Progetto
InvestShield
Un servizio di rilevamento per intermediari autorizzati: osserva il flusso pubblico dei certificati TLS e cattura una copia datata e sigillata con hash di un sito che imita una banca o una società di investimento — mentre quel sito è ancora online.
InvestShield è mio. È stato costruito fuori dal mio lavoro istituzionale, sulla mia infrastruttura e da fonti pubbliche, e non è il sistema descritto nel Quaderno FinTech n. 19 della Consob: quello è stato costruito dentro la Consob e appartiene alla Consob.
Il rilevamento parte di norma da un reclamo. Un sito clonato promuove, raccoglie clienti e sparisce nel giro di un paio di settimane; il reclamo arriva dopo, quando il sito è già offline e l’evidenza — cosa diceva, a chi, in che data — se n’è andata con lui.
Un sito che vuole sembrare una banca deve chiedere un certificato prima di poter prendere i soldi di qualcuno, e il rilascio dei certificati è pubblico. Il rilevamento si sposta all’inizio della storia, dove l’evidenza esiste ancora e nessuno ha ancora perso niente.
Quei log non nascono per questo. Esistono perché un certificato emesso per errore o per abuso possa essere colto da chiunque stia guardando: ogni certificato che un’autorità di certificazione rilascia viene scritto in un registro pubblico e non modificabile. La stessa apertura che sorveglia chi emette i certificati è ciò che permette di accorgersi di chi li chiede. E poiché il registro è pubblico, l’osservazione non ha bisogno di essere creduta: chi la riceve può rifarla.
Ogni nuovo certificato, nel mondo
Il sistema è sottoscritto ai log pubblici di Certificate Transparency, dove ogni certificato HTTPS compare pochi secondi dopo l’emissione. Un sito deve passare di lì prima di poter sembrare una banca.
Quelli che imitano un soggetto vigilato
Terminologia, marchi noti, struttura del nome e schemi di typosquatting restringono il flusso al settore finanziario. Un modello linguistico legge poi la pagina in qualunque lingua e dice cosa viene offerto, a chi, e quanto imiti da vicino un soggetto già iscritto all’albo.
Una copia che sopravvive al sito
Ciò che resta è uno snapshot datato con hash di integrità, la versione della pipeline che l’ha prodotto e un timestamp UTC su ogni passo, firmati e legati a un identificatore unico — così il segnale si può ricostruire mesi dopo, quando il sito non c’è più.
- Non qualifica. Ogni segnale è un’ipotesi tecnica motivata; la qualificazione giuridica spetta all’autorità competente.
- Non pubblica. Non esiste un elenco pubblico di domini sospetti e nessun dato sui segnali è accessibile al pubblico generale.
- Non blocca. Nessun intervento su DNS, registrar o hosting: la rimozione segue le procedure delle autorità competenti.
- Non profila. Nessun dato personale degli investitori, nessuna profilazione dei visitatori dei siti analizzati; l’analisi resta sul contenuto pubblico delle pagine.
In esercizio, su infrastruttura nell’Unione Europea: monitoraggio continuo per intermediari autorizzati e un canale non commerciale separato per le autorità di vigilanza.