze considerate dalla UDRP possono rientrare, per esempio, situazioni in cui il dominio sia stato registrato principalmente per:

• rivenderlo al titolare del marchio a un prezzo superiore ai costi sostenuti;
• impedire al titolare del marchio di utilizzare il proprio segno nel dominio;
• danneggiare un concorrente;
• attirare utenti creando confusione con un marchio esistente.

Non basta quindi che due domini siano semplicemente simili.

Non comprare immediatamente il dominio dal cybersquatter

Quando qualcuno scopre che un dominio simile al proprio è stato registrato, la prima reazione può essere contattare immediatamente il registrante e offrire denaro.

Prima di farlo è consigliabile documentare la situazione.

È utile conservare:

• screenshot;
• URL;
• contenuti presenti sul dominio;
• eventuali email ricevute;
• date;
• reindirizzamenti;
• eventuali offerte di vendita;
• informazioni pubblicamente disponibili sul dominio.

Se il dominio ha valore significativo per l’azienda può essere opportuno consultare un professionista specializzato in proprietà intellettuale o diritto dei domini prima di prendere iniziative.

Monitorare periodicamente il proprio marchio

La prevenzione non termina dopo la registrazione del dominio.

Un’azienda può periodicamente controllare:

• principali estensioni del proprio nome;
• varianti con trattino;
• errori di battitura;
• nuovi domini simili;
• risultati dei motori di ricerca;
• certificati TLS emessi per nomi sospetti;
• segnalazioni dei clienti.

Per marchi particolarmente importanti esistono anche servizi professionali di brand monitoring.

Cybersquatting e SEO

Un dominio imitativo può creare problemi anche dal punto di vista della visibilità online.

Potrebbe pubblicare:

• copie dei contenuti originali;
• pagine create per intercettare ricerche sul marchio;
• contenuti spam;
• pagine affiliate;
• falsi servizi di assistenza.

Per l’utente può diventare difficile capire quale sia il sito ufficiale.

È quindi utile mantenere coerenti:

• dominio;
• branding;
• profili social ufficiali;
• schede aziendali;
• dati strutturati;
• informazioni di contatto.

Cybersquatting e reputazione del brand

Il danno non è necessariamente limitato al traffico perso.

Se un utente viene truffato da un sito che imita un’azienda, potrebbe attribuire inizialmente la responsabilità proprio al marchio originale.

Un dominio abusivo può quindi danneggiare:

• fiducia;
• reputazione;
• assistenza clienti;
• vendite;
• immagine aziendale.

Per questo la gestione dei domini dovrebbe essere parte della strategia di sicurezza aziendale.

Checklist per proteggere il dominio aziendale

Una strategia di base può comprendere:

1. Registrare il dominio principale appena possibile.
2. Utilizzare dati corretti del Registrante.
3. Registrare le principali estensioni utili al marchio.
4. Valutare le varianti più pericolose del nome.
5. Attivare il rinnovo automatico quando disponibile.
6. Mantenere aggiornati email e dati amministrativi.
7. Proteggere l’account presso il registrar.
8. Utilizzare autenticazione a due fattori quando disponibile.
9. Custodire il codice AuthInfo/EPP.
10. Monitorare domini simili.
11. Proteggere l’email con SPF, DKIM e DMARC.
12. Documentare eventuali domini sospetti.
13. Agire rapidamente in presenza di phishing o frodi.

Registrare e gestire un dominio con Xlogic

Xlogic permette di registrare e trasferire domini con diverse estensioni e di gestire i relativi record DNS.

Puoi consultare la pagina dedicata alla registrazione domini Xlogic per verificare disponibilità e principali estensioni.

Se possiedi già un dominio presso un altro provider puoi invece consultare il servizio di trasferimento dominio verso Xlogic.

Per procedure tecniche su registrazione, trasferimento, rinnovo e DNS è disponibile anche la Knowledge Base Xlogic dedicata ai domini.

