Nessun sito viene inserito in maniera automatica ma solo dopo la validazione di un consulente che ha verificato le stesse analisi (anche in caso di analisi positive).

Il punto di partenza è un'analisi che ShopSicuro esegue su tre livelli distinti per ogni sito sottoposto a verifica. Il primo riguarda l'infrastruttura tecnica del dominio: da quanto tempo è stato registrato, che tipo di certificato SSL utilizza, come è configurato il DNS e dove si trova fisicamente il server che lo ospita. Un dominio nato da pochi giorni, con un certificato gratuito e ospitato in una giurisdizione ad alto rischio, accumula già diversi segnali negativi prima ancora che si guardi il contenuto della pagina.

Il secondo livello entra nel merito di ciò che il sito effettivamente mostra ai visitatori. Il sistema verifica la presenza della partita IVA e delle pagine legali che ogni e-commerce dovrebbe avere, come privacy policy, termini e condizioni e una pagina contatti verificabile. Controlla poi quali metodi di pagamento vengono proposti: PayPal e carte di credito sono considerati indicatori di normalità, mentre un sito che accetta solo bonifici, ricariche PostePay o criptovalute solleva immediatamente un campanello d'allarme. A questo si aggiunge un'analisi della qualità testuale della pagina, per intercettare contenuti placeholder o testi copiati senza cura, e un controllo sui prezzi: sconti sistematici superiori al 70% sono un pattern tipico dei fakeshop, molto più di un'offerta occasionale.

Il terzo livello, forse il più decisivo, interroga fonti esterne di intelligence sulla sicurezza. Google Safe Browsing segnala se il dominio è già stato classificato come phishing o veicolo di malware. VirusTotal aggrega i verdetti di oltre novanta motori antivirus e di sicurezza diversi. IPQualityScore analizza la reputazione del dominio con un proprio algoritmo, assegnando un punteggio di rischio da 0 a 100 e individuando pattern sospetti legati a spam, domini parcheggiati o attività fraudolente pregresse. A tutto questo si aggiunge il confronto con il database interno di ShopSicuro, che incrocia i risultati con le segnalazioni già ricevute dagli utenti e con i siti già classificati in precedenza.

Infine il quarto livello prima di entrare nella blacklist. La validazione dei nostri consulenti che confermano i controlli fatti dai sistemi automatici.

Dal punteggio al semaforo rosso

Ogni controllo produce un valore che viene pesato in base alla sua rilevanza statistica nel rilevamento delle frodi: il riscontro nella blacklist interna e l'esito di Google Safe Browsing hanno un peso maggiore rispetto, ad esempio, alla sola presenza di un certificato SSL valido. La somma pesata di tutti questi segnali produce un punteggio finale da 0 a 100, che si traduce in un semaforo a tre colori: verde sopra i 60 punti, giallo tra 30 e 59, rosso sotto i 30.

Esistono però delle condizioni che scavalcano il calcolo ordinario. Se un dominio risulta già presente nella blacklist, se Google Safe Browsing lo segnala come pericoloso, se VirusTotal raccoglie più di cinque segnalazioni da motori di sicurezza diversi, oppure se IPQS conferma phishing o malware, il semaforo diventa automaticamente rosso, indipendentemente da come il sito si comporta sugli altri parametri. È un meccanismo pensato per non lasciare margine di ambiguità quando i segnali di pericolo sono già stati confermati da fonti esterne indipendenti.

Il ruolo delle segnalazioni degli utenti

Accanto ai controlli automatizzati, la blacklist si alimenta anche delle segnalazioni dirette dei consumatori che hanno avuto un'esperienza negativa con un determinato sito.

 Quando un dominio riceve tre o più segnalazioni non archiviate, il punteggio complessivo si abbassa in modo significativo, e questo può da solo determinare l'ingresso nella lista dei siti confermati come truffa. 

È un aspetto importante, perché unisce l'analisi tecnica a un elemento di esperienza reale: un sito può avere un'infrastruttura tecnicamente ineccepibile e comunque comportarsi in modo scorretto con chi ci ha acquistato.

Un sistema che ammette i propri limiti

ShopSicuro è esplicito nel dichiarare che si tratta di una valutazione automatizzata, basata su parametri tecnici e algoritmici, e non di una certificazione di affidabilità né di una garanzia sull'operato commerciale di chi gestisce il sito analizzato. 

Possono verificarsi falsi positivi, quando un sito legittimo ottiene un punteggio basso perché appena nato o perché non ha ancora completato alcune configurazioni tecniche, così come falsi negativi, cioè siti fraudolenti che hanno curato l'aspetto formale abbastanza da superare buona parte dei controlli automatici.

Per questo motivo, chi ritiene che la valutazione ricevuta dal proprio sito non sia corretta può richiedere una verifica manuale, così come chi individua un sito sospetto non ancora presente nell'elenco può segnalarlo direttamente al team.

La blacklist siti truffa, insomma, non è un elenco statico compilato una volta per tutte, ma il risultato di un processo che si aggiorna in tempo reale, combinando controlli tecnici automatizzati, intelligence esterna, il contributo diretto di chi naviga e acquista online ogni giorno e la validazione finale dei nostri consulenti.