Sito web clonato con reverse proxy: come scoprirlo, bloccarlo e proteggere gli utenti

Che cos’è un sito web clone

Un sito web clone è un sito che riproduce in modo totale o parziale l’aspetto e i contenuti di un altro sito, generalmente senza l’autorizzazione del proprietario. La clonazione può riguardare:

• grafica e struttura delle pagine;
• testi, articoli e descrizioni;
• immagini e loghi aziendali;
• catalogo prodotti e relativi prezzi;
• informazioni di contatto;
• moduli di richiesta informazioni;
• pagine di registrazione e accesso;
• carrello, checkout e sistemi di pagamento.

In alcuni casi viene realizzata una copia statica del sito. Il malintenzionato scarica le pagine esistenti e le pubblica su un altro dominio. In altri casi, molto più pericolosi, il dominio fraudolento viene configurato come un ponte verso il sito originale. In questo modo il clone recupera i contenuti a ogni visita e può mostrarli quasi in tempo reale.

Come funziona un sito clone tramite reverse proxy

Immaginiamo che il sito ufficiale sia: https://www.esempio-shop.it Un soggetto terzo registra un dominio molto simile: https://www.esempio-shop.mom Il nuovo dominio viene configurato per richiedere le pagine al sito originale e ripubblicarle sotto il proprio indirizzo.

Quando una persona apre: https://www.esempio-shop.mom/prodotto/prodotto-esempio/ il proxy recupera internamente: https://www.esempio-shop.it/prodotto/prodotto-esempio/ e restituisce il contenuto al visitatore facendo apparire nella barra del browser il dominio falso. Il proxy può anche sostituire automaticamente:

• il dominio ufficiale con quello fraudolento;
• gli indirizzi email aziendali;
• i link interni;
• i riferimenti al marchio;
• le URL delle immagini e degli script;
• i collegamenti a carrello, account e checkout.

Per questo motivo il clone può sembrare perfettamente aggiornato, anche se il suo gestore non possiede una vera copia del database o dei file WordPress.

Come è stato scoperto che il sito era clonato in tempo reale

Il primo indizio è stato l’aggiornamento immediato dei contenuti. Una modifica pubblicata sul sito ufficiale compariva quasi subito anche sul dominio fraudolento. Per confermare il funzionamento è stata creata sul sito originale una nuova pagina con un indirizzo casuale e non presente nei menu: https://www.esempio-shop.it/test-proxy-7f93ab/ Subito dopo è stato aperto lo stesso percorso sul dominio sospetto: https://www.esempio-shop.mom/test-proxy-7f93ab/ La pagina risultava immediatamente disponibile anche sul dominio falso. Questo test ha dimostrato che non si trattava di una vecchia copia statica, ma di un sistema che interrogava il sito ufficiale in tempo reale.

Altri controlli utili

Per analizzare un possibile sito clone è opportuno controllare:

• se le nuove pagine compaiono immediatamente sul dominio sospetto;
• se modificando un testo cambia anche la copia;
• se le immagini vengono recuperate in tempo reale;
• se il dominio originale viene sostituito nel codice HTML;
• se gli indirizzi email vengono modificati;
• se moduli, login e checkout risultano attivi;
• se nei log del server compaiono richieste anomale;
• se sono presenti header riconducibili a proxy o servizi serverless.

Quali rischi comporta un sito web clonato

Un sito clone non rappresenta soltanto una violazione del copyright. Può trasformarsi in un rischio concreto per l’azienda e per i suoi clienti.

Furto di dati personali

Gli utenti potrebbero compilare moduli inserendo:

• nome e cognome;
• email;
• numero di telefono;
• indirizzo di fatturazione o spedizione;
• richieste commerciali;
• credenziali di accesso.

Intercettazione degli ordini

In un e-commerce il rischio aumenta, perché il dominio falso può mostrare prodotti e prezzi reali inducendo il cliente a credere di acquistare dal negozio ufficiale. Il truffatore potrebbe modificare:

• coordinate bancarie;
• indirizzi PayPal;
• link di pagamento;
• email di conferma;
• numero telefonico e contatti;
• destinatario dei moduli.

Furto di credenziali

Una pagina di login copiata può essere utilizzata per raccogliere username e password degli utenti. Questo rischio riguarda sia gli account clienti sia eventuali accessi amministrativi, qualora il clone riproduca anche la pagina di login.

Danno di immagine

Reclami, ordini non ricevuti, pagamenti fraudolenti e comunicazioni false possono essere attribuiti all’azienda reale, anche quando quest’ultima non ha alcun controllo sul dominio clone.

Danno SEO e contenuti duplicati

Se il dominio falso viene indicizzato, i motori di ricerca possono trovare due versioni molto simili dello stesso contenuto. Il sito storico e autorevole parte generalmente da una posizione di vantaggio, ma la presenza del clone può comunque:

• creare risultati duplicati;
• confondere gli utenti;
• disperdere segnali SEO;
• far comparire il dominio falso nelle ricerche del marchio;
• complicare la scelta della URL canonica;
• danneggiare la reputazione del brand.

