Un sito falso copia il tuo marchio per truffare i clienti: cosa fare

Cosa fare nelle prime 48 ore

1. Salva le prove

   Schermate di ogni pagina con data e ora visibili, indirizzo completo, copia della pagina, dati WHOIS del dominio, messaggi dei clienti.

2. Avvisa i clienti

   Un avviso in evidenza sul tuo sito e un’email ai clienti: il tuo indirizzo vero e i tuoi metodi di pagamento.

3. Segnala a chi può spegnere il sito

   Hosting, registrar, Google Safe Browsing, Microsoft. Se il sito è pubblicizzato sui social, anche alla piattaforma.

4. Fai denuncia

   Alla Polizia Postale o a qualunque ufficio di polizia, con le prove. Invita anche i clienti truffati a denunciare.

5. Controlla la tua posta

   Se arrivano email false con il tuo dominio, fai sistemare SPF, DKIM e DMARC.

6. Decidi il passo successivo

   Recuperare il dominio, registrare il marchio, valutare con un avvocato un’azione se sai chi c’è dietro.

Come ti accorgi che qualcuno usa il tuo nome

• Clienti che chiamano per un ordine mai arrivato, un pagamento che non risulta, un’offerta che non hai mai fatto.
• Ricerche del tuo nome: cerca ogni tanto il nome dell’azienda con parole come «offerte», «outlet», «saldi». Molti cloni compaiono come annunci a pagamento in cima ai risultati.
• Allerta su domini simili: esistono servizi che avvisano quando viene registrato un dominio o emesso un certificato con un nome simile al tuo. Un tecnico può impostarli in poco tempo.
• Email false: risposte a messaggi che non hai mandato, rimbalzi di email sconosciute, rapporti DMARC che mostrano invii a tuo nome da server estranei.
• Profili social con il tuo logo che fanno pubblicità o rispondono ai tuoi clienti nei commenti.

Raccogliere le prove prima che il sito sparisca

Fallo prima di segnalare: quando il sito viene chiuso, le prove spariscono con lui.

• Schermate della home, delle pagine prodotto, del carrello e della pagina di pagamento, con l’indirizzo completo e l’orologio del computer visibili.
• Copia della pagina: salvala dal browser come pagina completa o come PDF.
• Dati del dominio: con una ricerca WHOIS o RDAP annota data di registrazione, registrar e contatto per gli abusi. I dati del titolare sono quasi sempre nascosti, ma registrar e data servono.
• Hosting: un tecnico ricava dall’indirizzo IP chi ospita il sito e a chi scrivere.
• Testimonianze dei clienti: email ricevute, IBAN indicati per il pagamento, ricevute, chat.

Se pensi di fare causa, valuta con un avvocato un’acquisizione certificata, fatta da un tecnico con strumenti che garantiscono data e integrità: in giudizio pesa più delle schermate.

A chi segnalare per far chiudere il sito

Scrivi segnalazioni brevi e precise: «Il sito all’indirizzo… imita il sito ufficiale di Rossi Arredamenti srl (esempio.it) e raccoglie pagamenti dai nostri clienti. Allego schermate e una segnalazione di un cliente truffato». Annota data e numero di ogni pratica e rinnova la segnalazione se non succede nulla dopo due o tre giorni.

Se il dominio falso è un .it: opposizione e riassegnazione

Il Registro .it non chiude i siti per phishing, ma ha due strumenti per chi ha un diritto sul nome.

1. Opposizione: una richiesta firmata, inviata anche via email al Registro, in cui spieghi quale diritto viene leso (marchio, ragione sociale, nome). Il dominio diventa «contestato» e non può più essere ceduto ad altri. Vale 180 giorni e si può rinnovare.
2. Riassegnazione: dopo l’opposizione, ti rivolgi a uno dei prestatori accreditati dal Registro. Devi dimostrare di avere un diritto sul nome, che il titolare non ne ha alcuno e che ha registrato e usato il dominio in malafede. Il titolare ha 25 giorni per rispondere, poi l’esperto decide di regola entro 15 giorni. Le tariffe le fissa ciascun prestatore.

Con la riassegnazione ottieni solo il trasferimento del dominio, non un risarcimento.

Se è un .com o un altro dominio generico: la procedura UDRP

Per .com, .net, .shop e gli altri domini generici c’è la procedura internazionale UDRP, gestita da centri come quello dell’OMPI (WIPO). Le condizioni sono simili: dominio uguale o confondibile con il tuo marchio, nessun diritto del titolare, registrazione e uso in malafede.

• Costo presso l’OMPI: 1.500 dollari con un esperto e 4.000 con tre, per 1-5 domini dello stesso titolare, più l’eventuale avvocato.
• Tempi: di regola qualche settimana; dal 2026 c’è anche un servizio accelerato a pagamento.
• In pratica serve un marchio: con il solo nome commerciale non registrato è molto più difficile.

Per un sito di phishing «mordi e fuggi» conviene prima la segnalazione al registrar. La UDRP ha senso quando il dominio resta attivo o vuoi sottrarlo ai truffatori.

