Quando le segnalazioni di abusi non portano a nulla: come i registrar diventano complici silenziosi dei crimini informatici

Il sistema fallimentare

Ogni segnalazione di abuso che inviamo segue un protocollo chiaro: URL del dominio, categoria (phishing, crypto drainer, casinò fasullo), numero di rilevamenti su VirusTotal, screenshot a sostegno e stato nella blacklist. Non si tratta di semplici reclami vaghi, ma di pacchetti forensi. Eppure, un dominio dopo l’altro rimane online per settimane e mesi dopo la prima relazione.

Non esiste uno standard universale che regoli il modo in cui i registrar devono gestire le segnalazioni di abuso. Nessuno SLA. Nessun tempo di risposta obbligatorio. Nessun parametro di valutazione della responsabilità. Ogni registrar decide autonomamente se un dominio segnalato da 16 motori antivirus merita attenzione — oppure una risposta standard e la chiusura del ticket.

Chi ha la meglio su 16 motori antivirus?

Questa è la domanda a cui nessun registrar vuole rispondere. Quando Kaspersky, ESET, Fortinet, BitDefender, Sophos, G-Data e altri dieci fornitori di soluzioni di sicurezza segnalano un dominio come dannoso su VirusTotal — e il team addetto agli abusi del registrar decide "non è necessaria alcuna azione" — Ma chi è stato esattamente a prendere quella decisione?

Pensate all’assurdità: un solo analista responsabile della gestione degli abusi presso un registrar prevale sulle informazioni di intelligence sulle minacce raccolte complessivamente da 16 motori antivirus indipendenti, ciascuno con miliardi di punti dati, laboratori di ricerca dedicati e decenni di esperienza. Su quali basi? Quale infrastruttura di scansione utilizza un team dedicato agli abusi presso NiceNIC o GlobalDomainGroup che superi quella di Kaspersky?

La risposta è semplice: nessuna. Non effettuano alcuna verifica. Non controllano nulla. O non guardano affatto il rapporto, oppure si basano su un calcolo economico: un dominio attivo genera entrate; un dominio sospeso no.

Cerchiamo di chiarire bene cosa significa: qualcuno presso l'ente di registrazione ha esaminato le prove fornite da 13 fornitori di servizi di sicurezza indipendenti e 13 segnalazioni di abuso distinte — e ha deciso che il proprio giudizio fosse superiore. Non si tratta di un errore. Si tratta di una politica.

Nessuna autorità che rispettino

Cita un solo produttore di antivirus che i registrar considerino autorevole. Non ci riesci, perché non ce n’è uno.

• Kaspersky — Rileva il dominio? Ignorato.
• ESET — lo segnala come phishing? Ignorato.
• Fortinet — lo blocca a livello di rete? Ignorato.
• BitDefender — avverte milioni di utenti? Nessuno gli dà retta.
• Google Safe Browsing — il più grande sistema di sicurezza web del mondo? Eppure continua a essere ignorato.

C'è nessuna soglia di rilevamento in cui il registrar è tenuto ad agire. Non 5 motori. Non 10. Non 16. Un dominio può essere segnalato da tutti i produttori di antivirus su VirusTotal, comparire in diverse blacklist e avere una dozzina di segnalazioni di abuso a suo carico — eppure il registrar non ha alcun obbligo giuridicamente vincolante di intervenire.

Non si tratta di una falla nel sistema. Ecco come funziona il sistema. Il settore della registrazione dei domini è riuscito a eludere qualsiasi standard vincolante che lo obbligasse a rispettare i risultati dei ricercatori di sicurezza, dei produttori di antivirus o delle piattaforme di intelligence sulle minacce. Quando 16 motori su 70 rilevano un dominio, non si tratta di un “forse”. È un consenso. Eppure il team antabus del registrar, privo di qualsiasi infrastruttura di scansione e con un interesse economico a mantenere attivo il dominio, ignora tale consenso.

L'incentivo finanziario

I registrar applicano canoni annuali per ogni dominio. Ogni sospensione comporta una perdita di entrate. Ogni rimozione comporta il rischio di dover rimborsare l'importo pagato. Esiste un incentivo finanziario diretto e misurabile a mantenere attivi i domini — e nessuna sanzione economica per chi ignora le segnalazioni di abuso.

Questo non vale per tutti i fornitori di infrastrutture. Cloudflare, ad esempio, gestisce in modo efficiente le segnalazioni di abuso e non ricava introiti dalle registrazioni dei domini allo stesso modo. La distinzione è importante: quando l’azienda che gestisce la tua segnalazione trae profitto dal fatto che il dominio rimanga online, il conflitto di interessi è strutturale.

