Notizie & Curiosità
28 Giugno 2026

Nel sistema nervoso dell'economia digitale, il nome a dominio non è un dettaglio tecnico: è un asset strategico, un presidio reputazionale, un punto di accesso al fatturato, ai dati e alla fiducia dei clienti. Eppure continua a essere sottovalutato proprio nel momento in cui il rischio cresce. Il furto di dominio, il cosiddetto domain hijacking, non è più una minaccia da addetti ai lavori: è una vulnerabilità concreta per imprese, studi professionali, e-commerce e organizzazioni pubbliche. Se un attaccante prende il controllo del dominio, può deviare la posta elettronica, oscurare il sito, intercettare comunicazioni, simulare l'identità aziendale e generare danni economici e reputazionali immediati. In un contesto in cui la superficie di attacco si allarga e l'identità online coincide sempre più con l'operatività del business, proteggere il proprio dominio significa difendere la continuità aziendale.

Il quadro di riferimento conferma la centralità del tema. Secondo Registro .it, il registro anagrafico dei domini italiani gestito dall'IIT-CNR, a fine 2023 i nomi a dominio .it registrati hanno superato i 3,5 milioni, con una crescita annua nell'ordine di alcune decine di migliaia di unità. È un dato che racconta la densità del presidio digitale italiano. Parallelamente, i dati ISTAT sulla digitalizzazione delle imprese mostrano come la presenza online sia ormai strutturale: la grande maggioranza delle aziende con almeno 10 addetti dispone di un sito web, mentre la quota di imprese che vende online continua a crescere, in linea con l'evoluzione del commercio elettronico in Europa rilevata da Eurostat. Più domini, più servizi esposti, più account amministrativi da proteggere: l'aumento della dipendenza dal canale digitale rende il dominio un bersaglio di maggior valore.

Anche il contesto della minaccia è in accelerazione. I rapporti annuali di Clusit, l'Associazione Italiana per la Sicurezza Informatica, documentano da anni un incremento degli attacchi cyber gravi a livello globale, con tassi di crescita che in diversi report recenti si collocano in doppia cifra anno su anno. Se allarghiamo lo sguardo ai dati internazionali, Verizon Data Breach Investigations Report e IBM X-Force confermano la persistente centralità del furto di credenziali e del social engineering nelle catene d'attacco. È precisamente qui che si annida il rischio per i domini: nella compromissione dell'account presso il registrar, nella casella e-mail amministrativa, in procedure di recupero password deboli o in modifiche non autorizzate ai record DNS. Secondo gli analisti di settore, la sicurezza del dominio viene spesso percepita come un adempimento amministrativo, quando in realtà dovrebbe essere trattata come un'infrastruttura critica al pari di firewall, endpoint e sistemi di backup.

Per capire perché il domain hijacking sia così insidioso, occorre partire dal suo impatto operativo. Il dominio governa la risoluzione del sito, ma soprattutto il traffico di posta e numerosi servizi integrati: autenticazioni, sottodomini applicativi, API, ambienti cloud, strumenti di marketing, piattaforme di pagamento. Un criminale che ottiene accesso al pannello del registrar può cambiare i name server, alterare i record MX per dirottare la posta elettronica, modificare i record A o CNAME per reindirizzare il traffico web, oppure tentare un trasferimento del dominio verso un altro registrar. Il danno non è solo tecnico. Per un'azienda B2B può tradursi in ordini persi, PEC o e-mail ordinarie intercettate, fatture manipolate, relazioni commerciali compromesse. Per un e-commerce significa interruzione del servizio, perdita di conversioni, campagne pubblicitarie che puntano verso destinazioni sbagliate, reclami e richieste di chargeback. Per un professionista, vuol dire smarrire la continuità del rapporto fiduciario con clienti e fornitori.

