SEO Hijack: siti di phishing al primo posto nei risultati di Bing

I due vettori di attacco

La nostra indagine ha rivelato che due operazioni parallele completamente diverse condotte contemporaneamente per portare i siti di possibly phishing in cima ai risultati di Bing e DuckDuckGo.

Vettore A: L'attacco di iniezione nella SERP di Yahoo

Si potrebbe dire che questo sia il il più elegante dal punto di vista tecnico attacco SEO black-hat che abbiamo documentato nel 2026. Esso sfrutta una falla fondamentale nel modo in cui Bing valuta l’autorità dei link — in particolare, la sua incapacità di distinguere tra link editoriali autentici e pagine di risultati di ricerca generate dinamicamente da domini affidabili.

Il meccanismo — Passo dopo passo

Fase 1 — Generazione dell'URL del gestore affidabile. Gli autori degli attacchi creano URL sugli endpoint di ricerca mobile di Yahoo su diversi sottodomini internazionali: [REDACTED] (Norvegia), [REDACTED] (Francia), [REDACTED] (Messico), [REDACTED] (Polonia), [REDACTED] (Grecia), [REDACTED] (Quebec), [REDACTED] (francese svizzero), [REDACTED] (Colombia). Queste pagine riportano il punteggio di autorità ereditato da Yahoo: 23–24.

Fase 2 — Inserimento del link di possibly phishing. Ogni URL contiene una query di ricerca del tutto casuale e innocua — “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe” — ma il testo di ancoraggio recita: curvefi.co Curve Finance. Le query casuali garantiscono che i filtri antispam non rilevino alcuna corrispondenza con modelli prestabiliti.

Fase 3 — Crawling e indicizzazione forzati. Gli autori degli attacchi inducono Bingbot a eseguire la scansione di questi URL utilizzando servizi di ping di massa, l'inserimento di commenti su forum e blog e strumenti automatici per l'attivazione della scansione.

Dati SEMrush non elaborati — curvefi.co

La crudele ironia: Il sito presenta zero parole chiave organiche, zero traffico nel database di SEMrush — eppure compare nei risultati di Bing/DDG per “Curve Finance” grazie all’autorità “presa in prestito” da Yahoo.

Vettore B: La rete PBN coordinata

È qui che l’indagine assume una piega davvero allarmante. Cinque siti di possibly phishing distinti — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at e [REDACTED] — hanno tutti in comune un insieme identico di fonti di backlink. Non è una coincidenza. È una singola organizzazione criminale condurre più campagne di possibly phishing da un'unica infrastruttura.

The Smoking Gun — Infrastruttura condivisa

Profili dei domini utilizzati per il possibly phishing

La "fabbrica di articoli" basata sull'intelligenza artificiale

La variante aster-dex.at utilizza un approccio ibrido, combinando l’iniezione di Yahoo con contenuti di blog generati dall’intelligenza artificiale e pubblicati su siti compromessi o creati appositamente in Vietnam, Italia, Indonesia e Svizzera.

Gli articoli del blog hanno tutti titoli quasi identici: “Perché gli swap di token e i pool di liquidità mettono ancora in difficoltà anche i trader DEX più esperti”, “Perché i market maker automatizzati continuano a sorprendere i trader”. Questi sono Articoli generati dall'intelligenza artificiale inseriti su siti con AS 21–36, tutti collegati a aster-dex.at.

Infiltrazione di spam nei commenti

[REDACTED] adotta un approccio completamente diverso: puro spam nei commenti su siti di grande autorevolezza ma non attinenti all’argomento. Nomi utente falsi come “ZackaryThymn”, “Fritzkah” e “Jamesboach” inseriscono link a portafogli crittografici in siti dedicati all’insegnamento della filosofia (filozofija.edu.rs, AS 45), piattaforme per il coinvolgimento dei dipendenti ([REDACTED], AS 63), e festival artistici ([REDACTED], AS 50).

