APWG ha registrato 971.181 attacchi di phishing solo nel primo trimestre del 2026 — il 13,8% in più rispetto al trimestre precedente. E nel gennaio 2026, Google ha smantellato quella che ha definito una delle più grandi reti di proxy residenziali al mondo, dopo aver scoperto che oltre 550 gruppi di minaccia vi facevano passare il traffico in una sola settimana. Insomma, i proxy stanno su entrambi i fronti della battaglia contro il phishing.
È proprio questa la tensione che la maggior parte degli articoli su “proxy e phishing” lascia fuori. O ti raccontano che i proxy sono uno scudo (compra il nostro proxy e sei al sicuro) oppure ti avvertono che sono l’arma degli attaccanti (panico totale). La realtà, però, è molto più sfumata — e anche più interessante.
Gli attaccanti sfruttano l’infrastruttura proxy per mascherare la propria origine, ruotare tra IP affidabili e rubare sessioni già autenticate — perfino dopo la MFA. I difensori, invece, usano i proxy per analizzare in modo sicuro i link sospetti, controllare cosa mostrano le pagine di phishing in diversi Paesi e filtrare il traffico malevolo prima che arrivi ai propri siti. Questa guida copre entrambe le facce della medaglia e poi ti mostra un flusso di lavoro concreto che puoi davvero mettere in piedi. Niente chiacchiere, niente soluzioni miracolose.
- Difficoltà: Intermedio
- Tempo richiesto: circa 25 minuti per lettura e pianificazione; l’implementazione varia in base al passaggio
- Cosa ti serve: una conoscenza di base dell’infrastruttura web della tua organizzazione, accesso alle impostazioni DNS del dominio, un browser Chrome (per i passaggi con Thunderbit) e, facoltativamente, un account presso un provider di proxy
Che cos’è il phishing e perché dovrebbe interessare alla tua azienda?
Il phishing è un attacco basato sull’inganno. I criminali usano email, SMS, pagine di login false, codici QR o siti contraffatti per convincere le persone a cedere credenziali, approvare un accesso, installare malware o trasferire denaro.
Non si parla più solo del classico “messaggio email sospetto”. Il phishing moderno include pagine ospitate nel cloud, falsi flussi di accesso a Microsoft 365, codici QR e furto di token di sessione.
Per le aziende, le conseguenze sono molto concrete. Il report IBM 2025 sul costo di una violazione dei dati indica un costo medio globale di 4,4 milioni di dollari. Il 2025 Internet Crime Report dell’FBI dice che IC3 ha ricevuto circa 453.000 denunce di frodi abilitate dal cyberspazio, con perdite dichiarate superiori a 17,7 miliardi di dollari, e il business email compromise (BEC) da solo pesa per oltre 3 miliardi.
Furto di credenziali, frodi nei bonifici, compromissione della supply chain, sanzioni regolatorie: il phishing tocca tutto questo.
Quello che segue spiega come i proxy si inseriscono sia nello scenario d’attacco sia in quello difensivo, e come dovrebbe apparire una difesa stratificata e realistica.
La doppia natura dei proxy: il tuo scudo e l’arma degli attaccanti
Un proxy è un intermediario tra il tuo dispositivo e Internet. Invece di vedere il tuo vero indirizzo IP, un sito vede quello del proxy. È un po’ come un servizio di inoltro postale: chi riceve la lettera vede l’indirizzo di inoltro, non quello di casa tua.
Questa stessa caratteristica crea il problema del doppio uso. I team di sicurezza usano i proxy per indagare sulle minacce senza esporre l’IP aziendale o la workstation dell’analista. Gli attaccanti usano la stessa tecnologia per far sembrare il traffico malevolo come se arrivasse da utenti normali, da altri Paesi o da reti residenziali considerate affidabili. L’analisi di Barracuda dell’aprile 2026 lo dice chiaramente: gli IP residenziali sembrano autentici perché sono legati a connessioni reali domestiche o di piccole imprese, quindi i sistemi antifrode li segnalano molto meno spesso.
La maggior parte degli articoli concorrenti racconta solo una delle due facce. E così il lettore si ritrova con un quadro incompleto — e con difese incomplete.
