Guida completa ai siti clone: cosa fare e come farli rimuovere

TLDR

Un sito clone copia grafica, testi e marchio di un brand per vendere merce contraffatta o rubare dati. È possibile individuarlo anche con strumenti gratuiti (Google dorks, dnstwist), ma è fondamentale documentarlo con un’acquisizione forense e rimuoverlo tempestivamente. Per farlo, si agisce su fronti paralleli (hosting, registrar, motori di ricerca e forze dell’ordine). Dopo il takedown, però, il sito clone può riapparire: serve quindi un monitoraggio continuo.

come capire se il tuo sito è stato clonato?

Con l’avanzare dell’evoluzione tecnologica e il passaggio progressivo dalla distribuzione fisica a quella digitale, anche i casi di frodi online negli ultimi anni si sono moltiplicati. L’adozione di strumenti di AI generativa da parte dei contraffattori ha abbassato la barriera all’ingresso, permettendo anche a chi non ha competenze tecniche specifiche di poter replicare e clonare siti web di qualsiasi brand con un elevato livello di fedeltà rispetto all’originale.  

I primi segnali di allerta sono diminuzioni anomale del traffico web e l’aumento delle richieste di supporto al servizio clienti: queste, se non trattate velocemente, possono sfociare in danni reputazionali, economici e di posizionamento all’interno delle SERP, le pagine dei risultati dei motori di ricerca.  

Per investigare la presenza di siti clone in modo gratuito si possono adottare due approcci distinti. Il primo prevede l’utilizzo di operatori di ricerca avanzati (i dorks) all’interno di un motore di ricerca (ad esempio Google). Il secondo prevede l’utilizzo di soluzioni open source come dnstwist, che permettono di trovare nomi di dominio che i malintenzionati potrebbero usare per attaccare te o la tua azienda. 

Come usare una Google dorks per individuare un sito clone 

Le Google dorks sono stringhe di ricerca avanzate (dette operatori) che permettono di sfruttare comandi speciali di Google per trovare contenuti specifici sul web, inclusi eventuali siti cloni o pagine duplicate.  

Un sito clone, spesso creato per phishing o truffe, copia solitamente i testi, il titolo o parti del codice sorgente del sito originale. Utilizzando i comandi giusti su Google è possibile scovare questi doppioni non autorizzati, ma solo se i siti colpiti dalla frode sono indicizzati sulle SERP, ovvero compaiono nelle pagine dei risultati dei motori di ricerca. In caso contrario, bisognerà adottare altri approcci specialistici.  

Gli operatori base per trovare un sito clone

Per smascherare un clone, si combinano principalmente tre operatori di ricerca:  

• intext: cerca una specifica frase o parola all’interno del testo delle pagine web. 

• intitle: cerca parole specifiche presenti nel titolo della pagina (quello che compare anche sulla scheda del browser). 

• -site: impone a Google di escludere un determinato sito web dai risultati (il meno davanti significa infatti “escludi”).  

Come cercare un sito clone usando una Google Dorks: esempi pratici

Innanzitutto, imposta la ricerca direttamente nella barra di Google, facendo attenzione a non lasciare spazi vuoti tra l’operatore (intext, intitle oppure -site), i due punti e il testo che stai cercando.  

Cerca il testo copiato

Se il creatore del sito clone ha copiato pari pari una frase distintiva del tuo sito, ad esempio la pagina “chi siamo”, una descrizione di un prodotto o una nota legale, digita: 

intext:”La storia di XYZ inizia nel 1995″ -site:iltuosito.it 

In questo modo stiamo dicendo a Google di cercare ovunque sul web quella frase esatta, escludendo tutte le pagine che appartengono al tuo sito. Se un altro sito ha copiato quel testo, comparirà nei risultati. 

Cerca i titoli delle pagine

Spesso i siti clone mantengono lo stesso titolo della pagina principale o delle sezioni chiave del tuo sito. Prendiamo ad esempio il titolo della pagina ufficiale di uno shop online del marchio XYZ. 

intitle:”XYZ Official Store” -site:iltuosito.it 

Questa ricerca trova tutte le pagine sul web che hanno esattamente quel titolo nella scheda del browser (escludendo il tuo sito).  

Cerca parti di codice o stringhe uniche

Chi clona un sito talvolta utilizza strumenti pensati per automatizzare il lavoro, che replicano fedelmente intere sezioni del sito originale. Se il tuo sito ha uno snippet di codice unico, un codice di tracciamento o una stringa particolare nel testo (es. lo snippet di Tag Manager, del codice javascript, una combinazione di parole tipica, ecc.), potrebbe succedere che il contraffattore lo copi 1:1 lasciando indizi importanti.  

intext:”Tutti i diritti riservati – P.IVA 123456789″ -site:iltuosito.it 

Questa ricerca è molto utile per individuare i cloni che hanno copiato il footer (la parte bassa del sito) senza modificare i dati aziendali. 