Il fondo del barile: spam generato da strumenti automatizzati

bscscan.cfd ricorre al metodo più rozzo possibile: pacchetti a pagamento di backlink in blocco provenienti da siti che si chiamano letteralmente [REDACTED] e [REDACTED]. Tutte le fonti hanno AS = 0. Il TLD .cfd è un noto indicatore di spam. Eppure su Bing funziona, almeno in parte: il volume di link di bassa qualità può influenzare il posizionamento anche su domini nuovissimi che non presentano precedenti negativi.

Perché Bing e DuckDuckGo sono particolarmente vulnerabili

Strategia di targeting per parole chiave

I profili delle parole chiave rivelano precisione chirurgica nella selezione dei termini di ricerca. Gli operatori non puntano solo sui termini principali relativi al marchio, ma anche sui typosquat (“portafoglio rabbi”, “portafoglio Rubby”, “dexscrenner”) e persino le ricerche in lingua cinese (“Borsa Aster” (al 25° posto).

Contesto storico: il caso [REDACTED] / DuckDuckGo

Anche dopo che [REDACTED] ha smesso di utilizzare DDG come impostazione predefinita, la vulnerabilità di fondo persiste. Qualsiasi utente che sceglie manualmente DuckDuckGo per motivi di privacy — una fascia demografica che si sovrappone in larga misura a quella degli utenti di criptovalute — rimane ancora oggi esposta proprio a questi attacchi. Le operazioni fraudolente documentate nel presente rapporto hanno utilizzato diverse varianti di questa tecnica per diversi anni, adattandosi man mano che i motori di ricerca correggono gradualmente i singoli vettori.

Come proteggersi

• MAI collega il tuo portafoglio da un risultato di ricerca
• Aggiungi ai preferiti siti affidabili direttamente
• Utilizza DDG !bang scorciatoia: !g curve finance attiva la ricerca su Google
• Installa l'estensione di [REDACTED] per il rilevamento del possibly phishing
• Verifica qualsiasi dominio su THE ENABLERS REGISTRY prima di effettuare il collegamento

Suggerimenti per Microsoft/Bing

1. Rilevamento dinamico delle pagine: Classificare le pagine dei risultati di ricerca (Yahoo, Baidu, Google) ed eliminare l'equity dei link dai link in uscita
2. Rilevamento coordinato del PBN: Quando 9 domini rimandano a 5 siti diversi con schemi identici, segnalarlo come manipolazione
3. Livello di imitazione del marchio: Rilevare gli attacchi di sostituzione dei TLD (dexscreener.at ≈ [REDACTED])
4. Monitoraggio dei domini .AT: Maggiore attenzione ai domini .at di nuova registrazione nelle SERP relative alle criptovalute
5. Guida rapida a DuckDuckGo: Creare un'API dedicata alla rimozione dello spam a cui DDG possa accedere direttamente

Un operatore, 26 domini, un registrar

Abbiamo eseguito delle query RDAP su tutti i 26 domini di possibly phishing. Ognuno di essi ha restituito lo stesso registrar: [REDACTED]. Non la maggior parte. Non la maggioranza. Tutte le 23 richieste sono state elaborate con successo — stesso registrar, con 3 errori di limitazione della frequenza prima della verifica (i modelli delle loro infrastrutture coincidono).

Dati di registrazione RDAP — Prova di registrazione in blocco

La guida da 2 dollari — Passo dopo passo

Dimenticatevi delle tecniche SEO sofisticate. Dimenticatevi dei mesi dedicati alla creazione di link. Ecco la sequenza completa e collaudata che vi consentirà di ottenere il primo posto nei risultati di Bing.

Fase 1: Registro dei typosquat

Fase 2: Clonare il tag del titolo ($0, 5 minuti)

L'operatore copia esattamente il <title> tag e meta description tratti dal sito web del progetto vero e proprio. Questo è il passo più importante in assoluto. La pagina in sé è un modo per prosciugare il portafoglio o per rubare la frase seed — ma <title> è ciò che Bing posiziona nei risultati di ricerca.

