Phishing e siti clone: certificare la prova prima che la pagina sparisca
Arriva un messaggio che sembra della banca, del corriere o di un marketplace conosciuto. Il link porta a una pagina identica all'originale, che chiede credenziali o dati della carta. Nel 2025 la Polizia Postale ha trattato 51.560 casi e ha gestito oltre 94.000 segnalazioni arrivate al Commissariato di P.S. Online, in larga parte legate a phishing, social network e attacchi informatici, e nel bilancio annuale segnala che l'uso dell'intelligenza artificiale ha reso i raggiri molto più sofisticati.
Il problema, quando si passa dalla truffa alla pratica, non è capire che cosa sia successo: è dimostrarlo. Una pagina fraudolenta ha una vita brevissima. Uno studio presentato alla ACM Web Conference 2025 su 286.237 indirizzi di phishing ha misurato una durata mediana di 5,46 ore. Quando la vittima si rivolge alla banca, sporge denuncia o incarica un legale, l'indirizzo restituisce quasi sempre un errore e dell'intera vicenda resta un solo elemento: uno screenshot fatto in fretta con il telefono, che la controparte può contestare perché nessuno è in grado di verificarne la conformità.
Da qui la domanda che questo articolo affronta: come si ottiene una prova che regga anche quando il sito non esiste più? La risposta è che la prova va costruita mentre la pagina è ancora online. Serve un'acquisizione con metodologia forense che fissi contenuto, indirizzo di rete e momento esatto, chiusa da un sigillo elettronico che renda rilevabile qualunque modifica successiva. Chi lo fa nei primi minuti si presenta in banca e in procura con un fascicolo tecnico completo. Chi non lo fa si presenta con un'immagine.
Quanto vive davvero una pagina di phishing
La finestra utile per raccogliere la prova si misura in ore. Non è una stima prudenziale: è il dato mediano rilevato sul campo, e vale sia per le finte pagine di accesso al conto sia per i negozi contraffatti che copiano il marchio di un rivenditore noto.
La durata di vita di un sito di phishing è mediamente breve al punto da rendere impraticabile ogni raccolta di prove differita. Lo studio "7 Days Later: Analyzing Phishing-Site Lifespan After Detected", presentato alla ACM Web Conference 2025 e condotto su 286.237 indirizzi unici monitorati per cinque mesi, ha misurato una durata mediana di 5,46 ore e una durata media di 54 ore. Il 83,93 per cento dei siti risultava già rimosso prima ancora di essere rilevato dai sistemi di segnalazione dei browser, che a loro volta ne intercettano il 18,4 per cento con un ritardo medio di 4,5 giorni. Le pagine che imitano i corrieri sono le più effimere, con una vita mediana di 1,76 ore. Chi attende la conferma di un sistema automatico per documentare la truffa, nella maggior parte dei casi documenta una pagina che non esiste più.
Il volume rende il problema strutturale, non episodico. L'Anti-Phishing Working Group ha osservato circa 3,8 milioni di attacchi di phishing nel corso del 2025, con un picco trimestrale di 1.130.393 attacchi nel secondo trimestre. In un contesto simile, l'idea di poter tornare sulla pagina "quando avrò tempo di occuparmene" è semplicemente sbagliata: nella maggior parte dei casi quel tempo non esiste.
Perché lo screenshot fatto in fretta non regge
Uno screenshot preso con il telefono è un'immagine, e come tale ricade nell'articolo 2712 del codice civile: fa piena prova dei fatti rappresentati solo se la controparte non ne contesta la conformità. Basta un disconoscimento per spostare l'onere e trasformare la prova in un indizio da corroborare.
La giurisprudenza recente ha alzato l'asticella per chi contesta, chiarendo che il disconoscimento deve essere chiaro, circostanziato ed esplicito e deve indicare in che cosa la riproduzione divergerebbe dalla realtà. Resta però il punto pratico: quando la pagina è offline, nessuna delle due parti può più verificare nulla, e un giudice non ha modo di stabilire se quell'immagine corrisponda a ciò che stava online in quel momento. Abbiamo affrontato la meccanica processuale nel dettaglio nell'approfondimento dedicato all'efficacia probatoria delle riproduzioni informatiche.
