Trova i contatti abuse del registrar e della rete per un dominio o un IP tramite RDAP.
Rete: RDAP + DoHNuovo
Generatore di segnalazioni abuse
Funziona in localeNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Generatore di segnalazioni abuse
Cosa fa
Inserisci URL, indirizzi IP, date e prove di un sito di phishing o di truffa e ottieni un'e-mail di segnalazione pronta da inviare al suo registrar, al provider di hosting o alla CDN. Gli hash dei file vengono calcolati nel tuo browser e nulla viene inviato altrove.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Generatore di segnalazioni abuse
- Scegli il tipo di destinatario e di attacco. In Report to, scegli Registrar, Hosting provider o CDN / reverse proxy. In Attack type, scegli la più vicina tra sei opzioni, come Phishing o Crypto wallet drainer.
- Inserisci ciò che hai visto. Incolla gli URL uno per riga; le forme defanged come hxxps:// e [.] vengono riconvertite in URL reali. Lascia vuoto Domain per usare il dominio registrabile del primo URL, e aggiungi gli indirizzi IP se li conosci.
- Imposta gli orari. Compila First seen e Last seen (prima e ultima rilevazione); vengono interpretati come UTC e mostrati in formato ISO sotto ogni campo. Now imposta Last seen sull'ora corrente.
- Aggiungi le prove. Incolla gli hash, oppure trascina i file per ottenere il loro SHA-256 nel browser. Aggiungi link a scansioni e una breve descrizione di ciò che la pagina chiede.
- Genera e correggi. Premi Generate report. Le voci rosse Fix before sending bloccano la segnalazione; le voci gialle Check sono consigli. Dopo la prima segnalazione, il testo si aggiorna mentre modifichi.
- Inviala. Copia oggetto e corpo, aprili nel client di posta oppure scarica il file .txt o .json. Per Cloudflare, incolla il corpo nel suo modulo per le segnalazioni di abuso.
Esempio
Wallet drainer su un dominio sosia
hxxps://connect.wallet-verify[.]example/claimFind the registrar's abuse address with Abuse Contact Lookup. Section 3.18 of the RAA binds ICANN-accredited registrars of gTLDs (.com, .net, .xyz and the other generic TLDs); for country-code domains the report cites the registry's policy instead.
Subject
Abuse report: crypto wallet drainer domain wallet-verify[.]example (impersonating Example Wallet)
Body
Hello abuse team,
I am reporting the domain name wallet-verify.example, registered through your company. It is used for a crypto wallet drainer: a fake site that asks visitors to connect a wallet and sign transactions that send their funds to the attacker, impersonating Example Wallet.
Details
Attack type: Crypto wallet drainer
Brand: Example Wallet
Domain: wallet-verify.example
URLs: https://connect.wallet-verify.example/claim
IP addresses: 192.0.2.10
First seen: 2026-10-19T08:00:00Z (UTC)
Last seen: 2026-10-20T09:30:00Z (UTC)
Evidence
https://urlscan.io/result/00000000-0000-4000-8000-000000000000/
Description
The page copies the Example Wallet site and asks visitors to connect a wallet and sign a token approval for all their assets.
Request
Section 3.18 of the ICANN Registrar Accreditation Agreement requires accredited registrars to investigate abuse reports and, when there is actionable evidence that a domain name is used for DNS abuse such as phishing or malware, to take prompt mitigation action. Please suspend this domain name (for example with the clientHold status) so that it stops resolving, and lock it against transfer while you investigate.