Cosa fare immediatamente quando si scopre un dominio falso

La prima reazione non dovrebbe essere cancellare tutto o mettere immediatamente offline il sito originale. Prima di intervenire è importante raccogliere prove utilizzabili nelle segnalazioni e in un’eventuale denuncia.

1. Salvare le prove

È consigliabile acquisire:

• screenshot del sito ufficiale;
• screenshot del dominio clone;
• barra degli indirizzi visibile;
• data e ora delle verifiche;
• registrazioni video del comportamento;
• codice HTML delle pagine;
• informazioni WHOIS e DNS;
• risposte HTTP e intestazioni;
• log di accesso del server;
• URL originali e corrispondenti URL copiate.

2. Verificare che il sito originale non sia stato violato

La presenza di un clone non significa automaticamente che WordPress sia stato compromesso. È comunque opportuno controllare:

• utenti amministratori sconosciuti;
• accessi anomali al pannello;
• plugin o temi installati senza autorizzazione;
• file modificati recentemente;
• account FTP e hosting;
• chiavi API;
• database e backup;
• eventuali malware o backdoor.

3. Verificare pagamenti e moduli

Bisogna controllare se dal dominio falso sia possibile:

• inviare un modulo;
• creare un account;
• effettuare il login;
• aggiungere prodotti al carrello;
• avviare il checkout;
• raggiungere un sistema di pagamento;
• inviare dati personali.

A chi segnalare un sito clone

La rimozione definitiva richiede generalmente più segnalazioni, perché registrar, provider, CDN e motori di ricerca svolgono ruoli differenti.

Registrar del dominio

Il registrar è la società presso cui è stato registrato il dominio. È possibile inviare una segnalazione per:

• impersonificazione;
• phishing;
• abuso del dominio;
• violazione del marchio;
• violazione del copyright;
• tentata frode.

Provider di hosting

Se si riesce a identificare il server che ospita il clone, è possibile contattare direttamente il relativo provider. Nel caso di un reverse proxy ospitato su una piattaforma serverless, potrebbe non esistere un hosting tradizionale facilmente identificabile.

CDN e reverse proxy

Se il dominio utilizza una CDN o un servizio di protezione, si può inviare una segnalazione specificando che il servizio viene utilizzato per nascondere o distribuire un sito fraudolento.

Motori di ricerca

È opportuno chiedere la rimozione o la deindicizzazione delle pagine fraudolente dai risultati di ricerca. La deindicizzazione riduce notevolmente la probabilità che un utente trovi il clone, ma non spegne materialmente il dominio.

CERT e autorità competenti

Se il sito può raccogliere dati, credenziali o pagamenti, la segnalazione dovrebbe descrivere il caso come possibile attività di:

• phishing;
• impersonificazione;
• furto di identità digitale;
• raccolta fraudolenta di dati;
• frode informatica;
• violazione della proprietà intellettuale.

Denuncia alla Polizia Postale

La denuncia è particolarmente importante quando esiste un rischio per clienti, dati personali, ordini o pagamenti. Serve a creare una documentazione ufficiale dell’accaduto e può risultare utile:

• nelle richieste di rimozione;
• nelle comunicazioni con provider e registrar;
• per dimostrare quando il problema è stato scoperto;
• in caso di reclami o danni subiti dai clienti;
• se compaiono altri domini collegati;
• per eventuali indagini successive.

Come neutralizzare temporaneamente un sito clone WordPress

La rimozione definitiva può richiedere giorni o settimane. Nel frattempo è possibile adottare una contromisura lato WordPress. Nel caso analizzato è stato implementato un controllo JavaScript all’interno del sito originale. Lo script verifica il dominio visibile nella barra del browser. Se il sito viene eseguito su: esempio-shop.it il caricamento prosegue normalmente. Se invece lo stesso codice viene ripubblicato da: esempio-shop.mom il browser riconosce che il dominio non è autorizzato e reindirizza il visitatore verso la stessa pagina del sito ufficiale.

Esempio di reindirizzamento

Il visitatore apre: https://www.esempio-shop.mom/prodotto/tastiera-digitale/ e viene trasferito automaticamente su: https://www.esempio-shop.it/prodotto/tastiera-digitale/ Il percorso della pagina, gli eventuali parametri e le ancore vengono mantenuti.

Perché il controllo funziona

Il server che esegue il reverse proxy può presentarsi al sito originale con un host apparentemente corretto. Il browser dell’utente, invece, conosce il dominio realmente aperto nella barra degli indirizzi. Il controllo viene quindi eseguito nel punto in cui il dominio fraudolento non può essere nascosto all’utente.

Offuscamento del dominio ufficiale

Un proxy può sostituire automaticamente tutte le occorrenze di: esempio-shop.it con: esempio-shop.mom Per evitare una sostituzione testuale elementare, il dominio ufficiale può essere ricostruito dinamicamente dallo script, senza comparire direttamente come stringa completa nel codice. Questa tecnica non rende il sistema invulnerabile, ma obbliga il gestore del clone a effettuare un intervento manuale più complesso.