C'è poi un problema di completezza, prima ancora che di autenticità. Uno screenshot mostra quello che l'occhio vedeva, non quello che conta tecnicamente: l'indirizzo completo con i parametri, il server che ha risposto, i certificati presentati, il codice della pagina, le risorse caricate da terze parti. Sono esattamente i dati che la banca chiede per istruire la contestazione e che il fornitore del dominio pretende per valutare una richiesta di rimozione.
| Elemento | Screenshot dal telefono | Acquisizione certificata alla fonte |
|---|---|---|
| Indirizzo completo della pagina | Parziale o tagliato | Registrato per intero, parametri inclusi |
| Server che ha risposto | Assente | Risoluzione di rete documentata |
| Codice sorgente e risorse caricate | Assente | Acquisito insieme alla pagina |
| Momento della rilevazione | Data del dispositivo, modificabile | Marca temporale opponibile a terzi |
| Alterazioni successive | Non rilevabili | Rilevabili tramite sigillo elettronico |
| Verifica da parte del destinatario | Impossibile | Autonoma, senza passare dal mittente |
| Tenuta se il sito sparisce | Contestabile | Il contenuto resta documentato |
Che cosa deve contenere l'acquisizione di un sito clone
Un'acquisizione utile non è una fotografia della finestra del browser: è la registrazione documentata di una sessione di navigazione, con tutto ciò che il server ha effettivamente restituito. Quattro elementi fanno la differenza tra un file che verrà contestato e un fascicolo che regge.
L'indirizzo e la risoluzione di rete
Il dominio contraffatto è il primo elemento su cui si costruisce sia la denuncia sia la richiesta di rimozione. Serve l'indirizzo completo, comprensivo dei parametri che identificano la campagna fraudolenta, e la risoluzione verso il server che ha risposto in quel momento. È l'informazione che permette di collegare pagine diverse alla stessa infrastruttura, e nei casi di account clonati e furto di identità digitale è spesso l'unico filo che tiene insieme episodi apparentemente scollegati.
Il codice sorgente e le risorse caricate
Il codice della pagina contiene quello che l'immagine non mostra: dove vengono spediti i dati inseriti nel modulo, quali script di terze parti sono attivi, quali immagini e loghi sono stati prelevati dal sito legittimo. Per un titolare di marchio, quest'ultimo dettaglio è la prova dell'uso indebito del segno distintivo, e sostiene una azione a tutela della reputazione e del marchio online molto più di quanto non faccia una schermata.
Il momento in cui la pagina era online
La data di sistema di uno smartphone si cambia in pochi secondi, e chiunque lo sa. Perché il momento della rilevazione sia opponibile serve una marca temporale rilasciata da un soggetto terzo qualificato, che leghi il contenuto acquisito a un istante certo. È l'elemento che consente di dire, mesi dopo, che quella pagina era attiva alle 21:14 del giorno in cui il bonifico è partito.
La catena di navigazione
Raramente la truffa vive su una sola schermata. C'è il messaggio, c'è un primo indirizzo che rimanda a un secondo, c'è la pagina che chiede le credenziali e quella che chiede il codice usa e getta. Documentare la sequenza, e non solo l'ultimo passaggio, ricostruisce l'inganno nel suo insieme ed è quello che rende leggibile la vicenda a chi la legge senza averla vissuta. Le tecniche di acquisizione applicabili a un intero percorso sono descritte nell'approfondimento sulla copia forense di un sito web.
Che cos'è la certificazione alla fonte di una pagina fraudolenta
La certificazione alla fonte è l'acquisizione di un contenuto digitale nel momento stesso in cui esiste, eseguita con metodologia forense e chiusa da un sigillo che ne renda rilevabile qualunque alterazione successiva. Il principio ribalta l'approccio abituale: invece di cercare di dimostrare a posteriori che un'immagine è autentica, si costruisce la prova nell'istante in cui il fatto è ancora osservabile. TrueScreen applica questo principio alle pagine web fraudolente. La piattaforma acquisisce la pagina mentre è ancora attiva, raccoglie insieme al contenuto visibile i dati tecnici della sessione, e integra via API il sigillo elettronico e la marca temporale erogati da un QTSP qualificato terzo. Il risultato non è un'immagine da allegare: è un documento che il destinatario, sia esso l'ufficio antifrode di una banca o un pubblico ministero, può verificare in autonomia senza dover credere a chi glielo consegna. È l'applicazione operativa della provenienza digitale a un contenuto destinato a sparire.