I dati: dati in tempo reale tratti dai nostri rapporti

Di seguito è riportato un esempio tratto dal nostro registro delle segnalazioni di abusi del marzo 2026. Ogni voce rappresenta un dominio di phishing reale che è stato ancora attivo al momento della stesura del rapporto, nonostante le segnalazioni precedenti e i casi accertati.

VT = Rilevamenti di VirusTotal su circa 70 motori. "Attivo" = ore trascorse dal primo rilevamento al momento dell'escalation. Dati: registro delle segnalazioni di abusi di PhishDestroy, 19-21 marzo 2026.

I numeri non mentono

I recidivi: analisi per ufficio di stato civile

Non tutti i registrar sono uguali. I nostri dati evidenziano chiari andamenti: alcuni registrar compaiono ripetutamente tra le voci con le prestazioni peggiori.

Totale delle ore di inattività per responsabile dell'anagrafe

Ore di attività complessive di tutti i domini segnalati per ciascun registrar nel nostro set di dati di marzo 2026. Non si tratta del totale degli abusi commessi dai registrar, ma solo di quanto abbiamo osservato in un campione.

Cosa inviamo vs. Cosa fanno

Ogni segnalazione di abuso su PhishDestroy include:

A seguito dell'inerzia del registrar, ci rivolgiamo a Conformità alle norme ICANN (compliance@icann.org). In tutti i casi sopra riportati, l’ICANN è stata messa in copia (CC) nel secondo rapporto o in quelli successivi. I risultati? Altrettanto assenti.

Lo standard ICANN che non esiste

L'ICANN Accordo di accreditamento dei registrar (RAA), Sezione 3.18 impone ai registrar di disporre di un referente per gli abusi e di "adottare misure ragionevoli e tempestive per indagare e rispondere in modo adeguato" alle segnalazioni di abuso.

In pratica, "ragionevole e tempestivo" significa ciò che il responsabile del registro decide che significhi. Esiste:

• Nessun limite massimo di tempo di risposta — un funzionario dell’anagrafe può aspettare settimane e sostenere che fosse “ragionevole”
• Nessuna soglia obbligatoria per la sospensione — Il rilevamento di 16 VT non fa scattare automaticamente alcuna azione
• Nessun obbligo di rendicontazione pubblica — gli uffici di registrazione non sono tenuti a rendere pubblico il numero di segnalazioni che ricevono né a comunicare le azioni intraprese in merito
• Nessuna sanzione significativa — L’ICANN ha revocato solo in rari casi l’accreditamento a causa della mancata adozione di misure contro gli abusi

Il risultato: i registrar considerano la gestione degli abusi come un centro di costo da ridurre al minimo, non come un obbligo di sicurezza da adempiere.

Intervengono contro il typosquatting, ma non contro il phishing

Ecco cosa rende tutto questo ancora più assurdo. Alcuni degli stessi registrar che ignorano per mesi le segnalazioni di phishing si dimostrano estremamente efficienti in un tipo specifico di abuso: typosquatting — domini che presentano una somiglianza tale da creare confusione con marchi già affermati.

Perché? Perché il typosquatting prende di mira aziende con budget destinati alle spese legali. Quando Google, Apple o Microsoft presentano un reclamo UDRP relativo a un dominio simile, i registrar intervengono nel giro di pochi giorni. La minaccia di azioni legali e di sanzioni da parte dell’ICANN per abuso di marchio è reale e immediata.

Ma quando un dominio di phishing sottrae denaro a singole vittime? Quando un “crypto drainer” prosciuga i risparmi di una vita? Quando un casinò fasullo ruba i dati delle carte di credito dei giocatori? Nessun ufficio legale aziendale. Nessun ricorso UDRP. Nessuna urgenza. Il dipartimento che si occupa dei casi di abuso del registrar applica un criterio diverso, in base al quale la perdita economica subita dalla vittima non determina la stessa reazione che si avrebbe in caso di violazione del marchio registrato di un'azienda.

Il messaggio è chiaro: I registrar tutelano i marchi, non le persone. Rispondono in base all’autorità legale, non alle prove di un danno. Le nostre segnalazioni contengono prove più oggettive rispetto a qualsiasi ricorso UDRP — scansioni VirusTotal, rilevamenti antivirus, conferme di inserimento in blacklist, screenshot — eppure rimangono senza risposta.

Facciamo il loro lavoro — gratis

PhishDestroy è un progetto indipendente e non commerciale. Eseguiamo la scansione dei domini. Classifichiamo le minacce. Generiamo rapporti su VirusTotal. Acquisiamo schermate. Redigiamo rapporti dettagliati sugli abusi e li inviamo ai registrar, ai registri e all’ICANN. Ci occupiamo degli aspetti relativi alla sicurezza di cui dovrebbero occuparsi direttamente i registrar.

