I limiti della riscrittura delle URL contro il phishing
La riscrittura delle URL al momento del clic è una delle funzioni di sicurezza della posta più fidate: ogni link viene sostituito con una URL del gateway, così la destinazione può essere ricontrollata nell'istante in cui un utente clicca. Coglie una grande quantità di phishing e vale la pena averla. Ma non è la rete di sicurezza che molti team credono, e capirne i punti ciechi mantiene oneste le aspettative — e le difese.
Come funzionano la riscrittura delle URL e la scansione dei link
Quando la posta arriva, il gateway riscrive i link per instradarli attraverso il proprio servizio di scansione:
Originale : https://example.com/doc
Riscritto : https://urldefense.example/v3/__https://example.com/doc__;!!TOKEN
Al momento del clic l'utente raggiunge prima il gateway, che valuta la destinazione — reputazione, detonazione in sandbox, analisi del contenuto — e permette il clic, avvisa o blocca. La premessa è solida: controllare il link quando conta, non solo alla consegna. Il problema è che un aggressore determinato controlla proprio ciò che viene controllato.
Perché è imperfetta
Lo scanner è un visitatore noto e distinguibile
La riscrittura funziona solo se il gateway segue il link, e quel recupero appare diverso dal browser di una vittima reale. Gli aggressori rilevano lo scanner e gli servono qualcosa di pulito.
- Cloaking. Il server ispeziona user-agent, ASN e pattern di richiesta, e mostra ai visitatori automatici una pagina innocua mentre mostra alle vittime la pagina di phishing.
- Geofencing. La pagina si attiva solo per intervalli IP corrispondenti al Paese o all'organizzazione del bersaglio; gli IP dello scanner in cloud ricevono una risposta innocua.
- Barriere CAPTCHA e di interazione. Un CAPTCHA, un «clicca per continuare» o un cookie richiesto ferma un crawler automatico prima che raggiunga il payload — ma un umano passa senza intoppi.
Scanner del gateway → CAPTCHA / pagina innocua → verdetto: pulito
Vittima umana → risolve la barriera → pagina credenziali attiva
Il link cambia dopo essere stato giudicato
Persino una scansione perfetta è un'istantanea.
- Armamento ritardato. La URL punta a una pagina innocua quando viene scansionata, poi passa al payload di phishing. Il verdetto è già in cache.
- Link monouso. Un token nella URL si brucia dopo una visita. Se lo spende lo scanner, la pagina mostra un 404 innocuo — e la vittima, che arriva con un token fresco, ottiene la pagina attiva. Se lo spende prima la vittima, un investigatore successivo vede solo il 404.
Le catene di redirect ripuliscono la destinazione
Il link riscritto può puntare a un dominio reputato che semplicemente inoltra: un redirect aperto, un accorciatore di URL, un tracker di marketing legittimo o una catena di salti che finisce su infrastruttura appena registrata. Gli scanner seguono un numero limitato di salti, e la destinazione finale può essere sostituita o protetta con barriere indipendentemente dal primo.
L'hosting fidato resiste al blocco
Quando la destinazione è SharePoint, Google Drive o un dominio con facciata Cloudflare, un verdetto pulito è spesso corretto sul momento — il file o la pagina sono davvero ospitati lì — eppure il contenuto è l'esca. Lo scanner non può bloccare la piattaforma in blocco.
La riscrittura controlla un link ai termini dell'aggressore. Chi controlla la destinazione controlla ciò che lo scanner vede, e può cambiarlo dopo che il verdetto è emesso.
Difesa in profondità
La riscrittura delle URL dovrebbe essere uno strato tra molti, prezioso ma mai portante da solo:
- MFA resistente al phishing (FIDO2/passkey) perché nemmeno un link che raggiunge una pagina credenziali attiva possa produrre un login utilizzabile.
- Protezioni di endpoint e browser che valutano la pagina così com'è renderizzata, dopo tutti i redirect e le barriere.
- Monitoraggio dei domini appena registrati e della certificate transparency per accorciare i tempi di reazione sull'infrastruttura simile.
- Uno strato umano formato e che segnala — il controllo che giudica la pagina così come è stata davvero consegnata, proprio dove la scansione automatica è stata ingannata.
L'obiettivo non è diffidare della riscrittura, ma smettere di trattare un verdetto al momento del clic come prova di sicurezza. È un input probabilistico, e gli attacchi progettati per passarlo sono proprio quelli che i vostri altri strati esistono per cogliere.
Come aiuta GottaPhish
La riscrittura delle URL al momento del clic coglie molto, ma non è la rete di sicurezza che molti team credono: cloaking, pagine con barriere, link monouso e catene di redirect ingannano abitualmente la scansione automatica, così lo strato di scansione dei link da solo lascia sempre lacune. GottaPhish e il suo team di esperti vi mostrano cosa la riscrittura delle URL ferma davvero — e cosa manca — tramite simulazioni autorizzate e pienamente verificate che riproducono in sicurezza proprio quelle tecniche, dandovi dati per utente e per reparto su chi raggiunge la pagina e chi la segnala. I nostri esperti vi aiutano a disegnare gli scenari, distribuire le campagne e interpretare i cruscotti, così la prova affina le vostre priorità di difesa in profondità. Il risultato trasforma il vostro personale in un'affidabile ultima linea di rilevamento dove la scansione automatica può essere ingannata.