Acquisizione dal dispositivo che ha ricevuto il messaggio
La truffa arriva quasi sempre sul telefono, ed è lì che va documentata. Con l'app mobile di TrueScreen la pagina sospetta viene acquisita direttamente dal dispositivo, senza trasferimenti intermedi che introdurrebbero un passaggio da giustificare. Chi opera da postazione fissa, per esempio un analista antifrode che riceve la segnalazione da un cliente, lavora dalla piattaforma web sullo stesso flusso.
Sigillo elettronico e marca temporale
Il contenuto acquisito viene sigillato: il sigillo elettronico e la marca temporale sono apposti da un QTSP qualificato integrato nella piattaforma, non generati internamente. Da quel momento qualunque modifica al file, anche di un solo byte, diventa rilevabile in fase di verifica. È la differenza tra affermare che un contenuto non è stato toccato e poterlo dimostrare.
Verifica autonoma da parte del destinatario
Chi riceve il documento non deve fidarsi della parola di chi lo produce: può controllarne l'integrità in modo indipendente. Per le organizzazioni che gestiscono volumi rilevanti di segnalazioni, le interfacce di integrazione della piattaforma permettono di innescare l'acquisizione dal proprio sistema antifrode nel momento in cui la segnalazione entra, senza intervento manuale.
Un esempio ricorrente: il servizio clienti di una banca riceve la segnalazione di una finta pagina di accesso al conto alle 18 e 40. L'analista apre l'indirizzo, lo acquisisce e lo certifica in meno di due minuti. Alle 23 il dominio non risponde più. Il giorno dopo l'ufficio legale ha comunque il codice della pagina, l'indirizzo del server che raccoglieva le credenziali e la marca temporale che colloca l'acquisizione prima dei bonifici contestati.
Phishing: cosa fare nei primi minuti dopo la scoperta
La priorità non è capire chi c'è dietro, ed è un errore comune. La priorità è fissare lo stato dei luoghi digitali finché esiste. L'ordine delle operazioni conta più della loro accuratezza.
- Non chiudere la scheda del browser e non cancellare il messaggio. Il messaggio con cui è arrivato il link fa parte della prova quanto la pagina.
- Acquisire e certificare la pagina mentre risponde ancora, insieme al percorso che vi ha condotto. Se sono stati inseriti dati, documentare anche la schermata di conferma.
- Bloccare gli strumenti di pagamento coinvolti e aprire la contestazione presso il prestatore di servizi di pagamento, allegando il documento certificato.
- Sporgere denuncia, allegando l'acquisizione. La condotta rileva di norma sotto il profilo della frode informatica prevista dall'articolo 640 ter del codice penale e, quando il sito si spaccia per un soggetto reale, della sostituzione di persona prevista dall'articolo 494.
- Segnalare il dominio a chi lo gestisce e al marchio imitato. Una richiesta di rimozione con allegato tecnico verificabile viene lavorata in modo diverso rispetto a una segnalazione generica.
Lo stesso metodo si applica a tutte le frodi che si consumano su una pagina destinata a scomparire: i falsi portali di investimento, gli annunci civetta, i moduli che imitano un ente pubblico. Il criterio operativo, descritto anche nella guida su come salvare una pagina web come prova, resta lo stesso: prima si acquisisce, poi si ragiona.
Chi usa questa prova e con quale obiettivo
Il documento certificato serve a interlocutori diversi, e ciascuno ne usa una parte diversa.
Gli uffici antifrode di banche e assicurazioni lo usano per istruire il rimborso e per collegare episodi che sembrano isolati: quando venti clienti segnalano pagine diverse che scrivono verso lo stesso server, la ricostruzione cambia natura. Gli uffici legali lo usano perché arriva già completo dei dati tecnici che altrimenti andrebbero ricostruiti con una consulenza tecnica, quando ancora è possibile. I titolari di marchi colpiti da negozi contraffatti lo usano per dimostrare l'uso indebito del segno distintivo e per sostenere le richieste di rimozione presso registrar e piattaforme pubblicitarie. I professionisti e i privati truffati lo usano per non presentarsi a sporgere denuncia con l'unica cosa che di solito hanno in mano, cioè una fotografia dello schermo.
In tutti questi casi il fattore decisivo non è la sofisticazione dello strumento, ma il momento in cui viene usato. Una prova raccolta con metodologia forense mentre la pagina era attiva vale quanto la stessa pagina; una raccolta dopo vale quanto il ricordo di chi l'ha vista.