Come usare dnstwist per individuare un sito clone

Immagina che il sito della tua banca sia tuomarchio.com.  
Un malintenzionato potrebbe registrare un dominio molto simile, come tumarchio.com o tu.omarchio.com, per ingannare gli utenti e dirottarli su un dominio non ufficiale con lo scopo di vendere un prodotto contraffatto o rubare informazioni sensibili, come dati di pagamento o credenziali di accesso.  
Dnstwist effettua questo controllo in pochi minuti.  

Come funziona dnstwist?

Inserisci un nome di dominio (ad esempio, google.com) dentro dnstwist. Lo strumento applica diverse tecniche automatiche per generare centinaia di varianti “ingannevoli” basate su: 

1. Errori di battitura comuni (typosquatting): Es. googel.com anziché google.com. 

2. Sostituzione di lettere simili: Es. il numero 1 al posto della lettera l (goog1e.com) o lo zero al posto della lettera o (g00gle.com). 

3. Omissione o aggiunta di lettere: Es. gogle.com o ggoogle.com. 

4. Siti sosia (homograph attack): Usa caratteri di altri alfabeti (come il cirillico) che graficamente sembrano identici alle lettere normali, ma che di fatto sono caratteri diversi. 

Una volta creata la lista di tutti i possibili domini “trappola”, dnstwist verifica se qualcuno li ha già registrati. Se scopre che un dominio simile al tuo è attivo, controlla se ospita una pagina web e se è configurato per inviare email. 

In sintesi, dnstwist è come un detective che ipotizza tutti i modi in cui un ladro potrebbe clonare la tua targa o il tuo nome, e controlla se qualcuno in giro per il mondo lo sta già facendo. 

Typosquatting, sito clone e phishing: tre volti della stessa truffa informatica 

Typosquatting, sito clone e phishing rappresentano tre tasselli complementari e spesso interconnessi della stessa strategia fraudolenta, finalizzata a ingannare l’utente per sottrargli dati sensibili, denaro o credenziali bancarie. 

Sebbene vengano spesso usati come sinonimi nel linguaggio comune, descrivono tre momenti e tecniche diverse di una truffa informatica. 

Typosquatting  

Il typosquatting (noto anche come URL hijacking) è la tecnica iniziale con cui il truffatore attira la vittima sfruttando la distrazione. Consiste nella registrazione di domini web con nomi molto simili a quelli di marchi famosi, banche o istituzioni, ma che contengono errori di battitura comuni (come abbiamo visto nel capitolo precedente). 

Sito clone 

Il sito clone è il “prodotto” visivo ospitato sul dominio fraudolento. È una copia quasi perfetta, o del tutto identica per grafica, layout e loghi, del sito web legittimo che l’utente crede di visitare. 

Phishing  

Il phishing è l’azione finalizzata al furto di identità o di dati informatici. Se il typosquatting e il sito clone sono i mezzi tecnici e strutturali per portare a compimento la truffa, il phishing è la strategia psicologica e lo scopo ultimo.  
Spesso veicolato tramite comunicazioni allarmistiche (es. “Il tuo conto è bloccato, clicca qui per sbloccarlo”), spinge la vittima a inserire informazioni riservate, condividendole con gli attaccanti. 

Un esempio pratico di come questi tre elementi possono interagire in una frode 

Ricevi un’email che sembra provenire dal tuo servizio di streaming preferito, avvisandoti che il pagamento dell’abbonamento è fallito. 

All’interno dell’email c’è un link. Se osservi attentamente l’URL del link, noterai una piccola alterazione (es. netflx-rinnovo.com invece del sito ufficiale: un esempio di typosquatting).  

Cliccando sul link, si apre una pagina identica alla schermata di login di Netflix (ovvero il sito clone). Per aggiornare il profilo, ti viene chiesto di inserire nuovamente i dati della carta di credito (azione di phishing). 

I dati inseriti non vengono però salvati da Netflix, ma finiscono direttamente sui server dei criminali.

Cosa fare nelle prime 24 ore?

Le prime 24 ore dalla scoperta di un sito clone sono quelle che determinano quanto la frode costerà alla tua azienda, in termini di clienti truffati, di reputazione e di tempi di rimozione.  
In questa fase la tentazione è agire d’istinto: scrivere al truffatore, avvisare i clienti via email, chiedere al legale di inviare una diffida. Sono tutte azioni corrette, tuttavia con alcune semplici verifiche è possibile recuperare le informazioni strategiche per permettere una risoluzione in tempi rapidi.  

