Patrick PilotteOggigiorno un’azienda può farcela senza un numero di telefono. Alcune non hanno nemmeno bisogno di una sede fisica. Ma non avere un sito web trovabile tramite ricerca? È impensabile!
Tuttavia, nel mese di giugno, è esattamente quello che è successo a devolutions.net. Per cinque giorni caotici, il nostro intero dominio è stato rimosso dall’indice di Bing — il motore di ricerca predefinito di Microsoft Edge. Chiunque ci cercasse vedeva siti di terze parti al posto del nostro.
Ecco la storia dietro le quinte di quanto accaduto: una massiccia campagna di spam gestita da persone reali che è riuscita a superare le nostre difese, ha sopraffatto il nostro forum e ha silenziosamente avvelenato la nostra presenza nei risultati di ricerca su Bing — e di come abbiamo lottato per riconquistarla.
E così inizia…
Verso le 2:00 del mattino EST del 19 giugno 2025, il nostro team ha iniziato a notare un forte aumento dell’attività sul forum — e non in senso positivo. Quando siamo intervenuti a pieno regime, erano già stati creati oltre 5.000 messaggi di spam. Questi post contenevano contenuti truffaldini: link a siti web sospetti e numeri di telefono che, se chiamati, portavano a truffatori che si spacciavano per supporto tecnico.
Il database del nostro forum ha faticato a sostenere il carico. Le prestazioni sono degradate rapidamente, fino a diventare quasi inutilizzabile. Ciò che ha reso questa campagna diversa dalla maggior parte delle altre è che era condotta da persone reali. Non si trattava di bot. Persone reali hanno registrato manualmente oltre 500 account, eludendo tutte le nostre protezioni automatizzate — incluso il CAPTCHA Cloudflare Turnstile, che non è pensato per bloccare esseri umani reali.
Approfondimenti OSINT
Il nostro team OSINT ha rapidamente confermato che non si trattava di un attacco isolato. Lo stesso gruppo pubblicava post su un’ampia gamma di piattaforme pubbliche — DeviantArt, Bluesky, forum, annunci classificati e altro ancora. Abbiamo smesso di contare dopo aver individuato 15 siti web esterni unici. L’obiettivo sembrava essere l’abuso della SEO — la creazione di catene di backlink per migliorare la visibilità nei motori di ricerca di siti e servizi truffaldini.
Abbiamo tracciato oltre 400 IP unici, provenienti soprattutto dall’India, tra cui diversi ISP residenziali. Una parte significativa dell’attacco ha utilizzato anche servizi VPN come Private Internet Access. Abbiamo persino chiamato due dei numeri di telefono truffaldini per verifica:
- Uno si spacciava per il supporto Xerox e ci ha chiesto di installare un software di assistenza remota.
- Il secondo era collegato a un’“offerta Expedia”, ma l’operatore non aveva idea di cosa fosse Expedia — e voleva comunque accedere da remoto.
Effetti collaterali interni
Durante le operazioni di pulizia, abbiamo notato qualcosa di strano: il nostro chatbot interno ha iniziato a rispondere con contenuti provenienti dai post di spam. Digitare “hi” attivava risposte truffaldine. Questo ha confermato un rischio reale: la contaminazione degli LLM da parte di contenuti pubblici, in particolare negli ambienti in cui i post degli utenti vengono indicizzati o replicati internamente.
Diventare un fantasma su Bing
Pochi giorni dopo, abbiamo notato un forte calo del traffico web proveniente da Bing. In Bing Webmaster Tools, tutto sembrava normale — a eccezione di uno strano errore nella sitemap. All’inizio abbiamo pensato che fosse un problema dello strumento, finché non abbiamo capito che i dati erano corretti: quasi nessuno vedeva più i nostri contenuti. Le poche impressioni e i pochi clic rimasti provenivano esclusivamente dalla pubblicità a pagamento, poiché forum.devolutions.net e devolutions.net erano stati completamente deindicizzati da Bing:
Eravamo effettivamente diventati invisibili — chiunque cercasse Devolutions su Bing non ci avrebbe mai trovati, ma solo siti di terze parti che parlavano di Devolutions. Si tratta di un problema serio, perché Microsoft Edge su Windows utilizza Bing come motore di ricerca predefinito.