Come gli attaccanti usano i proxy contro di te
Per chi difende un’azienda, contano soprattutto tre vettori: anonimato e rotazione degli IP, abuso di proxy residenziali ed elusione tramite piattaforme affidabili.
Phishing AiTM (Adversary-in-the-Middle) spiegato
AiTM è l’attacco che manda in crisi l’idea “la MFA ci protegge” (spoiler: la MFA tradizionale non lo ferma).
In un attacco AiTM, l’aggressore inserisce un reverse proxy tra la vittima e una pagina di login legittima — per esempio Microsoft 365. L’utente vede quello che sembra un normale flusso di accesso. Inserisce le credenziali, completa la MFA e il vero provider di identità rilascia un cookie di sessione. Ma siccome tutto il traffico passa attraverso il proxy dell’attaccante, quest’ultimo intercetta quel cookie. A quel punto può riutilizzarlo per entrare nell’account — senza conoscere la password e senza superare un nuovo prompt MFA.
L’analisi di Microsoft su Tycoon2FA, uno dei principali kit di phishing AiTM, mostra che gli operatori possono imitare le pagine di accesso di Microsoft 365, Outlook, SharePoint, OneDrive e Google. Il kit genera PDF e QR code, gestisce catene di redirect e tiene traccia dell’uso della MFA e della cattura dei cookie di sessione. La sua infrastruttura usa sottodomini di breve durata e hosting su Cloudflare per rendere più difficile il lavoro delle blacklist.
Non stiamo parlando di teoria. I kit AiTM vengono sfruttati attivamente su larga scala e sono il motivo principale per cui “abbiamo la MFA” non basta come risposta al phishing.
Abuso di proxy residenziali e rotazione degli IP
Le reti di proxy residenziali fanno passare il traffico degli attaccanti attraverso veri IP domestici, facendo sembrare legittime le richieste di phishing e aggirando i controlli antifrode basati sugli indirizzi IP. Molti provider non verificano in modo rigoroso l’uso reale dei loro IP, creando di fatto un mercato grigio.
L’esempio più concreto: nel gennaio 2026, Google Threat Intelligence Group ha interrotto la rete di proxy residenziali IPIDEA, riducendone di milioni il bacino di dispositivi disponibili. GTIG ha osservato oltre 550 gruppi di minaccia diversi usare nodi di uscita IPIDEA in un solo periodo di sette giorni. L’indagine ha trovato sovrapposizioni con botnet, abuso di accessi SaaS, attacchi password spray e attori di spionaggio a livello globale. Molte implementazioni SDK del proxy non prevedevano un consenso esplicito e chiaro dell’utente.
L’avviso dell’FBI del 2026 sui proxy residenziali elenca phishing, accessi con credenziali rubate, brute force, takeover di account, spam e offuscamento dei server C2 tra gli usi criminali.
Hosting su piattaforme affidabili ed elusione dei kit di phishing
Un’altra tecnica di evasione consiste nell’ospitare le pagine di phishing su piattaforme affidabili — SharePoint, Google Docs, Azure Blob Storage — sfruttandone la reputazione del dominio. L’analisi di Microsoft sulle minacce ad Azure Blob Storage mostra che gli attaccanti lo usano per ospitare pagine di accesso Microsoft contraffatte, rendendole più difficili da riconoscere come malevole basandosi solo sui certificati.
I kit di phishing usano anche logiche di elusione. L’analisi di Cofense sui kit di phishing documenta filtri basati sulla geolocalizzazione, su user-agent e lingua, CAPTCHA, rilevamento degli strumenti per sviluppatori e redirect verso pagine legittime. Se un visitatore non corrisponde al profilo della vittima prevista — Paese sbagliato, browser sbagliato o presenza di uno scanner di sicurezza — la pagina mostra contenuti innocui o un 404.
Una scansione da un singolo IP aziendale o da un datacenter cloud non vedrà queste pagine. Il kit è progettato proprio per nascondersi da te.
