Dropcatch e RecruitTrap trasformano domini scaduti e offerte di lavoro in trappole

🛡️ Executive Summary

• Infoblox osserva circa 65.000 domini dropcatch al giorno: nomi già utilizzati possono ereditare reputazione, traffico, link e relazioni DNS dai precedenti proprietari.
• RecruitTrap usa oltre 3.000 URL fraudolenti e imita processi di selezione di più di 50 organizzazioni per rubare credenziali aziendali.
• La difesa richiede controllo dei domini abbandonati, monitoraggio DNS e verifica indipendente di inviti a colloqui e finestre di login aziendali.

Domini scaduti e offerte di lavoro stanno diventando due strumenti complementari per costruire infrastrutture di phishing difficili da riconoscere. Infoblox ha misurato nella prima metà del 2026 circa 65.000 domini dropcatch al giorno, cioè nomi precedentemente registrati che, dopo la scadenza, vengono acquistati nuovamente e possono conservare reputazione, traffico e collegamenti della loro vita precedente. In parallelo, CTM360 ha individuato la campagna RecruitTrap, con oltre 3.000 URL di phishing che imitano recruiter e processi di selezione appartenenti a più di 50 organizzazioni. Gli attaccanti utilizzano false piattaforme di colloquio e tecniche Browser-in-the-Browser per intercettare credenziali aziendali e richieste MFA.

Un dominio scaduto può conservare la fiducia del precedente proprietario

Il fenomeno analizzato da Infoblox Threat Intel parte da un comportamento assolutamente normale del mercato dei domini. Un’azienda chiude, un progetto termina, un responsabile dimentica un rinnovo oppure un dominio considerato non più necessario viene lasciato scadere. Dopo il periodo nel quale il precedente proprietario può recuperarlo, il nome torna disponibile e può essere registrato da chiunque.

Infoblox definisce dropcatch la riacquisizione di questi domini e ne misura una quantità molto elevata: circa 50.400 registrazioni al giorno considerando soltanto i gTLD, che diventano circa 65.000 includendo i ccTLD monitorabili. Nei gTLD quasi il 20% delle nuove registrazioni osservate riguarda nomi già esistiti in passato. .net e .xyz arrivano vicino al 30%, mentre .com registra un tasso del 24,5%.

Il problema non è il dropcatch in sé, utilizzato anche da investitori e ricercatori di sicurezza, ma ciò che il nuovo proprietario può ereditare. Un dominio vecchio può continuare a ricevere traffico attraverso link dimenticati, risultati di ricerca, configurazioni software, email o record DNS ancora presenti nelle infrastrutture di terze parti. Può inoltre apparire meno sospetto a sistemi di reputation rispetto a una registrazione completamente nuova. La stessa fiducia residua è alla base degli attacchi di DNS hijacking contro reti di hotel e account Microsoft 365, dove la manipolazione dell’infrastruttura di risoluzione permette di portare la vittima verso contenuti controllati dall’attaccante senza modificare necessariamente le sue normali abitudini di navigazione.

Link dimenticati e CNAME mantengono vivo un dominio morto

La ricerca mostra perché la dismissione di un dominio dovrebbe essere considerata parte della gestione della superficie di attacco. Infoblox cita il caso di un dominio CDN utilizzato in passato da un servizio di marketing, rimasto inserito all’interno di importanti siti Web anche dopo l’acquisizione e la scomparsa della società originaria. Per anni gli URL non hanno restituito contenuti; nel febbraio 2026 il dominio è stato nuovamente registrato da un attore che Infoblox identifica come Shady Squirrel e il traffico residuo ha iniziato a essere indirizzato verso malware.

Il rischio è vicino a quello dei dangling CNAME, nei quali un record DNS continua a puntare verso una risorsa o un dominio che non appartiene più all’organizzazione originale. In queste condizioni l’attaccante non deve necessariamente convincere qualcuno a visitare un nuovo indirizzo sospetto: può appropriarsi del punto verso cui applicazioni e siti stanno già inviando traffico.