Le cinque azioni da fare subito 

Verifica che sia davvero un clone 

Sembra banale, ma capita spesso che un rivenditore, un affiliato o un’agenzia abbiano riprodotto pagine del sito ufficiale senza chiedere il permesso. Controlla con il reparto commerciale e marketing prima di attivare qualsiasi procedura. 

Acquisisci le prove in modo solido

Il sito potrebbe sparire, cambiare contenuto o essere reindirizzato altrove nel giro di pochi giorni. Tutto ciò che viene raccolto dopo la segnalazione ha meno valore, perché il truffatore avrà avuto modo di modificare o rimuovere le pagine.  

Raccogli le informazioni tecniche sul dominio 

Per inviare una segnalazione che risulti efficace, è fondamentale raccogliere le giuste informazioni fin da subito. Le più importanti sono: data di registrazione e intestatario del dominio, hosting provider, eventuali CDN (Content Delivery Network), registro di appartenenza. 

Buona parte di queste informazioni possono essere recuperate in autonomia, utilizzando uno dei tanti servizi online come who.is.

Predisponi una risposta per il servizio clienti

Chi risponde a telefono, chat ed email deve sapere cosa dire a chi è già stato vittima del sito fraudolento. Soprattutto nei casi di vendite fraudolente di prodotti con marchi iconici, il numero di acquirenti è spesso molto elevato e questo genera una reazione a catena nel momento in cui questi iniziano a contattare il servizio clienti per lamentare pagamenti a fronte di merce mai ricevuta, o non coerente con quanto “acquistato”.  

Crea un documento con tutte le informazioni 

Un documento condiviso, anche semplice, in cui tracciare date, azioni compiute, eventuali segnalazioni inviate e risposte ricevute sarà indispensabile se la vicenda proseguirà con una denuncia o il coinvolgimento di operatori specializzati in Online Brand Protection.

Gli errori da non commettere quando scopri un sito clone 

Contattare direttamente chi gestisce il clone 

Non serve a nulla e, nella maggior parte dei casi, provoca la migrazione del sito su un altro dominio o su un hosting meno collaborativo. Si perde traccia del bersaglio e si riparte da capo. 

Inviare una comunicazione massiva ai clienti prima di avere un piano 

Un avviso generico (“attenzione a possibili truffe”) senza indicare il dominio esatto, il canale utilizzato e le azioni da intraprendere genera più richieste di supporto di quante ne prevenga. La comunicazione va fatta, ma dopo aver acquisito le prove e con istruzioni precise. 

Fare screenshot dal proprio PC e ritenerli sufficienti 

Uno screenshot documenta solo che qualcuno ha visto qualcosa, non che quel contenuto fosse online in quel momento, su quel dominio, con quel codice sorgente. 

Segnalare tutto a tutti contemporaneamente, senza priorità 

Ogni soggetto (registrar, hosting, motori di ricerca, social network) ha un canale, un formato e una base giuridica differente. Una segnalazione incompleta o inviata al soggetto sbagliato viene chiusa senza esito, e la seconda segnalazione parte da una posizione più debole. 

Affidare il caso a chi non ha mai gestito un takedown 

L’ufficio legale interno è fondamentale per la strategia, ma la rimozione di un sito clone è un processo operativo che richiede conoscenza delle policy dei singoli intermediari, dei tempi reali di risposta e delle leve normative applicabili. Un errore di forma sulla prima notifica costa settimane. 

Una regola pratica da tenere a mente: nelle prime 24 ore nessuna azione deve essere visibile al truffatore. Tutto ciò che si fa in questa fase serve a mettere l’azienda nelle condizioni di colpire una volta sola e in modo definitivo.

Come acquisire le prove DIGITALI prima che il sito sparisca?

I siti clone hanno una vita media molto breve. Chi li gestisce sa che prima o poi verranno segnalati e li costruisce in modo che possano essere spostati o spenti in pochi minuti. Questo significa che la finestra in cui è possibile documentare la frode è spesso di pochi giorni, e che le prove raccolte in quella finestra devono poter essere utilizzate a posteriori. Nel caso di un giudizio potenzialmente anche mesi dopo, a frode mitigata. 

Perché uno screenshot non ha valore probatorio 

Lo screenshot è forse la modalità di cristallizzazione più diffusa, il primo riflesso di chiunque voglia congelare una situazione, ed è anche la prova più fragile che esista sotto il profilo tecnico. Volendo semplificare, possiamo riassumere il perché in tre motivazioni: 

1. È modificabile in pochi secondi. Qualsiasi immagine di un sito web può essere alterata con una banale consolle del browser. In un contenzioso la riproduzione informatica può essere disconosciuta dalla parte contro cui è prodotta (art. 2712 c.c.), e a quel punto spetta a chi l’ha prodotta dimostrarne la genuinità. 