Cybersquatting: meglio prevenire che recuperare un dominio

Il cybersquatting dimostra quanto un dominio possa diventare importante per un’azienda.

Registrare preventivamente alcune estensioni strategiche costa generalmente molto meno rispetto al tempo e alle risorse necessarie per affrontare successivamente una controversia.

Questo non significa acquistare indiscriminatamente decine di domini.

Significa valutare quali nomi rappresentano realmente un rischio per:

• marchio;
• clienti;
• email;
• ecommerce;
• reputazione.

Conclusioni

Il cybersquatting non riguarda soltanto grandi aziende internazionali.

Qualsiasi attività che utilizza il proprio dominio come strumento commerciale può diventare interessante per chi vuole sfruttarne il nome, il traffico o la reputazione.

Una buona strategia parte da alcuni principi semplici:

registrare il dominio corretto
+
proteggere l'account
+
rinnovarlo puntualmente
+
registrare le varianti strategiche
+
monitorare nomi simili

Se un dominio abusivo è già stato registrato, invece, è importante raccogliere le evidenze e valutare la procedura appropriata in base all’estensione interessata.

Per i domini .it Registro .it prevede procedure specifiche di opposizione e riassegnazione; per molti domini generici esiste invece la procedura UDRP.

La prevenzione rimane comunque la soluzione più semplice: un dominio aziendale dovrebbe essere considerato parte integrante dell’identità digitale e della sicurezza dell’impresa.

Domande frequenti sul cybersquatting

Cos’è il cybersquatting?

È la registrazione o l’utilizzo abusivo di un dominio identico o confondibile con un marchio o un nome aziendale, generalmente allo scopo di ottenere un vantaggio economico o sfruttare la reputazione del titolare.

Registrare un dominio simile è sempre illegale?

No. La semplice somiglianza non dimostra automaticamente un abuso. Devono essere valutati i diritti delle parti, gli interessi legittimi e le circostanze della registrazione e dell’utilizzo del dominio.

Cos’è il typosquatting?

È una variante nella quale vengono registrati domini basati su errori di digitazione o piccole modifiche del nome originale per intercettare utenti che inseriscono l’indirizzo sbagliato.

Come posso proteggere il dominio della mia azienda?

È consigliabile registrare tempestivamente il dominio principale, valutare le estensioni strategiche, proteggere l’account del registrar, utilizzare il rinnovo automatico e monitorare eventuali domini simili.

Cosa posso fare se qualcuno registra un dominio .it simile al mio marchio?

Registro .it mette a disposizione una procedura di opposizione. L’opposizione non assegna automaticamente il dominio, ma consente di accedere alle procedure previste per la risoluzione della controversia, tra cui la riassegnazione.

Cos’è la UDRP?

La Uniform Domain Name Dispute Resolution Policy è una procedura amministrativa utilizzata per numerose controversie riguardanti registrazioni abusive di domini, soprattutto nell’ambito dei domini generici come .com e .net.

Registrare anche .com e .it è utile?

Per molte aziende italiane può essere sensato proteggere almeno le estensioni principali collegate al proprio marchio. La scelta dipende però dal mercato, dal valore del brand e dal rischio concreto di confusione.

Il dominio appartiene al webmaster che lo ha registrato?

La situazione dipende dai dati della registrazione e dagli accordi tra le parti. Per un dominio aziendale è importante assicurarsi che i dati del Registrante siano corretti e che l’azienda mantenga il controllo delle credenziali e delle informazioni amministrative.

Cos’è il codice AuthInfo?

È un codice utilizzato per autorizzare il trasferimento di molti nomi a dominio tra registrar. Deve essere custodito come un’informazione sensibile.

Il cybersquatting può essere usato per phishing?

Sì. Un dominio molto simile a quello ufficiale può essere utilizzato per creare siti o indirizzi email che imitano un’azienda e tentano di ottenere credenziali, dati personali o pagamenti.