A peggiorare le cose, ChatGPT utilizza Bing dietro le quinte in SearchGPT, quindi essere un fantasma su Bing ha un impatto ancora più profondo. Sorprendentemente, ChatGPT riusciva ancora a trovare il nostro sito web, ma non c’era modo di sapere per quanto tempo.
Durante l’incidente di spam, abbiamo registrato numerose impressioni per ricerche come “expedia customer service” che puntavano allo spam presente sul nostro forum, quindi possiamo solo ipotizzare che gli algoritmi di Bing abbiano contrassegnato forum.devolutions.net e il suo dominio principale, devolutions.net, come indesiderati. I truffatori hanno usato la notorietà del nostro sito web per far emergere le loro false informazioni di assistenza clienti nei risultati di ricerca, ma alla fine questo ci ha semplicemente fatto bannare.
Cosa abbiamo fatto
- Bloccato i post del forum a livello di WAF entro le 10:30 del 19 giugno
- Aggiunto un passaggio di moderazione per tutti i primi post degli utenti sul forum
- Eliminato tutti i post di spam tramite una pulizia diretta del database
- Documentato i vettori d’attacco tramite OSINT e threat intelligence
- Confermato la deindicizzazione del dominio da Bing
- Contattato il supporto Bing
L’ultima parte — contattare il supporto Bing — è stata la più stressante. In Bing Webmaster Tools è disponibile un modulo di supporto da compilare, ma una volta ottenuto un numero di ticket, non si può fare altro che aspettare. Sorprendentemente, non sembra esistere un modo per pagare un supporto premium per quanto riguarda Bing. Avremmo pagato volentieri per far escalare il problema!
Senza fare nomi (per non dare idee ad altri), siamo riusciti a contattare una persona del team Bing durante le sue vacanze tramite messaggi diretti su LinkedIn. Questo ha permesso al nostro ticket di ottenere un po’ di attenzione internamente, e qualche giorno dopo abbiamo ricevuto una risposta che confermava la revoca del ban. Ciononostante, siamo rimasti impotenti di fronte alla situazione per molto più tempo di quanto ci sentissimo a nostro agio.
Cronologia (EST)
Ecco una cronologia degli eventi, dall’impatto iniziale alla risoluzione finale:
| Ora | Evento |
|---|---|
| ~02:00 | Inizia un’impennata improvvisa di spam sul forum della community |
| 03:00–05:00 | Pubblicati oltre 5.000 post truffaldini; il database inizia ad andare in affanno |
| 10:30 | Distribuita una regola WAF per bloccare tutti gli invii di post sul forum |
| ~12:00 | Aggiunti i primi passaggi di moderazione per i post |
| +2 giorni | Osservato e analizzato un calo del traffico da Bing |
| +3 giorni | Confermata la deindicizzazione del dominio dall’indice di ricerca di Bing; contattato il supporto Bing |
| +5 giorni | Confermato da Bing il reinserimento del dominio nell’indice di ricerca |
Cosa abbiamo imparato
- Agli attacchi umani non importa nulla del vostro CAPTCHA. Le protezioni automatizzate sono state eluse con facilità. È stata necessaria una revisione manuale.
- I dati contaminati inquinano tutto — inclusa l’IA. I sistemi di IA interni devono disporre di salvaguardie contro l’ingestione di dati errati o non moderati.
- La fiducia dei motori di ricerca è fragile. Un’ondata di contenuti di bassa qualità può farvi rimuovere dall’indice molto rapidamente — senza alcun preavviso.
- Il filtraggio per IP e parole chiave è debole contro veri aggressori. Questi elementi si trovano in basso nella Piramide del dolore e sono facili da eludere.
- Non sottovalutate Bing solo perché esiste Google. Ci si rende conto del valore di qualcosa solo quando lo si perde — prestate attenzione a Bing.
Considerazioni finali
Questo incidente ci ha ricordato che la sicurezza non consiste solo nel bloccare i bot — consiste nel pensare come il proprio avversario, soprattutto quando si tratta di persone reali. Se gestite una piattaforma pubblica, vale la pena chiedersi: “Cosa succede quando i malintenzionati non sono automatizzati?” Potreste finire per imparare a vostre spese, proprio come è successo a noi.