Gruppo NiceNIC International

Risultati principali

• Un dominio su sedici è un sito di phishing. La nostra scansione completa della zona, che ha coinvolto 351.701 domini registrati su NiceNIC, ha individuato 22.535 pagine di phishing confermate, con un tasso di contaminazione del 6,4%. Per un registrar di queste dimensioni, tale cifra è straordinaria; il valore di riferimento del settore si attesta ben al di sotto dello 0,5%.
• Le piattaforme di criptovalute sono l'obiettivo principale. Coinbase da sola ha registrato 3.798 domini contraffatti, mentre anche Ledger (1.317) e Kraken (1.214) sono stati pesantemente presi di mira. Questo schema è coerente con operazioni organizzate di raccolta di frasi seed che registrano domini in blocco, li gestiscono per un breve periodo e poi passano a un’infrastruttura nuova.
• I picchi di registrazioni rivelano un’attività coordinata da parte degli autori. Il 16 giugno 2026 sono stati registrati 1.382 domini di phishing in un solo giorno — 14,9 volte la media giornaliera. Picchi di questa portata non si verificano in modo spontaneo; indicano piuttosto l’esistenza di un numero ristretto di soggetti che intrattengono rapporti diretti con i registrar, dispongono di metodi di pagamento preapprovati e utilizzano processi di provisioning automatizzati.
• .com è predominante, ma i TLD generici fungono da riserva. Dei 351.701 domini analizzati, 194.812 (55,4%) utilizzano l’estensione .com. Tuttavia, la gestione da parte di NiceNIC delle estensioni .vip (27.121 domini) e .icu (16.517 domini) offre canali di registrazione in blocco a basso costo che gli autori delle minacce sfruttano ampiamente quando è più difficile acquisire rapidamente domini .com.
• Manca completamente una risposta strutturata agli abusi. PhishDestroy ha inviato centinaia di segnalazioni di abusi a NiceNIC attraverso diversi canali di segnalazione. I tassi di rimozione rimangono vicini allo zero per le infrastrutture di phishing attive. I domini che ricevono notifiche di rimozione vengono spesso riattivati entro 24–48 ore sotto lo stesso account del registrar, il che indica che non viene applicata alcuna misura a livello di account.
• L'intero set di dati è archiviato e accessibile al pubblico. Ogni dominio di phishing, data di registrazione, marchio preso di mira e segnalazione di abuso è documentato nell'archivio pubblico delle prove. I dati sono strutturati in modo da consentire l'acquisizione da parte delle forze dell'ordine e la verifica di conformità da parte dell'ICANN.

Feed di rilevamento in tempo reale

I domini di phishing NiceNIC più recenti rilevati da PhishDestroy. Aggiornati costantemente.

Prove e indagini correlate