Come analizzare un link sospetto senza aprirlo: gli strumenti gratuiti

Un'email che sembra arrivare dalla propria banca, un SMS che invita a controllare urgentemente una consegna o un messaggio con un'offerta particolarmente conveniente. Molti tentativi di phishing iniziano da un link che cerca di convincere l'utente a visitare un sito creato per sottrarre password, dati personali o informazioni di pagamento.

La prima regola in caso di link sospetti è semplice: evitare di aprirli direttamente per scoprire dove portano. Esistono strumenti online che permettono di verificare preventivamente un URL, controllarne la reputazione e, in alcuni casi, visitare la pagina all'interno di una sandbox, cioè un ambiente isolato che consente di osservarne il comportamento senza aprirla sul proprio dispositivo.

Non esiste però un singolo controllo capace di stabilire con certezza assoluta che un collegamento sia sicuro. Un sito di phishing appena creato potrebbe non essere ancora conosciuto dai database utilizzati dai servizi di sicurezza. Per questo conviene combinare più verifiche, osservando anche dominio, eventuali reindirizzamenti e coerenza tra il link e il messaggio ricevuto.

• 1. Come posso analizzare un link sospetto?

  Uno degli strumenti più conosciuti è VirusTotal, che permette di sottoporre un URL ad analisi e confrontare i risultati provenienti da diversi fornitori di sicurezza. Il report mostra quanti sistemi considerano il collegamento dannoso o sospetto e mette a disposizione ulteriori informazioni sull'indirizzo analizzato.

  Un'altra possibilità è utilizzare Google Safe Browsing, che analizza miliardi di URL ogni giorno alla ricerca di siti pericolosi. Attraverso il servizio Site Status è possibile controllare se Google considera un determinato sito potenzialmente pericoloso senza doverlo visitare direttamente.

  Per analisi più approfondite c'è urlscan.io. In questo caso il funzionamento è diverso: il servizio apre il sito attraverso un sistema automatizzato e registra ciò che avviene durante la navigazione.

  Vengono analizzati, ad esempio, i domini e gli indirizzi IP contattati, le risorse JavaScript e CSS caricate, i cookie creati e altri elementi della pagina. Il servizio genera anche uno screenshot e può individuare tentativi di impersonare numerosi brand.

  In pratica, anziché essere l'utente ad aprire il link sospetto, è un ambiente esterno a effettuare la visita e a raccogliere le informazioni necessarie per analizzarlo.

• Fastweb Mobile Pro

  11 ,95€ /mese

  Internet 250 GB e Minuti illimitati

  Spedizione SIM GRATIS
  

  Spedizione SIM GRATIS
  

  scopri

  2. Come verificare se un link visibile è reale?

  Prima ancora di utilizzare un servizio esterno è possibile effettuare alcuni controlli manuali. Il più importante riguarda il dominio. In un indirizzo come account.esempio.it, la parte da osservare con particolare attenzione è esempio.it. Un collegamento potrebbe contenere il nome di un'azienda famosa in un'altra posizione dell'URL pur appartenendo a un dominio completamente diverso.

  Bisogna fare attenzione anche a variazioni minime: lettere sostituite, caratteri aggiunti, trattini oppure nomi molto simili all'originale possono essere utilizzati nelle campagne di phishing per rendere un indirizzo credibile a una prima occhiata.

  Un altro problema è la differenza tra il testo visualizzato e il collegamento effettivo. Un'email può mostrare una scritta come "Accedi al tuo account" oppure persino l'indirizzo ufficiale di un sito, mentre il collegamento associato porta altrove.

  Su un computer, posizionando il puntatore del mouse sopra il link senza fare clic, molti programmi e browser mostrano l'indirizzo di destinazione. Su smartphone è possibile in molti casi tenere premuto il collegamento per visualizzarne l'anteprima o copiarlo, facendo attenzione a non aprirlo.

  Se il messaggio riguarda realmente un servizio utilizzato dall'utente, la soluzione più semplice può essere non utilizzare affatto il collegamento ricevuto: si può aprire direttamente l'app ufficiale oppure digitare manualmente nel browser l'indirizzo conosciuto e verificare da lì eventuali notifiche.

• 3. Perché bisogna fare attenzione agli short link?

  I cosiddetti short link sono indirizzi abbreviati utilizzati per trasformare URL molto lunghi in collegamenti più compatti. Sono strumenti legittimi e ampiamente utilizzati sul Web, ma hanno una caratteristica che può essere sfruttata anche nelle campagne fraudolente: nascondono a prima vista la destinazione finale.

  Guardando un URL abbreviato non è sempre possibile capire immediatamente quale dominio verrà aperto. Il problema diventa ancora più rilevante quando sono presenti diversi redirect. Il primo indirizzo può rimandare a un secondo sito, che a sua volta porta a una pagina differente. L'utente vede quindi soltanto il collegamento iniziale e non necessariamente la destinazione finale.

  Servizi come urlscan.io sono utili anche in questo scenario perché permettono di osservare le richieste e i reindirizzamenti generati durante il caricamento della pagina.

