BogusBazaar: anatomia di una rete di negozi falsi

I dati che seguono provengono dall'indagine pubblicata da Security Research Labs, società tedesca di sicurezza informatica, nel 2024. Riguardano una sola rete — ne esistono altre.

L'interesse di questi dati non è drammatizzare, ma correggere un'intuizione comune. Scoprire un sito falso dà l'impressione di un incidente isolato, opera di un singolo individuo. In realtà è un elemento di una produzione in serie.

Questo è il punto che cambia tutto per un marchio preso di mira. La rete non funziona come un truffatore isolato che monta un sito e poi passa al successivo.

I ricercatori descrivono un'organizzazione su due livelli: un team centrale che fornisce e mantiene l'infrastruttura — server, modelli di negozio, catene di pagamento — e degli operatori che gestiscono i negozi senza necessitare di alcuna competenza tecnica particolare.

Conseguenza diretta: la chiusura di un dominio non intacca l'infrastruttura. Costa all'operatore il prezzo di un nome a dominio, e il negozio riapre altrove.

Un'analisi pubblicata a maggio 2026 da Allure Security, che si basa sull'indagine SRLabs, precisa una seconda scelta architetturale: la pagina di pagamento non è legata al negozio. Quando un fornitore di pagamenti blocca una pagina per frode, l'operatore ne installa una nuova — il negozio, dal canto suo, non cambia.

SRLabs descrive «capacità di orchestrazione estese [che] consentono di distribuire rapidamente nuovi webshop o di ruotare le pagine di pagamento e i domini in risposta alle rimozioni». Tagliare un canale di pagamento rallenta l'incasso, senza mai intaccare il negozio stesso.

Un dettaglio tecnico dell'indagine ha conseguenze pratiche rilevanti: la rete privilegia domini scaduti che godono già di una reputazione favorevole presso i motori di ricerca.

Un dominio appena registrato desta diffidenza nei filtri di sicurezza e nei motori di ricerca. Un dominio con una storia alle spalle, riacquistato dopo la scadenza, eredita parte di quella fiducia.

Questo sfuma il segnale più spesso consigliato per riconoscere un sito falso — l'età del dominio. Un dominio vecchio non è necessariamente legittimo se ha cambiato proprietario.

Queste reti hanno adattato le proprie pratiche ai meccanismi di difesa esistenti. La procedura UDRP, via di arbitrato storica, si basa sulla somiglianza tra il nome a dominio e il marchio: un dominio generico le sfugge per costruzione.

Da qui l'uso di nomi senza alcun legame apparente con il marchio copiato, anche quando il contenuto del sito lo riproduce integralmente.

Da questo funzionamento derivano tre conseguenze pratiche.

• Un takedown isolato non basta. Chiudere un dominio è utile per i clienti che lo avrebbero incontrato, ma non intacca la rete. Su un parco che Allure Security stimava in 22.500 domini attivi a maggio 2026, una rimozione isolata rappresenta lo 0,004% — l'infrastruttura sottostante resta intatta. Il monitoraggio conta tanto quanto l'azione puntuale.
• Cercare per nome a dominio non basta. I negozi dai nomi generici sfuggono a qualsiasi ricerca per permutazione.
• Agire presto cambia i rapporti di forza. Un dominio registrato ma non ancora online non ha né clienti né fatturato da far valere.