È una dinamica diversa dal classico typosquatting, ma il risultato finale è simile a quello osservato con i cloni aziendali utilizzati per sottrarre anticipi alle imprese: l’efficacia dell’attacco deriva dalla capacità di ereditare o riprodurre fiducia preesistente, anziché crearla da zero.

RecruitTrap usa falsi colloqui per selezionare le vittime

Il secondo scenario analizzato da CTM360 utilizza invece il processo di recruiting come vettore di social engineering. Nel rapporto RecruitTrap i ricercatori descrivono una campagna globale che, nell’arco di due mesi, ha generato oltre 3.000 URL di phishing e imitato processi di selezione collegati a più di 50 organizzazioni.

Gli attaccanti inviano false richieste di colloquio o inviti a piattaforme di scheduling e guidano il candidato verso portali contraffatti. Il targeting riguarda in particolare professionisti del marketing e il sistema filtra gli utenti per privilegiare indirizzi email aziendali, segnale che l’obiettivo non è soltanto rubare un account personale ma conquistare un’identità utilizzabile all’interno di un’organizzazione.

L’abuso delle offerte di lavoro è ormai una tecnica consolidata. Le campagne Contagious Interview hanno utilizzato falsi colloqui e repository GitHub per infettare sviluppatori, mentre altre operazioni hanno collegato ClickFix, infrastrutture blockchain e falsi processi di recruiting. RecruitTrap si distingue però perché il payload principale non è necessariamente un malware: è l’identità aziendale della vittima.

Browser-in-the-Browser rende credibile il falso login

Il componente più efficace della campagna è la tecnica Browser-in-the-Browser, BitB. La pagina fraudolenta mostra all’interno del browser una falsa finestra di autenticazione che riproduce l’aspetto di un popup reale utilizzato da Microsoft, Google o altri identity provider. La finestra può avere barra del titolo, indirizzo apparentemente corretto, icone e controlli grafici, ma non è un vero browser separato: è semplicemente HTML costruito dentro la pagina malevola. La vittima vede quindi un dominio legittimo nella falsa barra degli indirizzi e inserisce username e password pensando di effettuare un normale login federato.

RecruitTrap è progettato anche per inoltrare richieste MFA, permettendo agli attaccanti di tentare il completamento dell’autenticazione mentre la vittima interagisce con il sito. La strategia appartiene alla stessa evoluzione del phishing che ha reso insufficienti le sole password complesse: gli operatori cercano ormai di intercettare direttamente il processo di autenticazione e la sessione generata. Il problema è già evidente nelle campagne che sfruttano portali clonati capaci di raggiungere le prime posizioni di Google, dove il dominio e il posizionamento diventano parte integrante dell’ingegneria sociale.

DNS e identità convergono nella stessa superficie di attacco

Dropcatch e RecruitTrap sembrano fenomeni differenti, ma sfruttano lo stesso principio: trasferire fiducia da una risorsa legittima a una controllata dall’attaccante. Nel primo caso la fiducia appartiene alla storia del dominio; nel secondo al marchio dell’azienda, al recruiter e alla finestra di autenticazione. Per le organizzazioni il controllo dovrebbe quindi iniziare prima dell’attacco. I domini non più utilizzati devono essere dismessi soltanto dopo avere verificato CNAME, callback applicative, link, configurazioni cloud, indirizzi email e dipendenze software che potrebbero continuare a richiamarli. Registrare per qualche anno un dominio apparentemente inutile può costare meno che permettere a un nuovo proprietario di ereditarne il traffico. Sul fronte recruiting, un colloquio ricevuto attraverso email o social network dovrebbe essere verificato attraverso i canali ufficiali dell’azienda prima di inserire credenziali corporate. Una finestra di login sospetta dovrebbe essere aperta direttamente dal servizio originale e non attraverso popup presentati da un portale di selezione. L’età di un dominio, la familiarità del marchio e l’aspetto corretto della schermata non costituiscono più prove sufficienti di legittimità.