// SMARTWORLD — MOBILE & WEB
Phishing sul dark web: perché i cloni dei siti .onion sono così difficili da riconoscere e come difendersi
Il dark web ospita versioni ufficiali di siti come Facebook, BBC News, ProPublica e Proton Mail: piattaforme che scelgono di avere un indirizzo .onion per garantire maggiore privacy ai propri utenti. Il problema è che questo stesso ambiente è un paradiso per i truffatori, che creano cloni perfetti di questi siti per rubare credenziali e criptovalute. E dato che gli indirizzi onion sono stringhe di 56 caratteri alfanumerici praticamente illeggibili, distinguere il sito autentico da una copia è tutt'altro che banale.
Durante l'Operazione Onymous del 2014, l'FBI sequestrò 276 indirizzi onion: 153 erano siti di phishing. Non è un fenomeno marginale, insomma. Vediamo come difendersi.
Preferisci ascoltare il riassunto audio? Abbiamo scelto una voce realizzata con strumenti avanzati IA per rendere i nostri testi subito accessibili a tutti
Sul dark web i truffatori hanno qualche vantaggio in più rispetto al web normale. I vanity prefix, cioè le sequenze iniziali leggibili che molti siti legittimi usano per rendere riconoscibile il proprio indirizzo (tipo "facebook" o "bbcnews" all'inizio del link), possono essere replicati da chiunque con strumenti gratuiti come mkp224o.
Risultato: un indirizzo che inizia come quello vero ma porta a un sito falso.
Anche i motori di ricerca e le directory del dark web non sono affidabili per definizione: nel 2015 il motore di ricerca Ahmia scoprì che una sua copia stava reindirizzando gli utenti verso 255 servizi clonati. E non finisce qui: esistono tecniche più sofisticate, come i reverse proxy che servono il sito reale filtrandone il traffico, oppure versioni modificate di Tor Browser che sostituiscono gli indirizzi Bitcoin per dirottare i pagamenti verso gli hacker. Se avete scaricato Tor Browser da una fonte non ufficiale, disinstallatelo subito e scaricatene una copia dal sito ufficiale del Tor Project.
Tor Browser ha alcune funzioni integrate per aiutarci a capire se un sito è autentico. La prima è Onion-Location: se visitate la versione normale (non .onion) di un sito tramite Tor Browser e vedete un pulsante viola "onion available" nella barra degli indirizzi, cliccandoci verrete reindirizzati all'indirizzo .onion ufficiale associato a quel sito.
È il modo più sicuro per trovare il link giusto senza cercarlo altrove.
La seconda funzione riguarda l'icona a cipolla che appare nella barra degli indirizzi quando caricate un sito .onion: conferma che la connessione è cifrata end-to-end. Cliccandoci, potete anche verificare se il sito ha un certificato Extended Validation (EV), rilasciato da un'autorità di certificazione come DigiCert. Non tutti i siti legittimi ce l'hanno, ma i più importanti come Facebook sì. Se invece vedete un triangolo di avviso accanto all'icona, il sito usa un certificato scaduto o non verificato da nessuna autorità: non è una prova di truffa, ma è un segnale da non ignorare.
Esiste anche una terza opzione, per ora limitata: gli Onion Name, versioni abbreviate e leggibili degli indirizzi .onion. Al momento funzionano solo con SecureDrop, il sistema usato dalle redazioni giornalistiche per ricevere segnalazioni in modo anonimo, con indirizzi del tipo nomesito.securedrop.tor.onion. Il Tor Project sta lavorando per estendere il supporto ad altre piattaforme.