Come i difensori usano i proxy per reagire
Sul fronte difensivo, i proxy svolgono quattro funzioni pratiche:
-
Scansione anonima di URL e domini. Inoltra i link sospetti attraverso un proxy controllato, così il sito di destinazione vede l’IP del proxy e non il laptop di un dipendente o la rete aziendale. Questo riduce l’esposizione diretta e crea un processo di indagine ripetibile.
-
Raccolta di threat intelligence. Usa proxy rotanti per fare crawling di infrastrutture di phishing, elenchi di domini, feed pubblici di minacce o sorgenti di domini appena registrati, senza essere bloccato dopo poche richieste. (Sempre nel rispetto della legge e dei termini di servizio.)
-
Rilevamento di phishing distribuito geograficamente. Usa proxy in più regioni per vedere se un URL sospetto si comporta in modo diverso da Stati Uniti, UE, APAC o da un altro mercato target. Così individui i kit che usano geofencing o filtri su user-agent — le stesse tecniche di evasione citate sopra.
-
Deploy di reverse proxy / WAF. I reverse proxy si collocano davanti ai tuoi domini. Non impediscono ai dipendenti di cliccare link di phishing in uscita, ma proteggono le proprietà web dell’azienda da traffico bot, credential stuffing, payload malevoli e pattern di traffico abusivo.
Perché la sola MFA non basta contro il phishing basato su proxy
Ho visto questa discussione ripetersi in decine di forum IT: “Abbiamo la MFA, quindi siamo coperti”. I sistemisti che hanno davvero gestito un incidente AiTM hanno una visione molto diversa.
Il meccanismo è semplice. La vittima completa la MFA su quello che sembra un flusso di login autentico. Il vero provider di identità emette un token di sessione. L’attaccante intercetta quel token tramite il proprio reverse proxy.
L’autenticazione è andata a buon fine — ma ora l’attaccante controlla la sessione. Reimpostare la password potrebbe non bastare se restano attive sessioni aperte e modifiche MFA imposte dall’aggressore. Microsoft afferma esplicitamente che le organizzazioni colpite devono revocare i cookie di sessione e annullare le modifiche MFA apportate dall’attaccante, oltre alla normale remediation.
Codici SMS, app OTP, approvazioni push: tutto può essere sottratto con il phishing se l’utente lo completa all’interno di un flusso controllato dall’attaccante. La MFA ha fatto il suo lavoro. Il problema è che l’aggressore stava osservando tutto.
Cosa ferma davvero il phishing AiTM
FIDO2 / passkey. La FIDO Alliance spiega che le passkey sono resistenti al phishing per progettazione: niente password da rubare, niente credenziali riutilizzabili. La coppia di chiavi crittografiche è vincolata all’origine del dominio legittimo, quindi il proxy dell’attaccante non può semplicemente replicare la challenge. CISA conferma che FIDO e PKI sono gli unici metodi MFA non proprietari ampiamente disponibili che impediscono il phishing delle credenziali.
Autenticazione basata su certificati. Soluzione di livello enterprise, più complessa da implementare, ma altrettanto resistente al phishing perché si basa su certificati del dispositivo e non su codici inseriti dall’utente.
Policy di Conditional Access. Negli ambienti Microsoft, Conditional Access può richiedere dispositivi conformi, posizioni affidabili, controlli basati sul rischio o un livello di autenticazione resistente al phishing — riducendo il valore di un token di sessione rubato anche se l’attaccante ne ottiene uno.
Tutti questi elementi sono complementari ai proxy, non sostitutivi. L’obiettivo è costruire strati.
Opzioni pratiche per le PMI con budget limitato
L’obiezione più ovvia è: “Intune, MDM, chiavi hardware — roba da budget enterprise”. Vero. Ecco una strada più accessibile:
- Passkey nel browser. La maggior parte dei browser moderni supporta nativamente le passkey. Nessun acquisto hardware necessario. Parti dagli account di amministrazione, finanza e HR.
- Implementazione DMARC gratuita. I record SPF, DKIM e DMARC sono gratuiti da pubblicare. Google Workspace e Microsoft 365 offrono guide di configurazione integrate.
