Il messaggio dice: “Il sito è giù.”
Controllate. Si carica perfettamente. Ma il vostro cliente, e i clienti del vostro cliente, hanno davanti un avviso rosso a tutto schermo:
Potenziale minaccia rilevata. Advanced Security ha bloccato l’accesso a questo sito. Questo sito potrebbe compromettere il dispositivo o contenere contenuti ad alto rischio.
Il sito non è giù. Il sito non è stato violato. Sta succedendo qualcosa di più subdolo: la reputazione del dominio è stata segnalata, e una parte di internet sta dicendo sottovoce alle persone che la vostra attività è pericolosa.
La settimana scorsa abbiamo risolto esattamente questa situazione per una nostra cliente. Ecco cosa stava succedendo davvero, perché capita ad attività perfettamente legittime e come si sistema.
L’avviso non arriva dal sito
La maggior parte delle persone non ha mai sentito parlare del livello di sicurezza che sta tra il wifi e internet.
I router domestici e i fornitori di connessione oggi includono una protezione a livello di rete, quasi sempre attiva di fabbrica:
- Cox Panoramic Wifi con il suo “Advanced Security”
- Xfinity xFi “Advanced Security”
- eero Secure sui router eero
- E poi l’antivirus sul computer del visitatore: Kaspersky, ESET, Sophos, BitDefender, Webroot e altri avvisano o bloccano direttamente nel browser.
Tutti leggono da feed di threat intelligence: elenchi di domini classificati come phishing o malware. Se il vostro dominio finisce su alcune di quelle liste, ogni visitatore dietro uno di quei router, o con uno di quegli antivirus, vede una pagina di allarme al posto del vostro sito.
Il sito può essere impeccabile oggi e trovarsi comunque su quelle liste. Ecco perché.
Come un’attività legittima finisce su una lista di minacce
Tre strade tipiche:
1. Il dominio ha un passato. Un dominio online da anni può aver ospitato un vecchio sito violato in qualche momento, spesso senza che il proprietario l’abbia mai saputo. I siti violati vengono usati per ospitare pagine truffa, il dominio viene segnalato e la segnalazione sopravvive per anni alla bonifica. Le liste di minacce perdonano lentamente.
2. L’errore di un fornitore si propaga. I prodotti di sicurezza più piccoli acquistano le classificazioni da feed più grandi. Un solo falso positivo alla fonte può ripetersi in una mezza dozzina di fornitori “diversi” che rivendono gli stessi dati.
3. I filtri automatici sbagliano. Domini nuovi, moduli che sembrano pagine di accesso o un indirizzo condiviso con un cattivo vicino possono far scattare i classificatori automatici, senza alcuna revisione umana.
Niente di tutto questo richiede che abbiate fatto qualcosa di sbagliato.
Com’è andata su una Surmado Site
Una nostra cliente, agente immobiliare di Phoenix, ha spostato il suo sito su Surmado Sites quest’estate. Il suo dominio è prezioso: sedici anni di vita, ben conosciuto dai suoi clienti. In qualche punto di quei sedici anni, molto prima di Surmado, il vecchio sito su quel dominio è stato a quanto pare compromesso. I registri dei fornitori di sicurezza mostrano circa cento link dannosi storicamente associati al dominio. L’infezione era storia antica. Il danno alla reputazione no.
La settimana scorsa quel fardello è riemerso: undici fornitori di sicurezza segnalavano il dominio come “phishing”, e la sicurezza del router del suo fornitore di connessione bloccava il sito per buona parte della sua città.
E qui viene la parte che conta. Essendo una Surmado Site, era un problema nostro, non suo:
- Abbiamo confermato che il sito era sano e si caricava senza problemi da cinque paesi.
- Abbiamo ricondotto il blocco alla sicurezza del router, che leggeva liste di minacce obsolete.
- Abbiamo controllato tutto ciò che serviamo sul dominio e verificato che fosse impeccabile. Google Safe Browsing era d’accordo: pulito.
- Abbiamo presentato una correzione a ogni fornitore che manteneva ancora la vecchia segnalazione, chiedendo la categoria corretta: immobiliare.
La sua lista di cose da fare in tutto questo: vuota.
Controllate il vostro sito in 15 minuti
Passo 1: Confermate che il sito sia davvero online (2 min). Caricatelo sul telefono con il wifi spento. Poi provatelo su check-host.net, gratuito, che carica il sito da più paesi. Se il mondo vede il vostro sito e voi vedete un avviso, è un blocco di reputazione, non un guasto.
Passo 2: Cercate il dominio su VirusTotal (3 min). Cercate il vostro dominio su virustotal.com. Mostra i verdetti di circa 90 fornitori di sicurezza in un colpo solo. Sano vuol dire tutto verde. Un problema di reputazione somiglia a quello della nostra cliente: undici fornitori che dicono “Phishing” mentre gli altri dicono pulito.
Passo 3: Controllate Google Safe Browsing (2 min). Cercate il vostro URL nel Rapporto sulla trasparenza di Google. Se è Google stesso a segnalarvi, Chrome avvisa ogni visitatore, e la soluzione passa da Google Search Console.
Passo 4: Scoprite chi blocca localmente (5 min). La pagina di avviso di solito nomina il prodotto (“Advanced Security”, “eero Secure”). Questo vi dice quale lista conta di più, e l’app del router ha un’opzione “consenti questo sito” che lo sblocca subito sulla vostra rete.
Uscire dalle liste
Consentire il sito sul proprio router lo sistema solo per la propria rete. Ogni fornitore mantiene la propria lista, quindi la vera soluzione è presentare una segnalazione di falso positivo a ciascuno. Ripulire i feed principali di solito ripulisce anche i prodotti minori che ne rivendono i dati.
I canali, aggiornati al momento in cui scriviamo:
| Fornitore | Dove segnalare |
|---|---|
| Webroot / BrightCloud | Richiesta di modifica OpenText Threat Intelligence |
| Kaspersky | OpenTIP: cercate il dominio e chiedete una nuova analisi |
| ESET | E-mail a samples@eset.com con oggetto “False positive” |
| alphaMountain | Ticket di supporto (i loro dati alimentano molti altri strumenti) |
| BitDefender | Modulo per falsi positivi sul sito di supporto |
| Sophos | Invio dell’indirizzo web sul portale di supporto |
In ogni segnalazione: dite chiaramente cos’è l’attività, che il sito non raccoglie password né dati di pagamento e, se il dominio ha un passato, che il sito attuale è una ricostruzione completa. Chiedete un riesame e la categoria corretta.
I fornitori di norma rispondono entro una settimana. Router e fornitori di connessione adottano le liste aggiornate subito dopo. Mettete in conto da una a tre settimane per il recupero completo.
Cosa c’entra Surmado Sites
Ogni Surmado Site è costruita come i revisori di sicurezza vorrebbero tutti i siti: nessuna pagina di accesso, nessun database, nessun componente aggiuntivo in cui gli attaccanti possano introdursi. Le cose che facevano violare i vecchi siti, e segnalare i vecchi domini, qui semplicemente non esistono.
E quando l’idraulica di internet fa comunque i capricci, come una segnalazione di sedici anni fa che riaffiora dal nulla, trovarla e sistemarla fa parte del servizio. Il vostro lavoro è mandare avanti la vostra attività. La pagina rossa di avviso è affar nostro.