Ed ecco la scomoda verità: alcuni registrar svolgono effettivamente questo lavoro. Alcuni registrar gestiscono una propria infrastruttura di scansione dei domini, utilizzano feed privati di intelligence sulle minacce e sospendono in modo proattivo i domini dannosi prima ancora che qualcuno li segnali. Esistono davvero. E dimostrano che è possibile.

La questione non è se sia possibile intervenire rapidamente in caso di abuso. È vero. La domanda è: perché alcuni registrar scelgono di non farlo? E la risposta, ogni volta, ci riporta allo stesso incentivo strutturale: I domini attivi generano entrate. Quelli sospesi no.

Norme autorevoli che dovrebbero essere applicate

Il quadro normativo che prevede la responsabilità dei registrar esiste già, ma semplicemente non viene applicato:

50.000 domini e il numero continua a crescere

Gli esempi sopra riportati sono un campione relativo a una singola settimana. La portata reale è sbalorditiva.

Il nostro feed sulle minacce, costantemente aggiornato, all'indirizzo content_active.txt contiene oltre 50.000 domini segnalati come dannosi. Ciascuno di essi ha ricevuto almeno una segnalazione di abuso. Molti ne hanno ricevute diverse. I registrar hanno ricevuto le prove — le scansioni di VirusTotal, gli screenshot, le conferme dell’inserimento nella lista nera — e hanno preferito tutelare i propri clienti piuttosto che garantire la sicurezza del pubblico.

Perché è proprio di questo che si tratta: una scelta. Il cliente del registrar è la persona che ha registrato il dominio — il truffatore. Il cliente del registrar non è la nonna che ha perso i propri risparmi a causa di una pagina bancaria fasulla, né l’utente di criptovalute a cui è stato svuotato il portafoglio, né il giocatore a cui è stato rubato l’account Steam. Il registrar ha scelto il truffatore. Ogni volta.

Dal rapporto alle vittime: ogni ora è preziosa

Nel momento in cui inviamo una segnalazione di abuso, parte un conto alla rovescia. Da quel momento, il registrar è a conoscenza ufficiale che un dominio da loro gestito venga utilizzato per commettere frodi. Ogni ora di inazione successiva a tale notifica è un’ora di complicità consapevole.

Molti domini presenti nel nostro set di dati non si limitano a superare qualche segnalazione, ma resistono fino a quando il loro il periodo di registrazione scade. Seguono l'intero ciclo: registrazione, truffa, segnalazione, nuova segnalazione, inoltro all'ICANN, prosecuzione della truffa, scadenza naturale. Il registrar ha incassato la quota di registrazione. Il truffatore ha incassato i fondi rubati. Le vittime non hanno ottenuto nulla.

La sospensione tempestiva di un dominio non è solo un provvedimento amministrativo. Non è solo “un inconveniente per il titolare del dominio”. Si tratta di un'operazione di soccorso. Ogni dominio bloccato in tempo è un portafoglio che non viene svuotato, una credenziale che non viene rubata, un conto di risparmio che non viene prosciugato. I registrar che definiscono queste rimozioni come “censura” o “ostacolo all’attività commerciale” stanno rivelando esattamente quali interessi servono.

I registri dovrebbero risarcire le vittime?

Ecco la domanda su cui l'intero settore della registrazione dei domini si rifiuta di soffermarsi:

Pensateci. Una volta che il responsabile dell’anagrafe riceve la segnalazione, questi non più all'oscuro. Sono stati informati, con prove alla mano, che un dominio sotto il loro controllo viene utilizzato per sottrarre denaro, credenziali e identità. Da quel momento in poi, la persistente inazione non è più negligenza — è un decisione consapevole per consentire che si verifichi un danno.

• Il conservatore del registro è disposto ad assumersi la responsabilità? per ogni dollaro rubato tramite un dominio di cui erano stati avvertiti?
• Il responsabile del registro è disposto a risarcire le vittime? chi ha subito perdite finanziarie dopo che la denuncia di abuso è stata presentata e ignorata?
• Il team legale del registrar capisci che dire “abbiamo verificato e non abbiamo riscontrato alcun problema” — quando 16 motori antivirus non sono d’accordo — non è una posizione difendibile?

Se la risposta a tutte e tre le domande è "no", allora non vi è alcun motivo valido per mantenere attivo il dominio. Prima sospendere, poi indagare. È così che operano i fornitori di infrastrutture responsabili. È così che opera Cloudflare. È così che operano sempre più spesso i fornitori di hosting come Hetzner e OVH. Solo i registrar di domini continuano ad aggrapparsi a un modello in cui la comodità del truffatore prevale sulla sicurezza della vittima.