Il marchio registrato: lo strumento più forte

Con un marchio registrato le piattaforme ti danno accesso ai moduli per la violazione del marchio, e le procedure sui domini diventano molto più semplici.

• Marchio italiano, all’Ufficio italiano brevetti e marchi (UIBM): tassa di 101 euro per una classe di prodotti o servizi, 34 euro per ogni classe in più, più il bollo. Dura 10 anni e si rinnova.
• Marchio dell’Unione europea, all’EUIPO: 850 euro online per una classe, valido in tutti i Paesi dell’Unione.
• Il Codice della proprietà industriale vieta di usare come nome a dominio un segno uguale o simile al marchio altrui, e permette al giudice di ordinare in via d’urgenza lo stop all’uso del dominio e il suo trasferimento provvisorio.

Prima del deposito conviene una ricerca di anteriorità: un consulente in proprietà industriale o un avvocato ti dice se il nome è registrabile.

Avvisare i clienti senza spaventarli

• Una pagina sul tuo sito, linkata dalla home: qual è l’unico indirizzo ufficiale, come si paga davvero, cosa non chiedete mai.
• Un’email ai clienti, breve, senza link da cliccare se non al tuo sito.
• Un post sui tuoi profili social, da tenere in evidenza.
• Una risposta pronta per chi telefona: verificare l’ordine, dire di chiamare subito la banca se ha pagato e di fare denuncia.

Email false e varianti del dominio

Se i truffatori mandano email che sembrano partire dal tuo indirizzo, la difesa sono tre impostazioni del dominio, SPF, DKIM e DMARC: con DMARC su «reject» i grandi servizi di posta rifiutano le email false a tuo nome. Come configurarli senza bloccare la posta vera lo spiega le tue email finiscono nello spam. DMARC però non ferma le email da un dominio simile al tuo: lì servono segnalazioni e avvisi ai clienti. Se invece le email partono davvero dalla tua casella, qualcuno ci è entrato: segui account violato: cosa fare subito.

Per prevenire, registra in anticipo le varianti principali: .it, .com, .eu, con e senza trattino, gli errori di battitura più ovvi. Costano pochi euro l’anno e possono rimandare al sito vero.

Aspetti legali in breve e quando serve un avvocato

• Concorrenza sleale (articolo 2598 del codice civile): usare nomi o segni che creano confusione con quelli di un’altra impresa. Si può chiedere lo stop e il risarcimento.
• Contraffazione del marchio, civile e penale, se il marchio è registrato.
• Truffa e frode informatica ai danni dei clienti, che sono le vittime dirette.
• Sostituzione di persona (articolo 494 del codice penale): presentarsi con il nome di un altro per ingannare.

Spesso i truffatori sono all’estero e irraggiungibili: allora contano le segnalazioni e la denuncia. Un avvocato serve se sai chi c’è dietro, per esempio un ex collaboratore o un concorrente, se il danno è rilevante o se vuoi un provvedimento d’urgenza dal giudice.

Se i clienti hanno inserito i loro dati

Se i clienti hanno dato i loro dati a un sito che non è tuo, di regola non è una violazione dei tuoi sistemi. Ma se i truffatori conoscevano nomi, ordini o email dei tuoi clienti, è probabile una fuga di dati da te o da un fornitore: in quel caso può scattare la notifica al Garante entro 72 ore. Leggi data breach: cosa fare nelle prime 72 ore. Se il sito clone usa testi rubati da un tuo sito violato, controlla anche sito WordPress hackerato.

Un esempio concreto

Rossi Arredamenti srl ha il sito esempio.it. Un lunedì due clienti telefonano: hanno pagato con bonifico un divano in offerta su «esempio-outlet.com» e non hanno più notizie.

• Il titolare, Marco, salva schermate e copia delle pagine: il dominio è stato registrato nove giorni prima, i testi e le foto sono copiati dal suo sito.
• Segnala il sito al registrar e all’hosting, a Google Safe Browsing e a Microsoft. Mette un avviso sulla home e manda un’email ai clienti.
• Fa denuncia e invita i due clienti a fare lo stesso, con l’IBAN usato per i bonifici.
• Dopo tre giorni il browser mostra l’avviso rosso; dopo una settimana il dominio è sospeso. Marco registra il marchio e le varianti principali del dominio.

Cosa fa il tecnico su Intervento

Descrivi cosa hai trovato e incolla l’indirizzo del sito falso. L’orientamento gratuito ti dice da dove partire; l’Analisi legge in automatico le schermate e i dati del dominio. Con l’Esperto un tecnico informatico verificato ti risponde per iscritto: chi ospita il sito, a quali indirizzi abuse scrivere, cosa allegare, come controllare SPF, DKIM e DMARC. Con il livello Soluzione, su preventivo, prepara e invia le segnalazioni, imposta il monitoraggio dei domini simili e mette in sicurezza la posta. Per la diffida o un’azione in tribunale serve un avvocato, che trovi nel settore Legale.