- Registrazione difensiva dei domini. Registra i domini con errori comuni di battitura e quelli che imitano il tuo brand. La maggior parte dei registrar chiede 10–15 dollari l’anno per dominio. Imposta la policy DMARC su reject per ciascuno.
- Formazione mirata. Concentrati sulle esche AiTM: falsi login Microsoft 365, condivisioni documenti false, QR code, truffe con device code e flussi “urgenti” di pagamenti o fornitori.
Pensa a questo approccio come a un “parti da qui, poi migliora”. Anche un’adozione parziale riduce parecchio il rischio.
Quale tipo di proxy funziona meglio per evitare il phishing?
Tipi diversi di proxy servono a obiettivi diversi in ambito anti-phishing, e scegliere quello sbagliato significa buttare soldi o creare punti ciechi.
| Tipo di proxy | Caso d’uso anti-phishing migliore | Vantaggi | Svantaggi | Livello di costo |
|---|---|---|---|---|
| Datacenter | Scansione massiva di URL, monitoraggio domini | Veloce, economico, alto volume | Facile da rilevare per kit di phishing sofisticati | Basso |
| Residenziale | Rilevamento di phishing geotargettizzato, test dal punto di vista dell’utente | Sembra traffico reale, aggira i blocchi geografici | Più lento, più costoso, forti dubbi etici sulla provenienza | Alto |
| Rotante | Raccolta threat intelligence, monitoraggio continuo | Evita i ban IP durante sessioni di crawling lunghe | Setup più complesso, latenza variabile | Medio |
| Reverse Proxy / WAF | Difesa delle tue proprietà web | Filtra minacce in ingresso, rileva bot, protezione DDoS | Non aiuta a rilevare phishing in uscita | Medio |
Nota sulla provenienza etica. Il caso Google/IPIDEA e l’avviso dell’FBI chiariscono che le reti di proxy residenziali possono essere costruite da dispositivi compromessi, SDK ingannevoli, termini VPN nascosti o malware. Prima di acquistare traffico proxy residenziale, chiedi al provider consenso trasparente degli utenti, meccanismi di opt-out, possibilità di audit e gestione degli abusi. I provider già segnalati in ricerche di sicurezza (PacketStream, il non più attivo 911 Proxy) vanno trattati con estrema cautela.
Per la maggior parte delle piccole e medie imprese, conviene partire con proxy datacenter per le scansioni di massa e un reverse proxy/WAF per i propri domini. Aggiungi proxy residenziali solo se ti servono test geotargettizzati e se puoi verificare il provider in modo approfondito.
Passo dopo passo: come evitare il phishing con i proxy (flusso di lavoro pratico)
La maggior parte degli articoli si ferma alla teoria. Ogni passaggio qui sotto include un suggerimento di strumento e abbastanza dettaglio da poterlo consegnare al tuo team IT o seguire direttamente.
Passo 1: monitora i domini somiglianti appena registrati
Gli attaccanti registrano domini che somigliano al tuo prima di lanciare le campagne: thunderb1t.com, thunderbit-login.com, thunderbit-support.net.
Scoprirli presto è una delle azioni difensive con il miglior rapporto valore/effort.
Come fare:
- Crea una watchlist con i termini del tuo brand, i nomi dei prodotti, i nomi dei dirigenti e parole legate al login (per esempio “login”, “portal”, “invoice”, “payment”).
- Interroga ogni giorno i log Certificate Transparency (CT) con crt.sh, che consente di cercare i certificati per dominio o nome dell’organizzazione. I log CT devono includere i certificati emessi da autorità pubblicamente affidabili, quindi i nuovi certificati per domini che imitano il tuo appariranno lì.
- Segnala i domini con una distanza di modifica ridotta rispetto al tuo brand, TLD sospetti (.xyz, .top, .click) o parole chiave legate a login/pagamenti.
- Visualizza le pagine segnalate tramite un proxy o un sandbox — mai dal browser di un dipendente.