La prima linea di difesa è l'autenticazione a due fattori, o 2FA, oggi non più opzionale ma necessaria. La logica è semplice: anche se la password viene rubata, l'attaccante non può completare l'accesso senza un secondo fattore. Non tutte le implementazioni, però, offrono lo stesso livello di sicurezza. I codici via SMS rappresentano una barriera di base, ma sono più esposti a rischi come il SIM swap o l'intercettazione. Decisamente più robusti sono i sistemi basati su app di autenticazione compatibili con standard TOTP, e ancora di più le chiavi hardware conformi a standard come FIDO2/WebAuthn, oggi considerate da molti esperti la soluzione più solida contro phishing e furto di credenziali. Se il registrar lo consente, l'abilitazione della 2FA va estesa non solo all'account principale, ma a tutti gli utenti con privilegi amministrativi, evitando account condivisi e imponendo una gestione nominale degli accessi.

La seconda misura cruciale è il domain lock, termine che spesso viene citato senza essere realmente compreso. In pratica, il lock impedisce il trasferimento non autorizzato del dominio verso un altro registrar. Nei TLD generici e in molti ccTLD, incluso il contesto regolato da procedure specifiche dei singoli registri, il blocco riduce la possibilità che un attaccante, dopo aver compromesso l'account, avvii rapidamente il trasferimento sottraendo il dominio al controllo del titolare. È importante distinguere il normale registrar lock da soluzioni più avanzate, talvolta chiamate registry lock, offerte su alcuni TLD come misura aggiuntiva ad alto livello: in questi casi, modifiche sensibili al dominio richiedono procedure di verifica rafforzate, spesso manuali e fuori banda. Per un marchio con forte esposizione commerciale o per una società quotata, questa protezione aggiuntiva può fare la differenza tra un incidente contenuto e una crisi operativa di vasta scala.

Accanto a 2FA e lock, la sicurezza del dominio dipende dalla qualità del registrar e dalla disciplina con cui viene gestito il ciclo di vita amministrativo. Scegliere il fornitore solo in base al prezzo è una falsa economia. Un registrar affidabile deve offrire log di accesso, notifiche in tempo reale per modifiche ai DNS, gestione dei ruoli, storico delle operazioni, supporto rapido in caso di abuso, protezione del trasferimento e procedure chiare per il recupero sicuro dell'account. Secondo gli analisti di settore, uno degli errori più frequenti nelle PMI è intestare il dominio a un fornitore esterno, a un ex collaboratore o a una casella e-mail generica non più presidiata. Il risultato è che, in caso di controversia o compromissione, il titolare effettivo del business può trovarsi senza controllo giuridico e operativo su un bene essenziale. Il dominio deve essere registrato a nome dell'organizzazione corretta, con dati aggiornati e con una governance interna chiara.

Il nodo delle credenziali resta centrale. Password uniche, lunghe e generate da un password manager non sono una raccomandazione astratta, ma una misura di contenimento del rischio. I database di credenziali compromesse che circolano nel sottobosco cyber permettono agli attaccanti di tentare accessi automatizzati su piattaforme di registrar e servizi e-mail sfruttando il riuso delle password. La protezione, quindi, deve essere multilivello: account del registrar, casella e-mail amministrativa del dominio, accessi al provider DNS, pannello hosting e eventuali servizi cloud collegati. Se l'e-mail amministrativa viene compromessa, anche il miglior lock può non bastare, perché molte procedure di reset e conferma transitano proprio dalla posta elettronica. In termini pratici, l'account e-mail associato al dominio dovrebbe essere custodito su un provider con 2FA forte, monitoraggio accessi e policy di recupero rigorose.

Un'altra frontiera rilevante è la sicurezza del DNS. Sebbene non prevenga direttamente il furto del dominio, l'adozione di DNSSEC contribuisce a garantire l'integrità delle risposte DNS e riduce alcuni rischi di manipolazione lungo la catena di risoluzione. Per la posta elettronica, configurazioni corrette di SPF, DKIM e DMARC aiutano a limitare l'abuso del dominio nelle campagne di spoofing e phishing, un effetto collaterale spesso devastante nei casi di compromissione parziale. Il dato di mercato è eloquente: secondo i report di Netcraft e di altri osservatori sulla sicurezza web, il phishing continua a mantenersi su volumi molto elevati a livello globale, con campagne sempre più professionali che sfruttano brand, sottodomini e mail apparentemente legittime. Ciò significa che la protezione del dominio non riguarda solo la proprietà formale dell'asset, ma l'intero ecosistema di fiducia che vi si appoggia.

