Typosquatting: cos'è, come funziona e come difendere il tuo brand

Digiti l'indirizzo del tuo sito un po' troppo in fretta, salti una lettera, e finisci su una pagina che sembra la tua ma non lo è. Oppure un tuo cliente riceve un'email da un dominio quasi identico al tuo, con una fattura da pagare su un nuovo IBAN. Il typosquatting vive esattamente in quello spazio: la distanza di un tasto tra il nome che hai costruito e una copia che qualcun altro ha registrato per approfittarne. Questa guida spiega cos'è, quali forme prende e come costruire una difesa proporzionata, senza spendere una fortuna in domini che non userai mai.

Cos'è il typosquatting

Il termine nasce dall'unione di typo (errore di battitura) e cybersquatting (occupazione abusiva di domini). Indica la registrazione di nomi a dominio che riproducono un marchio o un sito noto con piccole variazioni, scommettendo sul fatto che una quota di utenti ci finisca per sbaglio o non si accorga della differenza.

Chi lo fa, lo fa per quattro motivi principali:

• Monetizzare il traffico: pagine di parcheggio con annunci, redirect ad affiliati o a concorrenti.
• Phishing e frode: siti clone che raccolgono credenziali, dati di carte o dirottano pagamenti.
• Rivendita: il dominio viene offerto al legittimo titolare a un prezzo gonfiato.
• Danno reputazionale: pagine di critica, contenuti imbarazzanti, malware associati al tuo nome.

Il problema non è solo il traffico perso. Un singolo attacco di phishing condotto da un dominio simile al tuo può costare molto più di anni di registrazioni difensive, in termini di rimborsi, assistenza clienti e fiducia erosa.

Le varianti che devi conoscere

Un typosquatter non lavora a caso: genera le permutazioni più probabili con strumenti automatici. Conoscerle ti aiuta a decidere cosa coprire.

Tipo di variante	Esempio su "namesapiens.com"	Come nasce
Omissione	namesapens.com	una lettera saltata
Trasposizione	namesaipens.com	due lettere invertite
Sostituzione adiacente	namesapiems.com	tasto vicino sulla tastiera
Raddoppio	namessapiens.com	lettera ripetuta
Vocale scambiata	namesapiens.com → namesapiuns.com	vocali simili
Omografo	nameسapiens.com (con caratteri non latini)	lettere di altri alfabeti visivamente identiche
Trattino	name-sapiens.com	aggiunta o rimozione del trattino
TLD alternativo	namesapiens.co, namesapiens.it, namesapiens.net	stesso nome, estensione diversa
Sottodominio ingannevole	namesapiens.com.login-verify.net	il tuo nome usato come sottodominio di un altro dominio
Parola aggiunta	namesapiens-support.com, namesapiens-login.com	suffisso rassicurante

Due categorie meritano attenzione particolare. Gli omografi sfruttano i nomi a dominio internazionalizzati (IDN): una "a" cirillica è indistinguibile da una "a" latina nella barra degli indirizzi di molti browser, ma identifica un dominio completamente diverso. E i TLD alternativi sono il caso più comune in assoluto: il .co al posto del .com, il .it non registrato da un'azienda italiana che usa solo il .com.

Prima: la difesa preventiva

La buona notizia è che la difesa migliore si costruisce al momento della scelta del nome, non dopo. Alcuni nomi sono strutturalmente più esposti di altri.

Scegli un nome robusto

Nomi lunghi, con doppie, con sequenze di vocali ambigue o con grafie "creative" (Flickr, Tumblr) sono una miniera per i typosquatter perché gli utenti sbagliano davvero a scriverli. Un nome corto, pronunciabile e con una sola grafia plausibile riduce la superficie d'attacco. Se stai ancora valutando alternative, questo criterio pesa quanto la disponibilità del .com.

Copri le varianti che contano

Non devi registrare cento domini. Devi registrare quelli che hanno una probabilità reale di essere digitati o usati contro di te:

1. I TLD principali del tuo mercato: .com e .it per un'azienda italiana, più .eu se operi in Europa. Con il controllo rapido su 12 estensioni di NameSapiens vedi in un colpo d'occhio quali sono libere.
2. Le 3-5 varianti ortografiche più probabili del nome principale, soprattutto se contiene doppie o lettere facilmente invertibili.
3. La versione con e senza trattino, se il nome è composto da due parole.
4. I suffissi di servizio più sensibili per il tuo settore: -login, -support, -pay, se gestisci account o pagamenti.

