Attacco cloaking: quando il tuo sito web ti frega a tua insaputa

Un attacco di cloaking su vasta scala dimostra come gli hacker possano manipolare la percezione di Google, trasformando un sito legittimo in un’esca per truffe senza che il proprietario se ne accorga

Immaginate di svegliarvi una mattina, sorseggiare il vostro caffè e controllare il vostro sito web aziendale.

La home page è lì, immacolata. I prodotti sono al loro posto, il blog è aggiornato. Tutto sembra normale.

Eppure, in quello stesso istante, Google sta vedendo un film dell’orrore completamente diverso: centinaia di migliaia di pagine che vendono prodotti contraffatti, casinò illegali o farmaci dubbi, tutte ospitate sul vostro dominio.

Non è la trama di un episodio di Black Mirror, ma la realtà di un recente caso di sicurezza informatica che sta facendo discutere gli esperti di SEO e web security.

Un singolo sito compromesso è riuscito a posizionarsi per circa 300.000 query di ricerca su Google, dirottando un fiume di traffico verso e-commerce terzi, mentre il proprietario legittimo continuava a vedere la propria versione “pulita” del sito. È la dimostrazione brutale di come le tecniche di hacking si siano evolute: non cercano più di distruggere il vostro sito, ma di parassitarlo in modo invisibile.

Siamo di fronte a un caso da manuale di “cloaking” su scala industriale, una tecnica che sfrutta la fiducia implicita tra i motori di ricerca e i webmaster per creare una realtà parallela digitale.

E la parte più inquietante? Potrebbe accadere a chiunque non stia guardando i dati giusti.

Il trucco del camaleonte digitale

Per capire la gravità dell’incidente, dobbiamo smontare il meccanismo.

Il “cloaking” (dall’inglese cloak, mantello) è essenzialmente un buttafuori digitale addestrato a mentire. Quando un visitatore bussa alla porta del server, il sistema controlla chi è. Se il visitatore è un “bot” di Google (lo spider che scansiona il web per indicizzarlo), il sito mostra pagine piene di parole chiave, create ad hoc per scalare le classifiche di ricerca. Se invece il visitatore è un essere umano reale, il sito lo reindirizza istantaneamente altrove, spesso verso truffe o shop illegali.

Questa discrepanza è il cuore del problema.

Per Google, quel sito è una risorsa pertinente per centinaia di migliaia di ricerche; per l’utente, è solo un ponte verso lo spam. Marc Hardgrove, CEO di SEO.com, definisce questa dinamica con precisione chirurgica:

Tuttavia, il cloaking dei siti web è una tecnica SEO black-hat che viola le linee guida per i webmaster di Google e può portare a gravi penalizzazioni.

— Marc Hardgrove, CEO presso SEO.com

La sofisticazione di questo attacco risiede nella sua capacità di discriminare. Gli hacker non si limitano a iniettare codice; configurano il server per comportarsi in modo docile e conforme quando “l’ispettore” (Google) passa a controllare.

Questo spiega perché Google classifica esplicitamente il cloaking e i reindirizzamenti ingannevoli come violazioni gravi nelle sue linee guida essenziali: mina alla base l’affidabilità del motore di ricerca stesso. Se Google non può fidarsi di ciò che vede, l’intero ecosistema della ricerca organica inizia a vacillare.

Ma c’è un dettaglio tecnico ancora più insidioso in questo caso specifico: la persistenza dell’invisibilità. Non stiamo parlando di qualche pagina nascosta, ma di un’infrastruttura parallela che ha generato un volume di traffico mostruoso senza far scattare allarmi visivi immediati per l’amministratore del sito.

Un furto silenzioso sotto il naso del proprietario

La domanda che sorge spontanea è: come può un proprietario non accorgersi che il suo sito sta gestendo il traffico di una metropoli digitale?

La risposta risiede nella psicologia dell’utente medio e nella pigrizia dei controlli standard. La maggior parte dei gestori di siti verifica il funzionamento digitando l’URL nel browser.

Vede la home page, vede il logo, e si rassicura.

Gli hacker contano proprio su questo. Configurando il cloaking per mostrare la versione normale del sito agli indirizzi IP amministrativi o alle visite dirette (quelle non provenienti da Google), rendono l’attacco praticamente invisibile a occhio nudo. Manick Bhan, fondatore e CTO di LinkGraph, spiega perfettamente questa strategia di occultamento:

Il cloaking impedisce il rilevamento da parte degli amministratori, il che consente all’attacco di persistere più a lungo e aumenta il rischio di penalizzazioni per il sito interessato.

— Manick Bhan, Founder & CTO presso LinkGraph

È un paradosso crudele: più l’attacco ha successo, più è difficile da rilevare senza strumenti di analisi avanzati. Il proprietario potrebbe notare un picco insolito nelle statistiche del server o un aumento della larghezza di banda utilizzata, ma spesso questi segnali vengono interpretati erroneamente come un successo di marketing o ignorati come anomalie tecniche.

Nel frattempo, il cloaking impedisce il rilevamento da parte degli amministratori permettendo all’attacco di persistere, creando una finestra temporale in cui gli hacker monetizzano il traffico rubato prima che scatti l’inevitabile mannaia di Google.

Questo scenario evidenzia una falla critica nella gestione moderna del web: ci fidiamo troppo dell’interfaccia utente e troppo poco dei log del server.

In un’epoca in cui l’AI può generare milioni di pagine di spam in pochi secondi, l’ispezione visiva è diventata uno strumento obsoleto, quasi nostalgico, e pericolosamente inefficace.

La risposta nucleare di Google

Quando la festa finisce, però, il conto è salatissimo. Google non tende a essere clemente con chi ospita, anche inconsapevolmente, questo tipo di architettura ingannevole. La reazione standard non è un avviso amichevole, ma un’azione manuale che può portare alla deindicizzazione completa del dominio.

Immaginate di sparire dalla faccia della terra digitale da un giorno all’altro: per un’azienda moderna, equivale a chiudere la serranda e murare l’ingresso.

Il recupero da un evento del genere è un calvario tecnico e burocratico. Non basta “pulire” il codice. Bisogna dimostrare a Google che la falla è stata chiusa, che i contenuti spam (tutti e 300.000) sono stati rimossi e che il server restituisce i corretti codici di errore (404 o 410) per le pagine inesistenti. I dati storici ci dicono che il danno reputazionale agli occhi dell’algoritmo può durare mesi, se non anni.

Analisi storiche e casi documentati mostrano come contenuti hackerati invisibili possano innescare azioni manuali devastanti, dove il recupero del traffico organico è lento e doloroso.

Il sito in questione, una volta scoperto, subirà un crollo verticale, passando da 300.000 query posizionate a zero in pochissimo tempo.

È la “terra bruciata” digitale: necessaria per proteggere gli utenti, ma letale per il business che, ironicamente, era la prima vittima dell’attacco.

La lezione che portiamo a casa oggi, 9 gennaio 2026, è che la sicurezza non è un prodotto che si installa e si dimentica. È un processo attivo.

Se il vostro sito sembra troppo tranquillo, o se i grafici del traffico mostrano comportamenti schizofrenici che non sapete spiegare, potrebbe essere il momento di smettere di guardare la home page e iniziare a guardare il codice.

In un web dove ciò che vede l’utente e ciò che vede la macchina possono essere diametralmente opposti, quanto possiamo davvero fidarci della nostra percezione digitale?