Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Ingegneria sociale (siti di phishing e ingannevoli)
Il termine "ingegneria sociale" indica un tipo di manipolazione in cui dei contenuti ingannevoli inducono i visitatori a compiere un'azione pericolosa online, ad esempio rivelare informazioni riservate o scaricare un software. Se Google rileva che il tuo sito web include contenuti di ingegneria sociale, potrebbe mostrare agli utenti l'avviso "Sito ingannevole in vista" quando questi cercano di accedervi nel browser Chrome. Puoi controllare se Google ritiene che alcune pagine del tuo sito contengano attacchi di ingegneria sociale consultando il report Problemi di sicurezza di Search Console.
Un attacco di ingegneria sociale consiste nell'indurre con l'inganno un utente a compiere un'azione pericolosa sul web.
Esistono diversi tipi di attacchi di ingegneria sociale:
Phishing: il sito induce con l'inganno gli utenti a rivelare le proprie informazioni personali (ad esempio password, numeri di telefono o codici fiscali). In questo caso, gli autori dei contenuti fingono di essere entità attendibili, ad esempio un browser, un sistema operativo, una banca o un ente statale.
Contenuti ingannevoli: i contenuti cercano di indurre con l'inganno l'utente a compiere un'azione che si farebbe solo per un'entità fidata, ad esempio condividere una password, chiamare l'assistenza tecnica o scaricare un software. Altre volte i contenuti mostrano un annuncio che afferma falsamente che il software del dispositivo è obsoleto, chiedendo agli utenti di installare software indesiderato.
Servizi di terze parti etichettati in modo non sufficiente: un servizio di terze parti gestisce un sito o un servizio per conto di un'altra entità. Se tu (terza parte) gestisci un sito per conto di un'altra parte (parte proprietaria) senza dichiarare in modo esplicito questo rapporto, ciò potrebbe essere segnalato come ingegneria sociale. Se tu (parte prioritaria) gestisci un sito web di beneficenza che utilizza un altro sito per raccogliere le donazioni (terza parte), questo sito deve identificarsi chiaramente come piattaforma di terze parti che agisce per conto del tuo sito di beneficenza; in caso contrario, la collaborazione potrebbe essere considerata ingegneria sociale.
Google Navigazione sicura protegge gli utenti del web avvisandoli prima che visitino pagine che compiono in modo costante attività di ingegneria sociale.
Le pagine web sono considerate ingegneria sociale quando:
Fingono di comportarsi come entità attendibili o ne assumono l'aspetto, ad esempio il tuo dispositivo o browser oppure lo stesso sito web; oppure
Tentano di indurti con l'inganno a compiere un'azione che svolgeresti solo per un'entità attendibile, ad esempio condividere una password, chiamare un numero di assistenza tecnica o scaricare software.
Ingegneria sociale in contenuti incorporati
L'ingegneria sociale può anche apparire in contenuti incorporati in siti altrimenti innocui, generalmente all'interno di annunci. I contenuti di ingegneria sociale incorporati rappresentano una violazione delle norme per la pagina host.
A volte i contenuti di ingegneria sociale incorporati sono visibili agli utenti nella pagina host, come mostrato negli esempi che seguono. In altri casi il sito host non contiene annunci visibili, ma reindirizza gli utenti a pagine con contenuti di ingegneria sociale tramite popup, pop-under o altri tipi di reindirizzamento. In entrambi i casi questo tipo di contenuti incorporati rappresenta una violazione delle norme per la pagina host.
Ma io non ho mai compiuto attacchi di ingegneria sociale!
I contenuti di ingegneria sociale ingannevoli potrebbero essere inclusi tramite risorse incorporate nelle pagine, ad esempio immagini, componenti di terze parti o annunci. Questi contenuti potrebbero indurre i visitatori del sito a scaricare un software indesiderato.
Inoltre, gli hacker potrebbero assumere il controllo di siti innocui al fine di utilizzarli per ospitare o diffondere contenuti di ingegneria sociale. L'hacker potrebbe modificare i contenuti del sito o aggiungere altre pagine, spesso con l'intento di indurre con l'inganno i visitatori a fornire informazioni personali quali i numeri delle carte di credito. Per scoprire se il tuo sito è stato identificato come sito web che ospita o diffonde contenuti di ingegneria sociale, consulta il report Problemi di sicurezza di Search Console.