  Un link abbreviato non deve quindi essere considerato automaticamente pericoloso. Semplicemente, quando arriva da un mittente sconosciuto o all'interno di un messaggio inatteso, è più difficile verificarne la destinazione con una semplice lettura e può essere opportuno sottoporlo a un controllo prima di aprirlo.

• 4. Cos'è una sandbox e come aiuta ad analizzare i link

  I controlli basati sulla reputazione possono essere affiancati dall'analisi comportamentale. È qui che entrano in gioco le sandbox. Una sandbox è un ambiente isolato nel quale una pagina, un file o un programma può essere eseguito e osservato senza interagire direttamente con il sistema principale.

  urlscan.io applica un concetto simile alla navigazione Web, registrando ciò che una pagina fa durante il caricamento. Servizi più specialistici come ANY.RUN permettono invece di osservare in un ambiente virtuale il comportamento di link e file, monitorando processi, connessioni di rete e altre attività.

  Questo approccio può individuare comportamenti che un semplice controllo statico non evidenzia. Una pagina potrebbe, ad esempio, effettuare reindirizzamenti oppure caricare successivamente altre risorse.

  Le sandbox sono particolarmente utili agli analisti di sicurezza, ma alcuni servizi mettono a disposizione anche modalità gratuite. Queste possono prevedere limitazioni e, soprattutto, una visibilità pubblica delle analisi effettuate.

• 5. Cosa succede se apro un link sospetto?

  Aprire un link sospetto non significa automaticamente essere stati truffati o aver installato un malware. Le conseguenze dipendono da ciò che contiene la pagina e dalle successive azioni compiute dall'utente.

  Un sito di phishing può limitarsi a imitare la schermata di accesso di un servizio e chiedere username e password. In questo caso il pericolo principale nasce dall'inserimento delle credenziali. Altre pagine possono cercare di convincere l'utente a scaricare un file, concedere autorizzazioni, fornire i dati della carta o installare un'applicazione.

  Esistono poi attacchi più sofisticati che sfruttano vulnerabilità del browser o del sistema. Mantenere browser, sistema operativo e applicazioni aggiornati riduce l'esposizione alle falle già corrette, ma non trasforma un link sconosciuto in un collegamento sicuro.

  Se si è aperto accidentalmente un URL sospetto, è quindi meglio non inserire dati, non scaricare file e non concedere permessi. Se sono state fornite credenziali, è opportuno cambiare rapidamente la password attraverso il sito o l'app ufficiale e verificare le opzioni di sicurezza dell'account.

• 6. Link e file sospetti, VirusTotal può analizzare entrambi

  A volte il collegamento sospetto non porta direttamente a una pagina di phishing, ma avvia il download di un file. Anche in questo caso VirusTotal rappresenta uno degli strumenti più conosciuti. Il servizio può analizzare sia URL sia file attraverso diversi sistemi di sicurezza. Per i file è possibile anche utilizzare il relativo hash, un'impronta digitale che permette di verificare se un elemento già conosciuto è stato identificato come dannoso senza dover necessariamente caricarne nuovamente il contenuto.

  Esistono poi piattaforme più specialistiche come Filescan.io e Hybrid Analysis, che permettono di approfondire il comportamento di file e indicatori potenzialmente malevoli.Un principio importante riguarda però la riservatezza: non bisogna caricare indiscriminatamente documenti aziendali, informazioni personali o materiale confidenziale sui servizi pubblici di analisi. Alcune piattaforme possono rendere i campioni o i risultati disponibili ad altri utenti, ricercatori o clienti professionali.

  La stessa cautela vale per gli URL. Un link può contenere parametri, identificativi o token che danno accesso a informazioni private. Prima di sottoporlo a un servizio pubblico è quindi necessario verificare che non contenga dati riservati.

• 7. Un risultato negativo significa che il link è sicuro?

  Non necessariamente. Questo è probabilmente il limite più importante da ricordare quando si utilizzano tool gratuiti per verificare i link. I servizi di sicurezza dispongono di enormi database, ma le campagne di phishing possono utilizzare domini appena registrati, pagine temporanee e infrastrutture modificate rapidamente. Un collegamento nuovo potrebbe non essere ancora classificato come pericoloso.

  Per questo motivo un risultato come "nessuna minaccia rilevata" non deve essere interpretato automaticamente come una garanzia assoluta. È più efficace utilizzare un approccio composto da più controlli: verificare manualmente il dominio, controllarne la reputazione attraverso servizi come VirusTotal o Google Safe Browsing e, quando serve un'analisi più approfondita, ricorrere a strumenti che osservano il comportamento della pagina in una sandbox.

  Soprattutto, bisogna considerare il contesto in cui il link è stato ricevuto. Un messaggio inatteso che richiede urgentemente una password, un pagamento o l'accesso a un account merita cautela anche quando i primi controlli automatici non segnalano problemi.

  Gli strumenti gratuiti possono quindi fornire informazioni preziose, ma non sostituiscono la verifica dell'utente. Quando un collegamento genera dubbi, la scelta più sicura resta evitare di aprirlo e raggiungere il servizio interessato utilizzando direttamente il sito o l'app ufficiale.

  Per saperne di più:Sicurezza informatica: guida alla navigazione sicura sul web

A cura di Cultur-e