2. Non dimostra la fonte che ha prodotto il contenuto. Uno screenshot non prova chi ha servito quel contenuto, quando è stato raccolto, quale codice HTML restituiva il server e quali risorse esterne venivano caricate. Sono esattamente le informazioni che servono per dimostrare che il sito clone, in un determinato momento, mostrava una copia esatta del tuo sito. 

3. Non è ripetibile. Chi contesta la prova non ha modo di verificarla in modo indipendente. Se il sito nel frattempo è stato spento, lo screenshot resta l’unica traccia e la sua attendibilità dipende interamente dalla parola di chi l’ha prodotto. 

Lo standard internazionale ISO/IEC 27037 definisce le linee guida per l’identificazione, la raccolta, l’acquisizione e la conservazione delle prove digitali: un’acquisizione forense dell’illecito, svolta in conformità con lo standard internazionale, ne garantisce l’affidabilità e l’efficacia probatoria.  
In Kopjra la effettuiamo con Web Forensics, la piattaforma certificata ISO 27037 sviluppata proprio per acquisire contenuti web utilizzabili sia nelle segnalazioni agli intermediari sia in sede di giudizio. 

Come risalire a chi SI NASCONDE dietro un sito clone

Identificare chi ha creato un sito clone non è sempre necessario per farlo rimuovere. In alcuni casi, però, scoprire chi si nasconde dietro il dominio (ad esempio un truffatore seriale con decine di cloni attivi, un ex distributore con un conto in sospeso, oppure un competitor diretto) permette di scegliere la strategia giusta da applicare. 

Le tecniche OSINT (Open Source Intelligence) permettono di raccogliere queste informazioni da fonti pubblicamente accessibili, senza violare alcuna norma e senza entrare necessariamente in contatto con il bersaglio. Di seguito le principali, in ordine di utilità. 

Scoprire da chi è stato registrato il dominio 

Il primo passo è scoprire da chi è stato registrato il dominio ed è possibile farlo interrogando il database del registro per il dominio sospetto.  
Dal 2018, con l’entrata in vigore del GDPR, i dati dell’intestatario sono quasi sempre oscurati, ma restano visibili informazioni preziose come il registrar, cioè il servizio attraverso cui è stato registrato il dominio, la data di registrazione e di ultimo aggiornamento. 

Una registrazione avvenuta pochi giorni prima della comparsa del clone, tramite un registrar noto per la scarsa collaborazione, fornisce importanti indizi sul profilo del soggetto. Oggi, il protocollo RDAP, che sta sostituendo il WHOIS tradizionale, restituisce le stesse informazioni in formato strutturato. 

Servizi commerciali di WHOIS storico (es: DomainTools, WhoisXMLAPI, Whoxy.com) permettono inoltre di vedere chi risultava intestatario prima dell’oscuramento, oppure se il dominio è passato di mano, e di confrontare i dati con altri domini registrati con le stesse modalità. 

Scoprire come è costruita l’infrastruttura tecnologica 

Un altro passaggio utile è ricostruire l’infrastruttura tecnica che si trova dietro al sito clone. Partendo dal dominio è possibile identificare l’indirizzo IP del server che lo ospita e, attraverso questo dato, risalire al provider di hosting e al Paese in cui è localizzato.  

Un’ulteriore verifica, chiamata reverse IP lookup, permette di vedere quali altri domini condividono lo stesso server. Questo può essere particolarmente utile perché consente di capire se il sito che sta abusando del nostro brand è un caso isolato o fa parte di un’infrastruttura utilizzata per gestire più cloni. Non è raro, infatti, trovare sullo stesso server siti che imitano contemporaneamente marchi diversi.  
È però importante considerare alcuni casi limite, come l’eventuale presenza di una CDN (Content Delivery Network) tipo Cloudflare. In questi casi, l’indirizzo IP visibile pubblicamente può appartenere alla CDN e non al server che ospita effettivamente il sito. Un reverse IP lookup potrebbe quindi restituire decine o centinaia di domini che utilizzano lo stesso servizio, senza che esista necessariamente alcun collegamento tra loro. 

Anche i certificati SSL, quelli che permettono di visualizzare un sito attraverso una connessione sicura, possono lasciare informazioni utili. Esistono infatti dei registri pubblici di Certificate Transparency, consultabili attraverso servizi come crt.sh, che permettono di verificare quali certificati sono stati emessi per un determinato dominio e quali sottodomini comprendono. Questo può portare alla luce indirizzi web che non erano stati individuati nella prima ricerca e aiutare a ricostruire quando e come è stata realizzata l’infrastruttura utilizzata per l’abuso. 