Esempi di violazioni in materia di ingegneria sociale
Esempi di contenuti ingannevoli
Ecco alcuni esempi di pagine che compiono attacchi di ingegneria sociale:
Popup ingannevole che cerca di indurre l'utente a installare un malwarePopup ingannevole che induce l'utente ad aggiornare il browserPagina di accesso Google contraffatta
Esempi di annunci ingannevoli
Di seguito sono riportati alcuni esempi di contenuti ingannevoli all'interno di annunci incorporati. A prima vista, questi annunci sembrano fare parte dell'interfaccia della pagina.
Popup ingannevole che indica all'utente che il software non è aggiornatoPopup ingannevole che finge di provenire dallo sviluppatore FLVAnnunci che si spacciano per pulsanti di azione.
Risolvere il problema
Se il tuo sito è segnalato per contenuti di ingegneria sociale (contenuti ingannevoli), assicurati che la pagina non compia attacchi con nessuna di queste pratiche, quindi procedi come riportato di seguito:
Controlla il report Problemi di sicurezza per vedere se il tuo sito è elencato tra i siti con contenuti ingannevoli (il termine di segnalazione per l'ingegneria sociale). Se il report contiene URL di esempio segnalati, visita alcuni di questi URL elencati nel report, ma utilizza un computer esterno alla rete su cui è pubblicato il tuo sito web (gli hacker più esperti possono disattivare i propri attacchi se ritengono che il visitatore è il proprietario di un sito web).
Se il report non contiene URL di esempio e hai la certezza che il tuo sito non includa contenuti di ingegneria sociale (contenuti ingannevoli), richiedi un controllo della sicurezza nel report Problemi di sicurezza.
Rimuovi i contenuti ingannevoli. Assicurati che nessuna pagina del tuo sito includa contenuti ingannevoli. Se ritieni che la funzione Navigazione sicura abbia classificato una pagina web in modo erroneo, segnalalo qui.
Controlla le risorse di terze parti incluse nel tuo sito. Assicurati che le pagine del tuo sito non abbiano annunci, immagini o risorse di terze parti incorporate che risultino ingannevoli.
Tieni presente che le reti pubblicitarie potrebbero far ruotare gli annunci mostrati nelle pagine del tuo sito. Potrebbe quindi essere necessario aggiornare la pagina alcune volte prima che tu possa visualizzare gli annunci di ingegneria sociale.
Alcuni annunci possono avere un aspetto diverso sui dispositivi mobili e sui computer desktop. Puoi utilizzare lo strumento Controllo URL per visualizzare il tuo sito sia per dispositivi mobili che per desktop.
Richiedi un controllo. Dopo avere rimosso tutti i contenuti di ingegneria sociale dal tuo sito, puoi richiedere un controllo della sicurezza nel report Problemi di sicurezza. La verifica può richiedere diversi giorni.
Linee guida per i servizi di terze parti
Se includi un servizio di terze parti nel tuo sito, ti consigliamo di soddisfare le seguenti condizioni per evitare che venga etichettato come ingegneria sociale:
Su ogni pagina, il sito di terze parti include chiaramente il brand della terza parte per fare in modo che gli utenti capiscano chi gestisce il sito. Ad esempio, il brand di terze parti può essere incluso nella parte superiore della pagina.
In ogni pagina che contiene il branding della parte proprietaria, dichiara esplicitamente il rapporto esistente tra la parte proprietaria e la terza parte. Inoltre, fornisci un link che dia ulteriori informazioni. Ad esempio, includi una dichiarazione come la seguente:
Questo servizio è ospitato da Example.com per conto di Example.charities.com. Scopri di più.
Un'utile linea guida per l'usabilità è verificare se un utente che naviga in una pagina isolata capisce sempre su che sito si trova e qual è la relazione tra la parte proprietaria e la terza parte.