Fase 3: Invia al PBN nascosto (0 $, 1 minuto)

L'operatore si reca in una qualsiasi delle 15 sedi PBN (bye.fyi, atomizelink.icu, ecc.), digita il dominio in un campo denominato “Inserisci il tuo URL” e fa clic su “Accorcia”. Con un solo clic viene creata una pagina su tutti e 15 i siti contemporaneamente: questi condividono infatti un unico database.

Fase 4: Attendere (2-8 settimane, 0 $)

Ripartizione del costo totale

All'interno del motore di occultamento

Abbiamo recuperato e analizzato il codice sorgente HTML effettivo della rete PBN. Ogni pagina di ogni dominio utilizza lo stesso motore di cloaking.

Struttura della pagina: 400 KB di codice HTML, oltre 3.500 link, 4 livelli

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://POSSIBLY [REDACTED]">POSSIBLY [REDACTED]</a></p>
... x 3,500 links ...

Prova: un'unica rete, un unico database

[REDACTED] appare su più domini PBN con ID sequenziali provenienti dallo stesso database:

Stessi ID su diversi “marchi” = un unico backend, un unico operatore. 15 domini. Stesso modello HTML. Stesso CSS (style.css). Lo stesso codice JavaScript (work.js). Le stesse pagine da 3.500 link.

Il secondo PBN — Rete di verifica dei domini

Una rete di link separata e più aggressiva fornisce backlink dofollow a destinazioni selezionate. Server principale: [REDACTED] — un’installazione di WordPress 6.6.2 che fornisce file CSS, JS e modelli a 50-80 domini satellite.

Perché Bing ci casca

La vulnerabilità "Title-Match"

[REDACTED] ha esattamente UN backlink: una pagina SERP di Yahoo salvata nella cache. Si posiziona al primo posto su Bing per la ricerca “Thruster Finance”. Ciò dimostra che il posizionamento di Bing per le ricerche relative a marchi con bassa concorrenza si basa principalmente su:

1. Corrispondenza esatta del tag titolo alla query di ricerca
2. Il dominio è indicizzato (basta qualsiasi segnale — anche un solo link “nofollow”)
3. Nessun segnale negativo di fiducia (dominio nuovo, senza precedenti)

Google richiederebbe segnali di autorevolezza significativi ed effettuerebbe un controllo incrociato con i domini di marchi noti. Bing invece no.

Risultati n. 1 su Bing (verificati tramite SerpAPI, aprile 2026)

Elenco aggiornato dei prodotti protetti (marchi della Parte II)

Raccomandazioni (Parte II)

A Microsoft/Bing:

1. Il fatto che si tratti di un incontro valido per il titolo non è di per sé sinonimo di autorevolezza. Un titolo corrispondente non dovrebbe far posizionare un nuovo dominio al primo posto per le ricerche relative al marchio. È necessario che il dominio abbia una certa anzianità, che i backlink siano autorevoli o che vi siano segnali di verifica del marchio.
2. Rileva il cloaking basato su CSS. Le pagine che utilizzano sovrapposizioni con z-index per nascondere i contenuti agli utenti ma renderli visibili ai crawler dovrebbero essere segnalate.
3. Individuare reti PBN coordinate. 15 domini che condividono un unico backend e rimandano alle stesse destinazioni non costituiscono una strategia di link building organica.
4. Contrassegna i domini registrati su IANA #3765 nelle SERP relative alle criptovalute per un controllo più approfondito.
5. Crea una procedura accelerata per lo spam su DuckDuckGo. DDG eredita tutte le vulnerabilità di Bing, ma non dispone di un meccanismo indipendente di segnalazione dello spam.

[REDACTED]:

A IANA #1910:

Tutti i 26 domini utilizzano il DNS e il proxy di IANA #1910. I domini ospitano programmi per lo svuotamento dei portafogli e per la raccolta delle frasi seed tramite l’infrastruttura di IANA #1910.