Integrazione con Thunderbit: l’API di estrazione batch di Thunderbit può processare fino a 100 URL sospetti per job, usando renderMode: "full" per renderizzare cloni di phishing ricchi di JavaScript. Definisci uno schema JSON per i dati che vuoi ottenere — titolo della pagina, presenza di un modulo di login, dominio dell’action del form, emittente SSL, catena di redirect, URL finale. La corrispondente CLI si integra bene in un monitoraggio basato su cron:
thunderbit batch extract --file suspicious-urls.txt --schema phishing-signals.json --render-mode full
Per gli utenti non tecnici, anche l’estensione Chrome di Thunderbit può essere usata per estrarre e rivedere rapidamente pagine sospette in un paio di clic — utile quando devi solo dare un’occhiata a pochi URL invece di avviare una pipeline programmata.
Risultato atteso: un report giornaliero o settimanale dei domini somiglianti appena registrati con metadati strutturati, pronto per il triage.
Prova Thunderbit per analizzare URL sospetti
Passo 2: instrada i link sospetti attraverso proxy datacenter
Prima che qualcuno della tua organizzazione clicchi un link sospetto, analizzalo attraverso un percorso controllato. L’IP esposto sarà quello del proxy, non quello del dispositivo del dipendente o della rete aziendale.
Come fare:
- Per controlli rapidi, usa urlscan.io (un sandbox web che ti permette di scegliere il Paese di scansione) oppure VirusTotal (analizza gli URL confrontandoli con decine di prodotti antivirus e blacklist).
- Per script interni o analisi ad alto volume, instrada le richieste attraverso un proxy datacenter:
curl -x http://proxy.example.com:8080 -I "https://suspicious.example"
- Per pagine di phishing in tempo reale, usa una VM usa e getta o un browser sandbox. Disabilita l’inserimento di credenziali. Raccogli la catena di redirect, il titolo della pagina, la destinazione finale, i post dei form, gli script e gli screenshot.
- Non inserire mai credenziali aziendali reali. E tratta con cautela le scansioni pubbliche — alcuni servizi espongono gli URL inviati se non sono configurati come privati o non elencati.
Risultato atteso: una valutazione sicura della destinazione del link, del suo comportamento e dei relativi indicatori — senza esporre nulla dell’azienda.
Passo 3: usa proxy distribuiti geograficamente per scoprire campagne mirate
Alcuni kit di phishing mostrano contenuti malevoli solo ai visitatori provenienti da un certo Paese o da un certo set di lingua/browser. Cofense documenta che il filtro geolocalizzato è molto usato: i visitatori della regione “sbagliata” vedono una pagina innocua o un 404, mentre il pubblico target riceve il form per rubare le credenziali.
Come fare:
- Testa i link sospetti dalle regioni in cui operano davvero dipendenti, clienti e team finance. Se la tua azienda è basata negli Stati Uniti ma ha un ufficio nel Regno Unito, fai test da entrambe le aree.
- Confronta URL finali, screenshot, titoli delle pagine, form e codici di risposta HTTP per ciascuna regione.
- Ruota user-agent e impostazioni della lingua quando indaghi su esche via QR code o pensate per mobile — alcuni kit filtrano anche su questi parametri.
- Escala gli URL che mostrano contenuti innocui in una posizione ma form di login in un’altra. È un forte segnale di phishing.
Risultato atteso: identificazione di campagne geotargettizzate che un approccio di scansione da una sola sede non vedrebbe mai.
Passo 4: implementa un reverse proxy o un WAF per i tuoi domini
È il momento di passare dal rilevamento in uscita alla difesa in ingresso. I reverse proxy e i WAF si collocano davanti alle tue proprietà web e ispezionano il traffico in entrata prima che raggiunga i server.
Come fare:
- Punta il DNS del tuo dominio verso un provider di reverse proxy. Cloudflare è l’opzione più accessibile per le PMI — DNS, CDN, WAF e regole convivono in un’unica interfaccia. Per applicazioni ospitate su AWS, AWS WAF funziona bene se usi già CloudFront, ALB o API Gateway.
- Abilita le regole WAF gestite. Bloccano IP malevoli noti, filtrano il traffico bot e rilevano pattern di credential stuffing.
- Attiva i limiti di richiesta per login, reset password e moduli di contatto.