Infine, è possibile analizzare le tecnologie e i servizi utilizzati dal sito attraverso strumenti di technology lookup come BuiltWith. L’obiettivo, in questo caso, non è soltanto capire “come è fatto” il sito, ma individuare quali soggetti terzi possono essere stati coinvolti nella sua gestione. Se, per esempio, un e-commerce che utilizza il nostro marchio è costruito su una specifica piattaforma, CMS o servizio tecnologico, questo può offrire un ulteriore canale per segnalare la violazione e richiedere un intervento, oltre alle segnalazioni già rivolte al gestore del sito o al provider di hosting. 

Scoprire gli identificativi nel codice sorgente 

Chi clona un sito raramente lo fa ex-novo: spesso riutilizza template, script di tracciamento e strumenti che ha già impiegato altrove. Nel codice HTML del clone si possono trovare ID di Google Analytics o Google Tag Manager, ID di pixel pubblicitari, chiamate a servizi terzi, commenti lasciati dallo sviluppatore o, in alcuni casi, addirittura risposte dell’LLM utilizzato. Questi identificativi possono essere cercati in motori specializzati per trovare altri siti che li utilizzano.  

Scoprire altri contenuti sfruttando la ricerca inversa per immagini 

Le immagini dei prodotti, di testimonial o di figure chiave del team presenti sul sito clone quasi sempre vengono prese da altri siti, da banche immagini o da profili social di persone che non c’entrano nulla con la frode. La ricerca inversa per immagini (Yandex, Google, Bing) permette di scovare queste correlazioni in modo gratuito, veloce e senza la necessità di installare strumenti aggiuntivi. 

Anche il testo delle pagine che ospitano termini di servizio, informativa privacy o contatti può a sua volta rivelare informazioni preziose. Selezionando una porzione di testo in modo casuale, tramite una Google Dorks è possibile investigare la presenza di altre fonti che replicano quel contenuto, naturalmente se quest’ultimo risulta indicizzato nei motori di ricerca.  

Un esempio pratico: ci troviamo di fronte ad un sito che sta replicando il brand Kopjra, copiandone ragione sociale e P.IVA.
Conoscendo il sito originale di Kopjra (kopjra.com), è sufficiente impostare questa Google Dorks: “P.IVA 03904120247 –site:kopjra.com” 
Con questa stringa si chiede al motore di ricerca Google di restituirci tutte le pagine indicizzate che contengono la stringa “P.IVA 03904120247” ma che non provengono dal sito kopjra.com. 

I limiti dell’OSINT 

L’OSINT lavora su ciò che è pubblico e pertanto non permette l’accesso a dati dell’intestatario oscurati nei WHOIS, all’hosting provider se protetto da una CDN o ai dati del gateway di pagamento. Per ottenerli servono delle richieste formali previa denuncia alle autorità o avvalendosi di soggetti specializzati come i Trusted Flagger, i segnalatori attendibili ai sensi del Digital Services Act.  

È un lavoro che richiede metodo, strumenti e tempo. In Kopjra lo svolgiamo attraverso Web Intelligence, il servizio gestito di online brand protection che permette di monitorare, individuare e mitigare i fenomeni di brand abuse.

A chi segnalare un sito clone e con che modalità 

Rimuovere un sito clone significa convincere chi ne rende possibile l’esistenza a interrompere il servizio. Tuttavia nessuno ha il potere di “spegnere internet”, motivo per cui l’escalation va fatta su ogni intermediario individuato nella fase investigativa.  
Ogni provider offre infatti un servizio specifico e controlla la propria infrastruttura adottando i propri meccanismi di enforcement. Per questo motivo una strategia di rimozione efficace lavora in parallelo su più livelli, con l’obiettivo di rendere il clone irraggiungibile, invisibile e infine inesistente. 

Come rendere il sito clone prima invisibile e poi inesistente: delisting e takedown 

Il delisting è la rimozione del sito clone dalle pagine SERP, ovvero dai risultati dei motori di ricerca. Il sito resta online, ma nessuno lo trova cercando il tuo brand su Google, Bing, ecc. È l’intervento più rapido da ottenere e riduce immediatamente la viralità del fenomeno e l’esposizione sui tuoi clienti. Di contro, non protegge chi arriva al sito clone tramite un link in un’email o in un annuncio. 

Il takedown è invece la rimozione effettiva del contenuto o la sospensione del dominio. Interrompe la frode alla radice, ma richiede più tempo e metodo.  
I due strumenti non sono alternativi: nella pratica si avvia il delisting mentre si lavora al takedown per ottenere un risultato efficiente ed efficace in termini di tempo e risultato. 