Tutti i domini difensivi vanno puntati in redirect verso il sito principale e, soprattutto, configurati con record SPF/DMARC restrittivi anche se non inviano email: un dominio difensivo senza DMARC può comunque essere usato per spoofing.

Registra il marchio

Un dominio difensivo protegge una variante. Un marchio registrato protegge il nome, in tutte le sue varianti confondibili, e ti dà il titolo giuridico per agire quando il typosquatter arriva comunque. Senza un marchio, procedure come la UDRP o la riassegnazione .it diventano molto più difficili da vincere.

Durante: il monitoraggio

Per quanto tu copra bene, qualcuno registrerà prima o poi una variante che non avevi previsto. L'obiettivo realistico non è impedirlo, ma scoprirlo in ore anziché in mesi. Tre fonti sono decisive.

Nuove registrazioni di domini. Servizi di monitoraggio generano le permutazioni del tuo nome e verificano periodicamente se compaiono nei database di zona. È il livello base.

Certificate transparency. Ogni certificato TLS emesso da una Certificate Authority pubblica viene registrato in log pubblici consultabili. Un typosquatter che prepara un sito di phishing in HTTPS, oggi lo standard, lascia una traccia nel momento in cui richiede il certificato, spesso giorni prima che la pagina sia visibile. Monitorare i log CT per il tuo nome e le sue varianti è uno dei segnali più precoci disponibili, ed è per questo che i piani di brand protection di NameSapiens lo includono accanto al controllo su marchi simili, social e marketplace.

Segnalazioni dei clienti. Rendi semplice segnalare email o siti sospetti: un indirizzo dedicato, una pagina "come riconoscere le nostre comunicazioni ufficiali". Spesso il primo a vedere il clone è un cliente.

Dopo: cosa fare quando trovi un typosquat

Trovato il dominio, resisti alla tentazione di scrivere subito al registrante. Procedi con ordine.

1. Documenta

Salva screenshot datati del sito, l'output WHOIS (anche se oscurato dalla privacy, il registrar e le date restano visibili), i record DNS e, se c'è stata una campagna email, gli header completi dei messaggi. Senza prove, ogni passo successivo si indebolisce.

2. Classifica la gravità

• Phishing o frode attiva: urgenza massima. Segnala all'hosting e al registrar (abuse@), ai servizi di safe browsing dei browser e, se ci sono vittime, alle autorità. Lo scopo è lo spegnimento rapido, non il recupero del dominio.
• Parcheggio con pubblicità o redirect a concorrenti: danno moderato ma malafede spesso evidente. Buon candidato per una procedura di recupero.
• Dominio inattivo: valuta il costo-opportunità. Potresti acquistarlo o semplicemente monitorarlo.

3. Scegli lo strumento di recupero

Per i gTLD (.com, .net, .org e nuove estensioni) la via è la UDRP, che richiede di dimostrare identità o confondibilità con il tuo marchio, assenza di diritti del registrante e registrazione e uso in malafede. Per i .it esiste la procedura di riassegnazione del Registro .it tramite PSRD accreditati; per i .eu la procedura ADR di EURid. In tutti i casi devi avere un diritto sul nome, idealmente un marchio registrato: il typosquatting su un marchio è tra i casi più lineari da vincere, perché la somiglianza è l'essenza stessa dell'illecito.

In alternativa, quando la malafede non è provabile o il registrante è semplicemente un domainer che ha registrato un termine plausibile, l'acquisizione anonima tramite intermediario evita che il prezzo salga appena il venditore capisce chi sta chiedendo.

Queste sono indicazioni generali, non una consulenza legale: nei casi con frode in corso o danni rilevanti, rivolgiti a un professionista.

Un piano proporzionato

Riassumendo, una difesa sensata dal typosquatting per una PMI assomiglia a questo:

• un nome scelto anche per la sua resistenza agli errori;
• il marchio registrato nelle classi rilevanti;
• 5-15 domini difensivi (TLD principali e varianti probabili), tutti con redirect e DMARC;
• monitoraggio continuo di nuove registrazioni e certificati TLS;
• una procedura interna scritta su cosa fare quando arriva un alert.

Il costo di tutto questo è una frazione di quello di un singolo incidente. E se ti sembra tanto da gestire, l'assistente Sapi può aiutarti a generare la lista delle varianti da coprire partendo dal tuo nome e dai TLD del tuo mercato, così parti almeno con una mappa chiara di cosa ti manca.