Phishing tramite annunci di ricerca: perché il primo risultato può essere falso

I truffatori acquistano annunci di ricerca sui nomi di wallet, exchange e app DeFi popolari, quindi il primo risultato «sponsorizzato» può portare a un sito falso convincente, creato per rubare la tua frase di recupero, le tue credenziali o le approvazioni del tuo wallet. L’abitudine più sicura è semplice: non raggiungere mai un sito cripto tramite un annuncio e usa invece i tuoi segnalibri.

Questo attacco funziona perché colpisce un momento di fiducia. Cerchi un nome che conosci, clicchi sul primo risultato e vedi una pagina che sembra esattamente quella giusta. Nulla sembra sospetto, ed è proprio questo il punto. Questa guida spiega come funziona lo schema, che aspetto ha nella pratica e come proteggerti.

Come funziona il phishing tramite annunci di ricerca, passo dopo passo

1. 1Il truffatore registra un dominio quasi identico. Può cambiare una lettera, aggiungere una parola come «app» o «claim», usare un’altra estensione di dominio o usare caratteri che sembrano identici alle lettere latine.
2. 2Clonano il sito reale. Copiare il design di un wallet, di un exchange o di un’app DeFi richiede poco sforzo.
3. 3Acquistano annunci sul nome del marchio. L’annuncio punta a ricerche come il nome del wallet più «download» o il nome dell’exchange più «login».
4. 4Eludono la revisione. Tra i trucchi ci sono mostrare una pagina innocua ai revisori e la pagina di phishing ai visitatori reali, oppure reindirizzare attraverso diversi domini.
5. 5Le vittime cliccano e agiscono. Il sito falso chiede una frase di recupero per «ripristinare» un wallet, cattura la password di un exchange e il codice a due fattori, offre il download di un’app malevola o ti chiede di connettere un wallet e firmare una transazione.
6. 6I fondi vengono svuotati. Con una frase di recupero o un’approvazione di spesa, l’attaccante sposta gli asset in pochi minuti, spesso tramite mixer o bridge.

La pagina falsa di solito scompare in fretta e viene sostituita da un nuovo dominio con un nuovo annuncio. Ne parliamo più nel dettaglio in Truffe sui prestiti cripto.

Un esempio ipotetico

Quello che segue è uno scenario composito e illustrativo, non un caso reale.

Immagina che Sam voglia controllare una posizione DeFi. Sam digita il nome del protocollo in un motore di ricerca e clicca sul primo risultato, contrassegnato come «Sponsorizzato» in caratteri piccoli. La pagina è identica all’app reale. Un banner dice che una «migrazione di sicurezza» richiede agli utenti di riconnettere il wallet. Sam si connette e gli viene chiesto di firmare un messaggio che sembra un normale login. Vedi anche: Sicurezza dell’account email per chi usa le cripto.

In realtà la firma è un permit sui token che concede all’attaccante il permesso di spostare le stablecoin di Sam. Pochi minuti dopo il saldo è sparito. Quando Sam controlla la barra degli indirizzi, il dominio ha una lettera in più. Il nostro articolo su ice phishing e firme permit mostra come funzionano queste firme.

Checklist dei segnali d’allarme

Come proteggersi

Crea abitudini di accesso sicure

• Salva nei segnalibri i siti ufficiali una volta sola, dopo averli verificati con attenzione, e usa solo quei segnalibri. La nostra guida su come verificare che un sito web sia il sito ufficiale del progetto spiega i controlli.
• Scorri oltre gli annunci in qualsiasi ricerca finanziaria o cripto. Meglio ancora, evita del tutto di cercare pagine di login.
• Installa le app di wallet solo tramite link presenti sul sito ufficiale o schede verificate negli store, controllando il nome dello sviluppatore. Vedi app di wallet false per i segnali d’allarme.

Riduci i danni se commetti un errore

• Usa un hardware wallet che mostri i dettagli della transazione sul proprio schermo, e leggili.
• Tieni la maggior parte dei fondi in un wallet che colleghi raramente alle app e usa un wallet separato per sperimentare.
• Controlla e revoca regolarmente le approvazioni dei token.
• Usa un ad blocker o un’impostazione del browser che nasconda i risultati sponsorizzati, se ti senti a tuo agio a farlo.

Controlla gli indirizzi, non l’aspetto

Leggi il dominio nella barra degli indirizzi prima di digitare qualsiasi cosa. Una pagina dall’aspetto perfetto non prova nulla; ciò che conta è il dominio. Per approfondire, vedi Attacchi alla supply chain.

Cosa fare se è successo a te

1. 1Smetti di interagire con il sito e disconnetti il wallet.
2. 2Se hai inserito una frase di recupero, crea un wallet completamente nuovo con una nuova frase di recupero e sposta subito tutti i fondi rimasti.
3. 3Se hai firmato un’approvazione, revocala con uno strumento affidabile di verifica delle approvazioni, poi valuta di spostare i fondi su un nuovo indirizzo.
4. 4Se hai inserito le credenziali di un exchange, cambia la password, reimposta l’autenticazione a due fattori e contatta l’assistenza dell’exchange tramite il suo sito ufficiale.
5. 5Raccogli le prove: l’annuncio, il dominio, gli hash delle transazioni e gli orari.
6. 6Segnalalo al motore di ricerca, al progetto imitato e tramite il nostro modulo di segnalazione truffe.

La nostra guida passo passo su cosa fare subito se il tuo wallet è compromesso spiega il recupero nel dettaglio. Diffida di chiunque ti contatti in seguito promettendo di recuperare i fondi: le truffe di recupero prendono di mira le vittime recenti.

In sintesi

Una prima posizione nei risultati di ricerca si può comprare: non è una prova di autenticità. I truffatori usano i risultati sponsorizzati per mettere siti cripto quasi identici davanti alle persone proprio nel momento in cui stanno per fare login o connettere un wallet. Verifica i siti ufficiali una volta, salvali nei segnalibri, salta del tutto gli annunci e non digitare mai una frase di recupero su un sito web. Queste abitudini rendono un’intera categoria di attacchi irrilevante per te.