- Aggiungi regole bot o challenge sugli endpoint ad alto rischio.
- Monitora gli eventi WAF ogni settimana — non impostarlo e dimenticarlo.
Risultato atteso: il traffico malevolo in ingresso viene filtrato prima di raggiungere i server. I tentativi di credential stuffing contro le pagine di login vengono bloccati o sottoposti a challenge.
Passo 5: automatizza e programma il monitoraggio continuo
Il phishing non è un audit una tantum. Nuovi domini, nuovi kit e nuova infrastruttura compaiono ogni giorno — quindi il monitoraggio deve avere una cadenza:
- Ogni giorno: scansione CT per domini somiglianti e coda dei domini sospetti.
- Ogni giorno o ogni ora (per brand ad alto rischio): controlli sandbox degli URL per i domini appena scoperti.
- Ogni settimana: revisione dei report DMARC aggregati e dei pattern di spoofing.
- Ogni settimana: revisione degli eventi WAF per credential stuffing e picchi bot.
- Ogni mese: verifica dell’avanzamento nel rollout della MFA resistente al phishing.
- Ogni trimestre: test dei flussi finance e HR contro scenari realistici di AiTM e BEC.
Integrazione con Thunderbit: i workflow di scraping pianificato e CLI/API di Thunderbit possono supportare monitoraggi ricorrenti per team operativi non tecnici. Il caso d’uso migliore non è “Thunderbit previene il phishing da solo” — è “Thunderbit aiuta i team operations a raccogliere segnali strutturati da pagine sospette e fonti di monitoraggio domini senza scrivere uno scraper personalizzato da zero”. I risultati possono essere inviati in Google Sheets o Airtable per la visibilità del team, oppure in Slack tramite una semplice integrazione.
Risultato atteso: un ciclo di monitoraggio continuo che intercetta le nuove minacce in poche ore, non in settimane.
Cosa i proxy non possono intercettare: mettere in sicurezza l’email con DMARC, SPF e DKIM
I fornitori di proxy non te lo diranno così chiaramente: i proxy sono solo uno strato di difesa, ma il phishing via email che non passa da alcun livello proxy richiede una protezione separata.
Molti attacchi di phishing arrivano da indirizzi email falsificati. Un proxy non li intercetterà.
Configurare SPF con hard fail
SPF (Sender Policy Framework) è un record DNS che elenca quali IP sono autorizzati a inviare email per conto del tuo dominio. Configuralo con -all (hard fail) invece di ~all (soft fail), così i mittenti non autorizzati vengono respinti senza eccezioni.
Errore comune: dimenticare di includere tutti i servizi di invio legittimi — CRM, piattaforma marketing, provider di email transazionali, help desk. Controlla tutte le sorgenti di invio prima di pubblicare il record.
Implementare la firma DKIM
DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica alle email in uscita. Il destinatario verifica che il messaggio non sia stato alterato durante il transito. Sia Google Workspace sia Microsoft 365 hanno guide integrate per la configurazione DKIM. Richiede circa 15 minuti.
Imporre DMARC in modalità reject
DMARC (Domain-based Message Authentication, Reporting & Conformance) dice ai server riceventi cosa fare quando SPF o DKIM falliscono. Il passaggio critico che molte organizzazioni saltano: passare da p=none (solo monitoraggio) a p=reject (blocca i messaggi non conformi) dopo aver verificato che i flussi email legittimi funzionino correttamente.
Molte aziende lasciano DMARC su p=none per sempre — visibilità senza protezione. È come installare una telecamera di sicurezza ma non chiudere mai la porta.
Registrare in modo difensivo i domini simili
Registra in anticipo le varianti con errori di battitura più comuni e i domini che imitano il tuo brand. Imposta su questi domini difensivi la policy DMARC reject, così non potranno essere usati per email contraffatte. Con 10–15 dollari l’anno per dominio, è una delle misure più economiche e ad alto impatto disponibili — e moltissime piccole imprese la trascurano del tutto.
