Hanno clonato il sito della mia azienda: cosa verificare e come proteggere i clienti

Distinguere clone esterno, copia di testi e sito compromesso

Confronta l’indirizzo completo indicato dal cliente con il dominio ufficiale. Una grafica identica non significa che le due pagine abbiano la stessa origine. Verifica con chi gestisce il sito se l’indirizzo appartiene a un progetto autorizzato, a una vecchia versione o a un partner. Chiedi quale comportamento ha destato il dubbio, senza invitare la persona a ripeterlo.

Se sono stati ripresi soltanto contenuti editoriali, può essere più pertinente la guida ai testi del sito copiati. Se compaiono pagine estranee o reindirizzamenti sul dominio autentico, segui il percorso dedicato al sito hackerato. Un sito esterno che usa nome e marchio per raccogliere accessi, dati o pagamenti richiede invece una valutazione dell’imitazione e del possibile phishing.

Il certificato HTTPS non dimostra che un’attività sia quella dichiarata. Per la verifica pratica conta sapere quale dominio e quali recapiti l’azienda utilizza davvero.

Preparare una raccolta di evidenze leggibile

Conserva l’URL completo ricevuto, la data della segnalazione, le schermate già disponibili e il messaggio originale. Annota che cosa appare imitato: logo, denominazione, catalogo, recapiti oppure una pagina di accesso. Distingui ciò che hai osservato da ciò che è stato raccontato. Se servono ulteriori controlli, affidali al referente tecnico senza inserire credenziali, dati di pagamento o documenti nel sito sospetto.

Prepara una scheda con dominio ufficiale, dominio segnalato, pagine interessate, descrizione del comportamento e prove pertinenti. Per esempio, una schermata di un modulo che richiede credenziali chiarisce il problema meglio di una generica frase come “hanno rubato il sito”. Oscura dati personali non necessari nelle copie destinate alla condivisione.

Mantieni gli originali in uno spazio ad accesso limitato. Un registro con data, destinatario, numero della pratica e risposta ricevuta evita segnalazioni duplicate e permette a più referenti di lavorare sulla stessa ricostruzione.

Individuare il canale adatto alla segnalazione

Quando la pagina sembra impersonare l’azienda per ottenere informazioni sensibili, puoi usare il modulo di Google Safe Browsing per segnalare phishing (si apre in una nuova scheda). Indica l’URL esatto e descrivi il comportamento osservato. Una somiglianza estetica, da sola, non va presentata come prova di phishing. La segnalazione viene valutata dal servizio e non garantisce un avviso immediato o la rimozione del sito.

Per individuare il registrar del dominio, consulta ICANN Lookup (si apre in una nuova scheda); i dati pubblici possono essere parziali. Il registrar gestisce la registrazione del nome, mentre il fornitore di hosting ospita i contenuti: possono essere soggetti diversi. Le indicazioni ICANN sulle segnalazioni di abuso ai registrar (si apre in una nuova scheda) illustrano i contatti e le procedure previste per i registrar accreditati.

Invia un resoconto preciso al contatto per gli abusi pertinente, seguendo la procedura indicata. Se il problema arriva tramite un annuncio o un profilo social, conserva anche quel riferimento e utilizza il canale della piattaforma interessata. Tieni separate le segnalazioni tecniche dalle eventuali questioni su marchi e contenuti, per le quali può servire una valutazione professionale specifica.

Aiutare i clienti a riconoscere i canali autentici

Predisponi sul tuo sito una comunicazione breve e verificata quando l’episodio può confondere i clienti. Indica il dominio ufficiale, i recapiti utilizzati e come chiedere conferma di una comunicazione dubbia. Evita affermazioni che non puoi dimostrare e non ripubblicare dati delle persone coinvolte. Un avviso deve orientare, senza trasformarsi in un elenco di accuse o indirizzi da visitare.

Prepara una risposta coerente per chi gestisce telefono, email e messaggi. Il personale dovrebbe poter spiegare quali ordini risultano nei sistemi aziendali e raccogliere una segnalazione senza chiedere password o codici di sicurezza. Mantieni un referente unico per aggiornare le informazioni diffuse.

Se una persona riferisce di aver inserito credenziali o pagato sul sito sospetto, indirizzala ai canali ufficiali del servizio o del prestatore di pagamento interessato. L’azienda può aiutare a riconoscere i propri rapporti con il cliente, ma non deve promettere recuperi di somme o verifiche che spettano a soggetti diversi.

Esempio ipotetico: un catalogo copiato con altri recapiti

Immaginiamo un rivenditore che riceve una domanda su un ordine assente dal proprio gestionale. Il cliente invia una conferma con un dominio diverso da quello ufficiale. La pagina segnalata riprende fotografie e logo, ma presenta un altro indirizzo di assistenza. Il referente raccoglie il messaggio e le schermate, senza chiedere al cliente di fare un secondo acquisto per verificare.

Il tecnico controlla il sito autentico, l’azienda prepara una scheda dell’episodio e sceglie i canali di segnalazione pertinenti. Nel frattempo, una nota sul sito chiarisce dominio e contatti ufficiali; il servizio clienti usa la stessa spiegazione. Gli aggiornamenti vengono registrati insieme ai numeri delle pratiche.

Si tratta di un esempio ipotetico, non di un intervento dell’agenzia. La procedura rende più ordinata la risposta, ma non consente di prevedere se o quando un soggetto esterno oscurerà il sito segnalato.

Verificare il proprio sito e mantenere traccia degli sviluppi

Anche quando il clone è esterno, fai controllare gli accessi amministrativi, i recapiti pubblicati e la configurazione del dominio autentico. L’esistenza della copia non prova una violazione dei tuoi sistemi, ma è utile escludere modifiche inattese. Verifica con il referente quali account gestiscono sito, dominio e posta e come vengono protetti e recuperati.

Controlla a intervalli concordati lo stato delle segnalazioni e le nuove richieste ricevute dai clienti. Se emerge un altro indirizzo, registralo come evidenza distinta. Una pagina scomparsa non dimostra che il fenomeno sia concluso, così come l’assenza di un avviso del browser non certifica l’affidabilità di un sito.

La manutenzione del sito può includere controlli e responsabilità concordati; la gestione di abusi su servizi esterni va definita nel suo ambito. Chiarisci preventivamente quali attività copre l’assistenza e quali richiedono altri interlocutori.

Checklist per coordinare la risposta

Puoi richiederci un confronto sul tuo sito per organizzare le verifiche tecniche, chiarire i canali ufficiali e predisporre le comunicazioni utili. Il primo passo è descrivere l’episodio e condividere le evidenze pertinenti attraverso un canale concordato.

Domande frequenti

Un sito clonato significa che il mio è stato hackerato?

Non necessariamente. Una copia esterna può riprendere contenuti pubblici. Occorre verificare separatamente il dominio autentico, i suoi accessi e le eventuali modifiche inattese.

Segnalare il sito a Google lo fa eliminare?

No. La segnalazione a Safe Browsing riguarda la valutazione di contenuti potenzialmente pericolosi. Non equivale a cancellare il dominio o a rimuovere i file dall’hosting, e non offre una scadenza garantita.

Devo cambiare subito dominio aziendale?

Una copia esterna, da sola, non rende necessario abbandonare l’indirizzo conosciuto dai clienti. Prima verifica il problema con il referente e rendi riconoscibili i canali autentici. Un cambiamento affrettato potrebbe aumentare la confusione.