Chi ne paga il prezzo

Ogni ora in cui un dominio di phishing rimane online si traduce direttamente in un numero di vittime:

• Domini utilizzati per il drenaggio di criptovalute (farewex, perowex, xerowex, naebex) — portafogli svuotati in pochi secondi. Le 4.658 ore complessive dei domini di apiname.com rappresentano migliaia di potenziali svuotamenti di portafogli.
• Casinò fasulli / Truffe su CS:GO (casebattle variants, csgomy, ggddrop, tastdrop) — frodi con carte di credito, furto d'identità e risultati truccati ai danni dei giocatori.
• Falsa rappresentazione del servizio (dexscreener[.]at, trustwallet[.]receipts[.]sh, amlbot[.]im, dotabuff[.]org) — usurpazione dell'identità del marchio con conseguente furto di credenziali e perdite finanziarie.
• Infrastruttura di cardatura (patricksstash, stashhpatrick) — vendita di dati di pagamento rubati ad altri criminali.

Cosa deve cambiare

Il modello attuale è viziato fin dalla sua concezione. I registrar traggono profitto dal fatto che i domini rimangano attivi. L’ICANN non ha strumenti efficaci per far rispettare le norme. Le vittime non hanno alcuna possibilità di ricorso. Ecco cosa servirebbe per risolvere il problema:

1. SLA obbligatorio per la gestione dei casi di abuso: Risposta entro 24 ore, intervento iniziale entro 72 ore, percorso di escalation entro 7 giorni. Misurabile. Verificabile.
2. Soglia di sospensione automatica: Qualsiasi dominio con ≥10 rilevamenti su VirusTotal e almeno 2 segnalazioni indipendenti deve essere sospeso in attesa di verifica — e non il contrario.
3. Rapporti sulla trasparenza relativi agli abusi nei confronti dei cittadini: Ogni registrar accreditato dall'ICANN deve pubblicare trimestralmente: i rapporti ricevuti, il tempo medio di risposta, le azioni intraprese e i domini sospesi.
4. Sanzioni pecuniarie in caso di inadempienza: Sanzioni progressive per gli enti di registrazione che omettono sistematicamente di agire. Revoca dell'accreditamento per i recidivi.
5. Mediatore indipendente contro gli abusi: Un organismo indipendente in grado di riesaminare le decisioni dei registrar, intervenire in caso di inazione e accelerare le procedure di sospensione in caso di minacce gravi.
6. Elenco dei divieti tra registri: Quando si accerta che un registrante sia un trasgressore recidivo, tutti i registrar accreditati dovrebbero esserne informati. Basta con il “domain shopping”.

Cosa ha fatto PhishDestroy al riguardo

Non ci limitiamo a redigere rapporti e ad aspettare che il settore si riorganizzi da solo. Realizziamo sistemi che impongono la trasparenza e prevedono conseguenze in caso di inazione.

PhishDestroy — Non proteggiamo i marchi. Non difendiamo le vittime. Distruggiamo le infrastrutture utilizzate per il phishing e le truffe.

Conclusione

Quando 16 motori antivirus segnalano che un dominio è dannoso e un registrar risponde “nessuna azione”, il registrar non sta esercitando il proprio giudizio: sta proteggendo i propri profitti. Quando 13 segnalazioni di abuso distinte rimangono senza risposta e un dominio rimane attivo per 1.352 ore, il registrar non sta smaltendo un arretrato: sta favorendo il crimine.

I dati riportati in questo articolo non sono teorici. Si tratta del nostro registro in tempo reale delle segnalazioni di abusi relative a una singola settimana di marzo 2026 — e alla base di tutto ciò ci sono Oltre 50.000 domini segnalati nel nostro feed sulle minacce, costantemente aggiornato. Non si tratta di un problema isolato che riguarda un solo registrar. Si tratta di un fallimento a livello di settore che l'ecosistema della registrazione dei domini non ha alcun interesse a risolvere, poiché il modello attuale è redditizio.

Non esiste alcun fornitore di antivirus i cui risultati i registrar siano tenuti a rispettare. Non esiste una soglia di rilevamento che determini l’adozione di misure obbligatorie. Non esiste uno SLA, né responsabilità, né conseguenze. Il registrar incassa la tariffa, ignora i rapporti e sono le vittime a pagarne le conseguenze.

I registrar non sono fornitori di infrastrutture neutrali. Sono i “gatekeeper” che scelgono — ogni giorno, con ogni segnalazione ignorata — di mantenere in funzione le infrastrutture criminali online. Sono a conoscenza del danno che ne deriva. Hanno il potere di fermarlo. Ma scelgono di non farlo. E finché qualcuno non porrà loro l’unica domanda che conta — "Siete disposti a risarcire le vittime dei domini che vi siete rifiutati di sospendere?" — Non cambierà nulla.

Il silenzio del settore su questa questione è la risposta più eloquente di tutte.