Tirando le somme: una difesa stratificata contro il phishing
Nessun singolo strumento ferma il phishing. È la combinazione che regge davvero. Checklist pratica:
Outbound (analisi delle minacce):
- Scansione URL basata su proxy per link sospetti
- Monitoraggio domini tramite log CT ed estrazione batch
- Test distribuiti geograficamente per campagne targettizzate per regione
Inbound (protezione delle tue proprietà):
- Reverse proxy / WAF per i tuoi domini web
- DMARC/SPF/DKIM per l’autenticazione email
- Registrazione difensiva dei domini simili
Autenticazione (protezione degli account):
- FIDO2 / passkey per una MFA resistente al phishing
- Policy di Conditional Access (dispositivi conformi, controlli basati sul rischio)
- Procedure di monitoraggio e revoca dei token di sessione
Persone (l’ultima rete di sicurezza):
- Formazione concentrata in modo specifico su esche AiTM, QR code e scenari BEC
- Cultura di segnalazione chiara — rendi facile e non punitivo segnalare messaggi sospetti
- Test periodici dei flussi finance e HR contro scenari di phishing realistici
L’approccio segue il principio di difesa in profondità del NIST Cybersecurity Framework: più livelli indipendenti, così il fallimento di uno non significa compromissione totale.
Per i team che devono analizzare URL sospetti, estrarre dati sulle minacce o monitorare domini su larga scala, l’AI web scraper di Thunderbit può velocizzare il flusso di lavoro — estensione Chrome per utenti non tecnici, API/CLI per team tecnici. Non è un prodotto di sicurezza in sé, ma merita un posto nel toolkit dell’analista. Puoi approfondire lo scraping web senza codice oppure esplorare approcci di AI web scraping nel nostro blog.
Usa l’AI web scraping per il monitoraggio delle minacce Get Started Free
FAQ
Come usano i proxy gli attaccanti per il phishing?
Gli attaccanti usano proxy residenziali e rotanti per nascondere il proprio IP reale, ruotare tra indirizzi affidabili, aggirare i controlli antifrode basati sull’IP e distribuire reverse proxy AiTM per intercettare sessioni già autenticate — perfino dopo che la vittima ha completato la MFA. L’interruzione della rete IPIDEA nel gennaio 2026 ha mostrato oltre 550 gruppi di minaccia su una sola rete di proxy residenziali.
In che modo un reverse proxy previene phishing e compromissione del sito?
Un reverse proxy si colloca davanti ai server web e ispeziona il traffico in ingresso prima che raggiunga l’infrastruttura. Blocca IP malevoli noti, filtra il traffico bot, limita la frequenza dei tentativi di accesso e rileva attività di credential stuffing o correlate al phishing. Tuttavia, non protegge i dipendenti dai clic su link di phishing in uscita.
I proxy possono prevenire completamente il phishing?
No. I proxy sono uno strato fondamentale, ma il phishing via email richiede DMARC/SPF/DKIM, e il furto di sessione tramite attacchi AiTM richiede una MFA resistente al phishing come FIDO2/passkey. Una difesa stratificata che combini proxy, autenticazione email, credenziali resistenti al phishing e formazione dei dipendenti è essenziale.
Che cos’è il phishing AiTM e perché la MFA non lo blocca?
Il phishing AiTM (Adversary-in-the-Middle) usa un reverse proxy tra la vittima e la vera pagina di login, catturando il token di sessione dopo il completamento della MFA. La MFA tradizionale non lo blocca perché l’attaccante ruba la sessione autenticata, non la password. FIDO2/passkey resistono a questo attacco perché la challenge crittografica è vincolata al dominio legittimo e non può essere riutilizzata attraverso il proxy dell’attaccante.
Qual è il tipo di proxy migliore per il rilevamento del phishing?
I proxy datacenter sono i migliori per la scansione massiva degli URL (veloci ed economici). I proxy residenziali sono ideali per i test geotargettizzati (realistici ma più costosi — verifica che il provider abbia una provenienza etica). I reverse proxy/WAF sono migliori per difendere i tuoi siti. L’approccio più forte usa una combinazione in base a ciò che vuoi rilevare o proteggere.
Prova Thunderbit per il monitoraggio delle minacce e l’AI scraping Get Started Free
Scopri di più