I soggetti a cui rivolgersi 

Hosting provider 

È il soggetto che ospita fisicamente le pagine ed è di norma il più reattivo, soprattutto quando il clone è utilizzato per phishing. Una volta identificato il provider, è possibile individuare il relativo contatto per le segnalazioni di abuso (abuse), generalmente associato all’indirizzo IP del server che ospita il sito e non direttamente al dominio. La corretta casella di abuse si può trovare effettuando un whois come indicato nel capitolo “Scoprire da chi è stato registrato il dominio”. La segnalazione deve contenere l’URL esatto, la descrizione della violazione, le prove acquisite e la base giuridica. 

Registrar 

È la società presso cui è stato registrato il dominio. Può sospenderlo o cancellarlo, rendendolo irraggiungibile ovunque sia ospitato. I registrar accreditati ICANN sono tenuti a pubblicare un contatto abuse e a gestire le segnalazioni, ma il livello di collaborazione è variabile, alcuni intervengono in 24 ore su un caso ben documentato, altri rispondono solo a ordini di un’autorità o a decisioni UDRP. Per i domini .it il riferimento è il Registro .it, che ha procedure proprie. 

Motori di ricerca 

Google, Bing e gli altri motori accettano segnalazioni per rimuovere dai risultati contenuti che costituiscono phishing, oppure violano il diritto d’autore o le loro policy. Google in particolare gestisce il Trusted Copyright Removal Program, riservato a soggetti che hanno dimostrato affidabilità nelle segnalazioni, con tempi di lavorazione più rapidi. Kopjra è partner del programma. 

Servizi di sicurezza e liste di blocco 

Google Safe Browsing, Microsoft Defender SmartScreen, i database antiphishing utilizzati dagli antivirus e dai browser. Una segnalazione accolta fa comparire un avviso a schermo intero a chiunque tenti di aprire il sito. È un’arma da utilizzare per ridurre il traffico, anche se il clone resta tecnicamente online. 

Piattaforme e social network 

Se il clone viene promosso tramite annunci a pagamento, post o account su Meta, TikTok, LinkedIn. Ogni piattaforma ha un canale di segnalazione dedicato al brand abuse. Rimuovere gli annunci interrompe il flusso di vittime che vengono dirottate da profili terzi e annunci pubblicitari. 

Forze dell’ordine 

La denuncia alla Polizia Postale (o al CERT-AGID, se il clone riguarda una pubblica amministrazione) va fatta in parallelo, non in alternativa, alle segnalazioni agli intermediari. Non produce la rimozione in tempi brevi, ma è il presupposto per eventuali ordini dell’autorità giudiziaria e per l’accesso ai dati che gli intermediari non forniscono a privati. 

Come deve essere fatta una segnalazione 

La differenza tra una segnalazione che viene evasa e una che viene ignorata sta nella forma e nel canale utilizzato. È molto importante, per ogni provider, utilizzare il proprio schema di segnalazione. Volendo generalizzare, una notifica efficace è: 

1. Precisa: URL completi, non il solo dominio. Per ogni URL, quale contenuto viola cosa. 

2. Motivata: marchio registrato (con numero), diritto d’autore sui testi e sulle immagini, uso fraudolento del brand per phishing. 

3. Documentata: le prove acquisite in modo solido già alla prima iterazione. 

4. Tracciabile: inviata tramite il canale ufficiale dell’intermediario. 

Una differenza concreta la fa anche la qualifica di chi segnala. Il Digital Services Act prevede la figura del segnalatore attendibile (Trusted Flagger), un soggetto riconosciuto dall’autorità nazionale (in Italia AGCOM) le cui segnalazioni le piattaforme sono tenute a trattare in via prioritaria. 

Come ottenere il dominio fraudolento 

Un nome a dominio che riproduce il tuo marchio, anche se sospeso o svuotato, resta nella disponibilità del truffatore, che può riattivarlo, venderlo o spostarlo su un altro registrar. Per ottenere il trasferimento definitivo del dominio, senza passare da un tribunale, esiste la procedura UDRP (Uniform Domain-Name Dispute-Resolution Policy). 

Cos’è la UDRP?

La UDRP è la procedura di risoluzione delle controversie adottata da ICANN (l’organizzazione che gestisce i nomi di dominio su Internet) e vincolante per tutti i domini generici (.com, .net, .org, .info, .shop e i nuovi domini di primo livello generico, o gTLD). Viene amministrata da provider accreditati, il più utilizzato dei quali è il Centro di Arbitrato e Mediazione dell’OMPI/WIPO. È un procedimento stragiudiziale che attraverso un panel di uno o tre esperti decide sulla base dei documenti presentati, senza udienza, se il dominio fraudolento debba essere forzatamente trasferito al ricorrente (titolare dei diritti). La decisione viene eseguita direttamente dal registrar. 

Per ottenere il trasferimento del dominio, il ricorrente deve dimostrare tutti e tre questi requisiti: 

1. il dominio è identico o confondibile con un marchio su cui il ricorrente vanta diritti; 

2. il registrante non ha alcun diritto o interesse legittimo sul dominio; 

3. il dominio è stato registrato ed è utilizzato in mala fede. 