Se sei un utente di Search Console e hai problemi di sicurezza persistenti o non risolvibili sul tuo sito, puoi comunicarcelo.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Mancano le informazioni di cui ho bisogno","missingTheInformationINeed","thumb-down"],["Troppo complicato/troppi passaggi","tooComplicatedTooManySteps","thumb-down"],["Obsoleti","outOfDate","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Problema relativo a esempi/codice","samplesCodeIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-08-04 UTC."],[[["\u003cp\u003eSocial engineering attacks trick users into revealing personal information or performing dangerous actions, often by impersonating trusted entities.\u003c/p\u003e\n"],["\u003cp\u003eGoogle Safe Browsing protects users by displaying warnings for websites identified as engaging in social engineering practices.\u003c/p\u003e\n"],["\u003cp\u003eWebsite owners can use Search Console's Security Issues report to identify and resolve social engineering issues on their sites.\u003c/p\u003e\n"],["\u003cp\u003eEmbedding third-party content, like ads, can introduce social engineering risks if the content is deceptive or leads to malicious pages.\u003c/p\u003e\n"],["\u003cp\u003eWebsites using third-party services should clearly disclose the relationship to avoid being mistakenly flagged as social engineering.\u003c/p\u003e\n"]]],["Social engineering tricks users into dangerous actions, like revealing personal data or downloading harmful software. This can occur through phishing, deceptive content, or unclear third-party services. Websites with such content may trigger browser warnings. Site owners should check the Security Issues report in Search Console for violations. Actions include removing deceptive content, ensuring third-party resources are not deceptive, and requesting a security review. Clear labeling of third-party involvement is crucial to avoid being flagged.\n"],null,["# Social Engineering (Phishing and Deceptive Sites) | Google Search Central\n\nSocial engineering (phishing and deceptive sites)\n=================================================\n\nSocial engineering is content that tricks visitors into doing something dangerous, such as\nrevealing confidential information or downloading software. If Google detects that your website\ncontains social engineering content, the Chrome browser may display a \"Deceptive site ahead\"\nwarning when visitors view your site. You can check if any pages on your site are suspected of\ncontaining social engineering attacks by visiting the Security Issues report in Search Console.\n\n[Open\nthe Security Issues Report](https://search.google.com/search-console/security-issues)\n\nWhat is social engineering?\n---------------------------\n\nA *social engineering attack* is when a web user is tricked into doing something\ndangerous online.\n\nThere are different types of social engineering attacks:\n\n- **[Phishing](https://support.google.com/websearch/answer/106318):** The site tricks users into revealing their personal information (for example, passwords, phone numbers, or social security numbers). In this case, the content pretends to act, or looks and feels, like a trusted entity --- for example, a browser, operating system, bank, or government.\n- **Deceptive content:** The content tries to trick you into doing something you'd only do for a trusted entity --- for example, sharing a password, calling tech support, downloading software, or the content contains an ad that falsely claims that device software is out-of-date, prompting users into installing unwanted software.\n- **Insufficiently labeled third-party services:** A *third-party service* is someone that operates a site or service on behalf of another entity. If you (third party) operate a site on behalf of another (first) party without making the relationship clear, that might be flagged as social engineering. For example, if you (first party) run a charity website that uses a donation management website (third party) to handle collections for your site, the donation site must clearly identify that it is a third-party platform acting on behalf of that charity site, or else it could be considered social engineering.\n\n[Google Safe\nBrowsing](https://www.google.com/transparencyreport/safebrowsing) protects web users by warning users before they visit pages that consistently\nengage in social engineering.\n\nWeb pages are considered social engineering when they either:\n\n- Pretend to act, or look and feel, like a trusted entity, like your own device or browser, or the website itself, or\n- Try to trick you into doing something you'd only do for a trusted entity, like sharing a password, or calling a tech support number, or downloading software.\n\n### Social engineering in embedded content\n\nSocial engineering can also show up in content that is embedded in otherwise benign websites,\nusually in ads. Embedded social engineering content is a policy violation for the host page.\n\nSometimes embedded social engineering content will be visible to users on the host page, as\nshown in the [examples](#example). In other cases, the host site does not contain\nany visible ads, but leads users to social engineering pages via pop-ups, pop-unders, or other\ntypes of redirection. In both cases, this type of embedded social engineering content will\nresult in a policy violation for the host page.\n\nBut I don't engage in social engineering!\n-----------------------------------------\n\nDeceptive social engineering content may be included via resources embedded in the page, such\nas images, other third-party components, or ads. Such deceptive content may trick site visitors\ninto downloading [unwanted\nsoftware](https://www.google.com/about/unwanted-software-policy.html).