Please confirm that
…Una segnalazione al registrar per wallet-verify.example: l'oggetto riporta il dominio in forma defanged, il corpo l'URL reale, l'IP 192.0.2.10, prima e ultima rilevazione in UTC, un link a urlscan.io e una richiesta di sospensione che cita la sezione 3.18 del RAA di ICANN.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Report to | Registrar chiede la sospensione (ad esempio clientHold) e un blocco del trasferimento. Hosting provider chiede di rimuovere i contenuti e conservare i log. CDN chiede l'host di origine, l'inoltro e una pagina di avviso. |
| Attack type | Le segnalazioni di phishing, drainer e malware a un registrar gTLD citano il DNS abuse ai sensi della sezione 3.18 del RAA e chiedono una mitigazione tempestiva. Per falsi investimenti, falso supporto tecnico e altre frodi, il testo dice solo che i registrar devono indagare e rispondere in modo adeguato. |
| Dominio ricavato dagli URL | Il dominio registrabile del primo URL con un nome host, individuato con la Public Suffix List, per cui connect.wallet-verify.example diventa wallet-verify.example. Gli URL su un semplice indirizzo IP non forniscono alcun dominio. |
| Fix before sending | Ad esempio URL senza http://, https:// o ftp://, IP o hash non validi, date errate, Last seen precedente a First seen, indirizzi e-mail non validi o link di prova che non sono link web. |
| Avvisi Check | Un TLD nazionale (il RAA non si applica), un dominio su una piattaforma condivisa (usa il modello per l'hosting), una data nel futuro, una segnalazione al registrar senza dominio, oppure ancora nessuna prova. |
| Impostazione defang | Per impostazione predefinita solo l'oggetto, così i filtri di posta non trattano la tua segnalazione come phishing mentre il servizio abuse riceve comunque i link reali. Puoi rendere defanged anche gli indicatori nel corpo, oppure nulla. |
| Hash delle prove | MD5, SHA-1, SHA-256 o SHA-512 in esadecimale, uno per riga con un nome file facoltativo. I file trascinati, fino a 50 MB ciascuno, vengono sottoposti a hash SHA-256 e mai caricati. |
| Link mailto lungo | Se il link di posta supera i 2.000 caratteri, una nota avverte che alcuni client di posta lo troncano. Usa invece Copy. |
Altri esempi
Segnalazione all'hosting per una pagina su un IP
Report to: Hosting provider · Attack: Phishing · URL: hxxp://198.51.100.23/secure/login.php · IP: 198.51.100.23 · Brand: Example Bank · First seen: 2026-10-21 14:05Oggetto: Abuse report: phishing content at hxxp://198[.]51[.]100[.]23/secure/login[.]php on 198[.]51[.]100[.]23 (impersonating Example Bank). Il corpo elenca l'URL reale, l'IP e First seen 2026-10-21T14:05:00Z (UTC), e chiede di rimuovere i contenuti e conservare i log. Un riquadro Check segnala che non è ancora stata aggiunta alcuna prova.
Segnalazione alla CDN per un falso aggiornamento
Report to: CDN / reverse proxy · Attack: Malware delivery · URL: https://update.example.org/chrome-update.exe · Description: fake browser updateOggetto: Abuse report: malware delivery site example[.]org served through your network. Il corpo chiede al provider di indicare il provider di hosting, inoltrare la segnalazione e mostrare una pagina di avviso, e di non condividere i tuoi dati di contatto.
Input da correggere
Report to: Registrar · URL: login.example.net/verify · First seen: 2026-10-21 10:00 · Last seen: 2026-10-20 10:00 · Hash: 12345 kit.zipNessuna segnalazione. Fix before sending elenca: Not a URL (deve iniziare con http://, https:// o ftp://), Not a hash e Last seen is earlier than first seen. Un riquadro Check aggiunge: No evidence yet.
Domande frequenti
Cosa chiedono i tre modelli?
Il modello per il registrar chiede la sospensione del dominio (ad esempio clientHold) e un blocco del trasferimento, citando la sezione 3.18 del Registrar Accreditation Agreement di ICANN per i TLD generici. Il modello per l'hosting chiede la rimozione dei contenuti e la conservazione dei log, e il modello per la CDN chiede al provider di indicare l'host di origine, inoltrare la segnalazione e mostrare un avviso di phishing.
Il generatore verifica che il sito sia malevolo?
No. Formatta ciò che inserisci e controlla solo la forma: sintassi di URL, indirizzi IP, hash e date, ultima rilevazione successiva alla prima e presenza di un dominio nelle segnalazioni al registrar. Stabilire se le prove sono sufficienti spetta a te, e il riferimento al RAA vale solo per i registrar accreditati ICANN dei TLD generici.
La segnalazione o i miei dati di contatto vengono inviati da qualche parte?
No. La segnalazione viene creata nel tuo browser e l'hash dei file trascinati viene calcolato in locale, senza caricarli. La segnalazione esce dalla pagina solo quando la copi, la apri nel client di posta o la scarichi.
Devo segnalare al registrar, all'host o alla CDN?
Un registrar può impedire che il dominio si risolva; un host può rimuovere la pagina; una CDN può rivelare l'host reale e mostrare un avviso. È comune inviare segnalazioni separate al registrar e alla rete dietro l'IP. Abuse Contact Lookup trova entrambi gli indirizzi.
Come segnalo un sito dietro Cloudflare?
Scegli il modello CDN. Cloudflare accetta le segnalazioni di abuso tramite il suo modulo su abuse.cloudflare.com, categoria Phishing & Malware, quindi incolla lì il corpo generato invece di inviare un'e-mail.
Cosa contiene il file JSON scaricato?
L'ora di generazione, il modello, il tipo di attacco, il marchio, il dominio, gli URL, gli IP, prima e ultima rilevazione, link e hash delle prove, la descrizione, il destinatario, il tuo nome e la tua e-mail se li hai inseriti, e l'oggetto e il corpo. È utile per tenere traccia di cosa hai segnalato e quando.