Le best practice più efficaci, in questo scenario, hanno un carattere organizzativo prima ancora che tecnologico. Serve una mappatura completa dei domini posseduti, inclusi quelli difensivi o non più attivamente utilizzati, con rinnovi automatizzati e metodi di pagamento sotto controllo. I domini dimenticati sono una vulnerabilità classica: possono scadere, essere ri-registrati da terzi e usati per impersonificazione o attacchi alla supply chain digitale. È poi essenziale limitare il numero di amministratori, applicare il principio del minimo privilegio, separare i ruoli tra chi gestisce contenuti e chi governa il dominio, e prevedere procedure di doppia approvazione per le modifiche ai name server o ai record critici. Una media impresa con più brand o sedi estere dovrebbe inoltre mantenere un inventario centralizzato dei TLD registrati, dei registrar utilizzati e dei contatti autorizzati, evitando quella frammentazione che spesso emerge dopo anni di crescita non governata.

C'è anche un tema di incident response. Molte aziende scoprono di non avere un piano solo quando il dominio è già stato deviato. Un protocollo minimo dovrebbe prevedere contatti di emergenza con registrar e registry, copie aggiornate dei documenti di titolarità, evidenza storica delle configurazioni DNS, nominativi interni autorizzati a interagire con il fornitore e procedure di comunicazione verso clienti e partner. Il tempo è un fattore decisivo: più rapidamente si blocca un trasferimento o si ripristinano i name server corretti, minore è il danno. In assenza di preparazione, invece, anche poche ore possono bastare per generare perdita di traffico, sospensione delle e-mail e gravi effetti reputazionali. Per i settori regolati, dal finance alla sanità, l'incidente può assumere anche rilievo di conformità e di protezione dei dati.

Nel mercato italiano, dove la digitalizzazione procede ma resta disomogenea per dimensione d'impresa e maturità organizzativa, il tema ha una rilevanza particolare. I dati di ISTAT ed Eurostat mostrano progressi costanti nell'adozione di strumenti digitali e nell'uso del web per vendite, servizi e relazione con i clienti, ma il gap sulle competenze di sicurezza rimane significativo, soprattutto tra le micro e piccole imprese. È qui che il dominio diventa un punto cieco: tutti ne riconoscono il valore commerciale, pochi lo trattano come un'infrastruttura da proteggere con processi, controlli e responsabilità definite. Eppure, secondo gli analisti, la crescita dell'e-commerce, del lavoro distribuito e dell'uso di servizi SaaS renderà i domini ancora più centrali nei prossimi anni, aumentando il costo degli incidenti e la pressione sui registrar perché alzino i loro standard di sicurezza.

La prospettiva futura è netta: il dominio non può più essere amministrato come una semplice pratica di registrazione annuale. Deve entrare nella governance della sicurezza dell'organizzazione, con audit periodici, protezioni forti sugli accessi, monitoraggio continuo e una chiara attribuzione di responsabilità. In un'economia in cui identità, comunicazione e transazioni passano dal web, perdere il controllo del dominio equivale, in molti casi, a perdere temporaneamente il controllo dell'azienda agli occhi del mercato. La buona notizia è che la prevenzione costa poco rispetto ai danni potenziali: autenticazione a due fattori, domain lock, registrar affidabili, gestione rigorosa delle credenziali e policy operative ben disegnate sono misure mature, accessibili e immediatamente implementabili. La vera discriminante, oggi, non è la disponibilità della tecnologia, ma la consapevolezza manageriale di considerare il dominio per quello che è davvero: uno degli asset più delicati e più esposti dell'impresa digitale.