\n\nAdditionally, **hackers** can take control of innocent sites and use them to\nhost or distribute social engineering content. The hacker could change the content of the site\nor add additional pages to the site, often with the intent of tricking visitors into parting\nwith personal information such as credit card numbers. You can find out if your site has been\nidentified as a site that hosts or distributes social engineering content by checking the\nSecurity Issues report in Search Console.\n\nSee our [Help\nfor Hacked Sites](https://web.dev/articles/hacked) if you believe that your site has been hacked.\n\nExamples of social engineering violations\n-----------------------------------------\n\n### Deceptive content examples\n\nHere are some examples of pages that engage in social engineering practices:\n\n\u003cbr /\u003e\n\nDeceptive popup intended to trick the user into installing malware.\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nDeceptive popup claiming to help the user update their browser\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nFake Google login page\n\n\u003cbr /\u003e\n\n| Note the deceptive URL. Other phishing sites like this could trick you into giving up other personal information such as credit card information. Phishing sites may look exactly like the real site---so be sure to look at the address bar to check that the URL is correct, and also check to see that the website begins with `https://`.\n\n### Deceptive ad examples\n\nHere are some examples of deceptive content inside embedded ads. These ads appear to be part\nof the page interface rather than ads.\n\n\u003cbr /\u003e\n\nDeceptive popup claiming that the user's software is out of date.\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nDeceptive popup claiming to come from the FLV developer\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nAds masquerading as page action buttons.\n\n\u003cbr /\u003e\n\nFixing the problem\n------------------\n\nIf your site is flagged for containing social engineering (deceptive content), ensure that\nyour page doesn't engage in any of the [practices](#examples), and then follow these steps:\n\n1. **Check in Search Console** .\n - [Verify that you own your site in Search Console](https://support.google.com/webmasters/answer/2739618) and that no new, suspicious owners have been added.\n -\n Check the\n [Security Issues report](https://search.google.com/search-console/security-issues)\n to see if your site is listed as containing deceptive content (the\n reporting term for social engineering). If the report contains sample flagged URLs, visit\n some of those URLs listed in the report, but use a computer that's not inside the network\n that is serving your website (clever hackers can disable their attacks if they think the\n visitor is a website owner).\n\n\n If the report doesn't contain sample URLs and you're confident your site doesn't contain\n social engineering (deceptive content),\n [request a security review](https://support.google.com/webmasters/answer/9044101#fix)\n in the Security Issues report.\n2. **Remove deceptive content** . Ensure that none of your site's pages contain deceptive content. If you believe Safe Browsing has classified a web page in error, [report it](https://www.google.com/safebrowsing/report_error/).\n3. **Check the third-party resources included in your site** . Ensure that any ads, images, or other embedded third-party resources on your site's pages are not deceptive.\n - Note that ad networks may rotate the ads shown on your site's pages. Therefore, you might need to refresh a page a few times before you're able to see any social engineering ads appear.\n - Some ads may appear differently on mobile devices and desktop computers. You can use the [URL\n Inspection tool](https://support.google.com/webmasters/answer/9012289) to view your site in both mobile and desktop views.\n - Follow the [third-party service guidelines](#third-party-guidelines) for any third-party services, such as payment services, that you use in your site.\n4. **Request a review** . After you remove all social engineering content from your site, you can [request a security review](https://support.google.com/webmasters/answer/9044101#fix) in the Security Issues report. A review can take several days to complete.\n\n### Third-party service guidelines\n\nIf you include a third-party service in your site, we recommend that you meet the following conditions\nin order to avoid being labeled as social engineering:\n\n- On every page, the third-party site clearly includes the third-party brand in a way that ensures users understand who is operating the site. For example, by including the third-party brand at the top of the page.\n- On every page that contains first-party branding, explicitly state the relationship between the first and third party, and provide a link for more information. For example, a statement like this: *This service is hosted by Example.com on behalf of Example.charities.com. More\n information.*\n\nA good usability guideline is whether a user viewing the page in isolation understands which\nsite they are on, and the relationship between the first and third party at all times.\n| **Best practice:** If you need a third party to perform a basic support service for your site, a best practice is to use an industry standard third party for that service. For example, to manage user authentication on your site, use [OAuth](https://oauth.net/) rather than managing authentication yourself.\n\nIf you're a Search Console user and are having trouble with persistent or unfixable security issues on your site, you can let us know.\n\n[Report a security issue](https://support.google.com/webmasters/contact/report_security_issues)"]]