Plugin anti clone per WordPress

Per rendere la soluzione riutilizzabile è stato sviluppato un plugin anti clone per WordPress. Il plugin è pensato per siti aziendali, portali e-commerce e progetti WordPress che desiderano aggiungere un controllo sul dominio dal quale viene eseguito il sito.

Funzioni principali

• configurazione del dominio ufficiale;
• supporto del dominio con e senza www;
• controllo automatico dell’hostname nel browser;
• reindirizzamento alla medesima pagina del sito ufficiale;
• mantenimento di percorso, parametri e ancora;
• offuscamento del dominio ufficiale;
• generazione dinamica di alcune parti dello script;
• protezione della pagina di login;
• protezione contro l’incorporamento tramite iframe;
• registrazione dei domini non autorizzati;
• registro delle URL rilevate;
• raccolta di data, ora, referrer e user agent;
• limitazione del numero massimo di eventi conservati;
• pannello di gestione in WordPress.

Installazione come MU-plugin

La protezione può essere installata come MU-plugin, cioè come plugin obbligatorio di WordPress. Il file viene caricato nella cartella: /wp-content/mu-plugins/ I MU-plugin vengono caricati automaticamente e non possono essere disattivati accidentalmente dalla normale pagina dei plugin.

Registro dei domini sospetti

Quando lo script viene eseguito su un dominio non autorizzato, il plugin può registrare:

• dominio rilevato;
• URL della pagina clonata;
• data e ora;
• referrer;
• user agent;
• identificatore anonimizzato della connessione.

Il registro permette di scoprire anche nuovi cloni non ancora indicizzati dai motori di ricerca, purché almeno un visitatore apra il dominio fraudolento ed esegua lo script.

Il plugin sostituisce un servizio di sicurezza?

No. Il plugin è una contromisura specifica contro determinati sistemi di mirroring e reverse proxy. Non sostituisce:

• un firewall applicativo;
• il monitoraggio del server;
• una scansione malware;
• backup affidabili;
• aggiornamenti di WordPress;
• protezione degli account amministrativi;
• richieste legali di rimozione;
• denunce e segnalazioni alle autorità.

Il plugin anti clone è una soluzione definitiva?

Nessun sistema lato JavaScript può impedire in modo assoluto la copia di un contenuto pubblico. Se una pagina deve essere visibile agli utenti, deve essere inviata al browser e può quindi essere letta anche da strumenti automatici. Un gestore esperto potrebbe:

• rimuovere lo script dalla risposta HTML;
• bloccarne l’esecuzione;
• riscriverne il contenuto;
• servire una copia statica;
• utilizzare un browser automatizzato;
• intervenire manualmente sul codice del proxy.

La protezione deve quindi essere considerata una misura di contenimento immediato, non una sostituzione del takedown. La rimozione definitiva del dominio fraudolento dipende normalmente da:

• registrar;
• registry;
• provider di hosting;
• CDN o piattaforma serverless;
• motori di ricerca;
• autorità competenti;
• eventuali azioni legali.

Come proteggere un sito WordPress da future clonazioni

Non è possibile impedire completamente che un soggetto copi HTML, immagini e contenuti pubblici. È però possibile ridurre i rischi e accorgersi più rapidamente del problema.

Monitorare domini simili

È utile controllare periodicamente:

• domini contenenti il nome dell’azienda;
• varianti con trattini;
• errori di battitura;
• estensioni insolite;
• nuovi certificati SSL;
• risultati indicizzati con testi copiati;
• nuove email che imitano il dominio ufficiale.

Proteggere moduli e operazioni sensibili

Moduli, login, carrello e checkout dovrebbero utilizzare:

• nonce e token anti-CSRF;
• verifica del dominio e dell’origine;
• CAPTCHA o sistemi anti-bot;
• cookie Secure e HttpOnly;
• impostazioni SameSite appropriate;
• callback di pagamento sul solo dominio ufficiale;
• autenticazione a due fattori per gli amministratori.

Rafforzare i segnali SEO del dominio ufficiale

Ogni pagina dovrebbe indicare chiaramente la propria URL ufficiale attraverso:

• tag canonical coerenti;
• sitemap XML aggiornata;
• dati strutturati corretti;
• URL assolute coerenti;
• profilo aziendale verificato;
• Search Console configurata;
• collegamenti dai profili social ufficiali;
• informazioni aziendali consistenti.

Proteggere la posta elettronica

Il dominio ufficiale dovrebbe utilizzare correttamente:

• SPF;
• DKIM;
• DMARC;
• monitoraggio delle email contraffatte.

Registrare le estensioni più importanti

Non è economicamente possibile acquistare ogni estensione esistente, ma può essere utile registrare:

• le estensioni commerciali principali;
• le varianti con e senza trattino;
• gli errori di battitura più comuni;
• i domini maggiormente utilizzabili per il phishing.

Preparare una procedura di emergenza

Ogni azienda che vende online dovrebbe avere una procedura contenente:

• contatti del webmaster;
• accesso al registrar;
• accesso all’hosting;
• accesso agli strumenti per webmaster;
• modelli di segnalazione;
• prove della proprietà del marchio;
• backup e log;
• elenco dei provider coinvolti;
• modalità di comunicazione ai clienti.

Domande frequenti sui siti web clonati