Un sito clone che riproduce il sito ufficiale per vendere prodotti contraffatti o raccogliere dati soddisfa quasi sempre tutti e tre i requisiti, a condizione di poterlo provare.  

Costi e durata 

Le tariffe WIPO per una procedura con un solo esperto partono da 1.500 dollari per controversie che riguardano da uno a cinque domini, e salgono a 2.000 dollari per sei-dieci domini. Con un panel di tre esperti i costi sono rispettivamente di 4.000 e 5.000 dollari. A questi vanno aggiunti i costi di assistenza per la redazione del ricorso e la preparazione delle prove. La durata tipica, dal deposito alla decisione, è di circa 60 giorni; il trasferimento del dominio avviene dopo un ulteriore periodo di dieci giorni lavorativi, durante il quale il registrante può impugnare la decisione davanti a un tribunale competente (cosa che accade raramente). 

Quando la URDP conviene e quando no 

La UDRP conviene quando: 

1. il dominio incorpora un marchio registrato, non solo un nome commerciale o uno slogan (es. Kopjrabrandprotection.com incorpora il marchio registrato “kopjra”; 

2. il dominio ha un valore in sé (è la variante più ovvia del tuo brand, o quella che intercetta più traffico) e vuoi che finisca nel tuo portafoglio invece che tornare disponibile; 

3. il registrar non ha risposto alle segnalazioni di abuso e non c’è altro modo per ottenere un risultato definitivo; 

4. ci sono più domini riconducibili allo stesso registrante, la procedura può essere consolidata con un costo per dominio molto inferiore. 

Non conviene, o va valutata con attenzione, quando: 

1. il dominio è un ccTLD dove non si applica UDRP; 

2. il clone è un episodio isolato e il dominio non ha valore residuo. In questo caso il takedown, seguito dal monitoraggio, è sufficiente e costa una frazione; 

3. il marchio non è registrato o è registrato in classi non pertinenti. Il primo requisito (il dominio è identico o confondibile con un marchio su cui il ricorrente vanta diritti) diventa difficile da soddisfare e il rischio di rigetto è concreto. 

Per i nuovi domini di primo livello generico esiste anche la URS (Uniform Rapid Suspension), più rapida ed economica della UDRP, ma che consente solo la sospensione del dominio fino alla scadenza, non il trasferimento. Utile in casi urgenti e documentati, meno adatta quando l’obiettivo è acquisire stabilmente il dominio. 

Perché il clone può riapparire dopo il takedown 

Uno degli errori più comuni è considerare chiuso il caso quando il sito clone va offline. Chi ha costruito il clone ha investito tempo e denaro. Oltretutto, se è riuscito ad ottenere un ricavo economico in poco tempo, ha tutto l’interesse a ripartire. Buona parte dei cloni rimossi torna infatti online entro poche settimane o mesi, con piccole variazioni. 

Le tecniche di riapparizione più frequenti 

Cambio di dominio 

Il truffatore ha registrato in anticipo una decina di varianti (tuobrand-shop.com, tuobrand-outlet.net, tuobrand.store) e le tiene pronte per attivarle a rotazione, come fossero dei backup. 

Cambio di hosting 

Il contenuto viene spostato su un hosting provider in una giurisdizione meno collaborativa. 

Cloaking 

Il clone mostra contenuti diversi in base ad una combinazione di fattori come la posizione geografica, il dispositivo utilizzato, il browser, l’operatore mobile utilizzato o altri parametri tecnici. In questo modo, per esempio, può mostrare il contenuto contraffatto a un utente che raggiunge il sito cliccando su una pubblicità, ma presentare una pagina “vuota” o apparentemente innocua a chi vi accede attraverso un motore di ricerca. 

Spostamento su altri canali 

Quando il sito viene rimosso, l’attività illecita può spostarsi rapidamente su altri canali, ad esempio un profilo social, un gruppo Telegram, un marketplace, ecc. In questo modo cambia anche il soggetto a cui inviare la segnalazione e possono cambiare le modalità e le regole per ottenere la rimozione. 

Sottodomini e sottocartelle 

Il clone può essere pubblicato all’interno di un dominio legittimo, utilizzando un sottodominio o una sottocartella. In questo modo l’indirizzo può sembrare, a prima vista, riconducibile al sito ufficiale o a un servizio affidabile, anche se il contenuto è stato inserito abusivamente. 

Come risolvere il problema 

Contrastare questa dinamica con interventi manuali, caso per caso, non è sostenibile. Il tempo tra la comparsa di un nuovo clone e la sua rilevazione è esattamente il tempo in cui i clienti vengono truffati. Un servizio di monitoraggio e rimozione continuativa risolve questo problema in 4 step. 

