Un dominio può essere segnalato per phishing anche se il sito è pulito

Monitoro Search Console su balloriani.com come farei per un cliente: è da lì che arrivano gli avvisi di sicurezza di Google, prima ancora che se ne accorga chi visita il sito. Un mattina è arrivato uno dei peggiori possibili: “Possibile phishing rilevato all’accesso dell’utente”.

Il sito non ha moduli di accesso né campi dove inserire una password: non c’era niente da verificare lì. La causa era altrove, sotto lo stesso nome a dominio.

Perché un dominio può essere segnalato per qualcosa che non è il sito

Un dominio non è solo il sito che vedi su www. Può ospitare più indirizzi diversi (sottodomini), ognuno con un proprio servizio, ma tutti sotto lo stesso nome. Google valuta la sicurezza a livello di dominio: se un servizio collegato sotto quel nome mostra un comportamento sospetto, l’avviso può estendersi anche se il sito principale è ineccepibile.

Nel mio caso la causa è stata individuata in poche ore: un servizio secondario, ad uso personale, aveva una pagina di accesso con una password non più univoca, riconosciuta da Chrome come già associata a un altro account. Google interpreta questo schema come un possibile tentativo di raccogliere credenziali, e segnala la pagina come sospetta.

Cosa fare quando succede

Il percorso corretto è breve, ma va seguito con ordine:

1. Isolare la causa: capire quale indirizzo, tra quelli sotto il dominio, ha generato l’avviso, e verificare che il sito principale non sia coinvolto.
2. Correggere: rendere univoca ogni password esposta online, attivare l’autenticazione a due fattori dove manca.
3. Richiedere l’esame a Google tramite Search Console, documentando la causa e la correzione.

Nel mio caso la richiesta è stata accolta: falso positivo confermato, avviso rimosso nel giro di pochi giorni.

Perché conta anche per chi non gestisce server propri

Non serve un dominio con sottodomini per essere esposti a questo meccanismo: vale ogni volta che un pannello (hosting, email, CMS) condivide una password con un altro account. Se quell’account viene compromesso altrove, il problema si presenta sul tuo dominio, non dove la password è stata sottratta.

Due accorgimenti evitano quasi sempre lo scenario: una password diversa per ogni servizio collegato al dominio (un gestore di password la rende indolore) e l’autenticazione a due fattori ovunque sia disponibile, in particolare sull’account email e su quello che amministra il sito. È lo stesso controllo che consiglio a chi mi chiede di valutare la sicurezza del proprio sito.