1. Rilevazione automatica 

Scansione periodica delle nuove registrazioni di domini simili al brand, dei risultati di ricerca su specifiche keyword, degli annunci sponsorizzati e dei marketplace. Ogni nuovo elemento viene confrontato con la sua variante ufficiale per verificare se ne riproduce contenuti, marchi, loghi o design. 

2. Analisi 

Ogni abuso rilevato viene cristallizzato e analizzato, prima da un sistema automatico e successivamente da un team di specialisti. I dati raccolti vengono messi in relazione con le evidenze passate per efficientare il processo di individuazione e rimozione. 

3. Mitigazione 

Le segnalazioni partono in automatico verso gli intermediari corretti, con il formato che ciascuno richiede e con la qualifica di Trusted Flagger e di partner del programma Google TCRP, fino alla mitigazione del fenomeno. 

4. Reportistica 

Un cruscotto che mostra al titolare del marchio, al dipartimento legale o al reparto marketing cosa è stato rilevato, cosa è stato rimosso, in quanto tempo e con quale efficacia.

---

DOMANDE FREQUENTI

Quanto tempo serve per far rimuovere un sito clone? 

Dipende dall’intermediario e dalla qualità della segnalazione. Un hosting provider collaborativo rimuove un sito di phishing documentato in 24-72 ore; un registrar può impiegare da pochi giorni a diverse settimane; il delisting dai motori di ricerca tramite programmi accreditati avviene in genere entro pochi giorni. Una procedura UDRP richiede circa due mesi. Segnalazioni incomplete allungano ogni fase. 

Un sito clone è reato? 

In Italia la realizzazione di un sito clone utilizzato per raccogliere dati o pagamenti integra tipicamente i reati di frode informatica (art. 640-ter c.p.), sostituzione di persona (art. 494 c.p.) e, se vengono riprodotti marchi registrati, contraffazione (art. 473 c.p.). Sul piano civile rilevano la violazione del marchio, del diritto d’autore e la concorrenza sleale. La denuncia alla Polizia Postale è consigliata in ogni caso. 

Posso far rimuovere un sito clone se il mio marchio non è registrato? 

Sì, ma con più fatica. Le segnalazioni agli intermediari possono basarsi sul diritto d’autore sui testi e sulle immagini copiate e sull’uso fraudolento del nome, che non richiedono registrazione. Registrare il marchio rimane la prima forma di protezione. 

Il sito clone è ospitato all’estero: posso fare qualcosa? 

Sì. Gli intermediari (hosting, registrar, motori di ricerca) rispondono alle segnalazioni indipendentemente dal paese in cui si trova il server. Quello che cambia è il livello di collaborazione: per i provider meno reattivi si lavora sugli altri livelli per rendere il clone inutilizzabile anche se resta online. 

Perché lo screenshot non basta come prova? 

Perché è modificabile, non documenta URL, data, ora e codice sorgente, e non può essere verificato da terzi a posteriori. In un contenzioso può essere disconosciuto dalla controparte. Un’acquisizione forense conforme a ISO 27037 risolve questi problemi. 

Quanto costa proteggere un brand dai siti clone? 

Un singolo intervento (acquisizione forense, investigazione e takedown) ha un costo contenuto e proporzionato alla complessità del caso. Un servizio di monitoraggio e rimozione continuativa ha un canone che dipende dal numero di brand, dai canali monitorati e dai volumi di rimozione attesi. In entrambi i casi va confrontato con il costo della frode in termini di rimborsi, chargeback, tempo del servizio clienti, perdita di traffico e danno reputazionale. 

Cosa fa Kopjra in concreto? 

Kopjra è una società italiana specializzata nell’online brand protection. Monitora quotidianamente il web per individuare contraffazioni, pirateria e fenomeni di abuso del brand, intercettando i contenuti e i servizi online che sfruttano un marchio senza autorizzazione. 

Una volta individuata una violazione, acquisisce e conserva le evidenze digitali con modalità forensi, così da renderle utilizzabili anche in eventuali procedimenti giudiziari, e ne gestisce la rimozione attraverso i canali privilegiati a sua disposizione, in qualità di Trusted Flagger ai sensi del DSA e di partner del Google Trusted Copyright Removal Program. 

---

Takeaways

Scoprire un sito clone non è la parte difficile: il vero banco di prova è come si reagisce nelle ore successive. Chi agisce d’istinto, contattando il truffatore o avvisando i clienti senza un piano, rischia di far sparire il bersaglio e di indebolire la propria posizione. Chi invece procede con metodo, acquisendo prove forensi, raccogliendo le informazioni tecniche e segnalando agli intermediari corretti con il canale giusto, può colpire una volta sola e in modo definitivo.