Cos'è il dark web? Significato, definizione & funzionamento

Cos'è il dark web?

Il dark web è un livello di Internet che opera su reti sovrapposte crittografate e richiede software dedicato per accedervi. I browser standard non possono aprirlo e i motori di ricerca non lo indicizzano. Nella pratica, la definizione di dark web è precisa. Né chi ospita un sito né chi lo visita possono essere localizzati.

Nel giugno 2025, il Secret Service statunitense e l'FBI hanno sequestrato circa 145 domini darknet legati al marketplace BidenCash, che vendeva carte di pagamento rubate e credenziali compromesse.

Se gestite le operazioni di sicurezza, il dark web è il luogo in cui le vostre credenziali rubate vengono prezzate e rivendute. Questa pagina spiega come funziona la rete, cosa contiene e dove monitorarla.

Dark web, deep web e surface web a confronto

C'è ancora molta confusione sulla differenza tra deep web e dark web. Per questo, ‘dark web’ è spesso usato come sinonimo di ‘deep web,’ ma in realtà sono due cose diverse. La “surface web” comprende i siti del WWW che si possono trovare tramite motori di ricerca come Google o Bing.

Tutto ciò che non rientra in questo indice ed è protetto da una password o richiede un software è noto come deep web o dark web. Distinguere tra deep web, dark web e siti della surface web è essenziale per le organizzazioni che valutano le minacce provenienti da Internet.

1. Surface web – Facilmente indicizzabile: La surface web comprende tutte le informazioni accessibili con un browser web standard e indicizzabili dai normali crawler dei motori di ricerca. Include, tra gli altri, siti di notizie, pagine social, siti aziendali e negozi online. Questi domini sono accessibili tramite i link presenti sui siti web o i risultati dei motori di ricerca. Rappresenta solo una piccola parte di Internet, ma è ciò che le persone associano al termine ‘web.’
2. Deep web – Pagine non indicizzate: Le pagine del deep web non sono indicizzate dai normali motori di ricerca perché si trovano dietro un paywall o in una rete privata. Ne sono esempi i database interni aziendali, le email protette da password e le riviste e pubblicazioni a pagamento. Questa parte non indicizzata è molto più vasta della surface web. Il deep web non implica di per sé attività criminali, anche se alcuni siti del dark web vengono spesso definiti deep web.
3. Dark web – Anonimato per progettazione: Il dark web è una parte del deep web costituita da siti ospitati su reti anonime come Tor o I2P. Sulla rete Tor, questi domini sono chiamati anche “siti onion v3”, hanno nomi composti da caratteri casuali e terminano con “.onion.” Sono accessibili tramite browser per il dark web, così da nascondere l'identità e l'indirizzo IP degli utenti. Questo ambiente ospita gruppi di discussione riservati, commerci illeciti e canali di comunicazione sicuri.
4. Differenze di accessibilità: Per trovare i siti della surface web basta una ricerca su Google. La maggior parte delle pagine del deep web richiede un nome utente e una password oppure l'indirizzo esatto della pagina. Le risorse del dark web, invece, sono accessibili solo con software specifici o motori di ricerca che operano all'interno delle reti anonime. Molti principianti si chiedono “cos'è il dark web?” quando scoprono queste modalità di accesso, molto diverse da quelle della surface web aperta.
5. Varietà dei contenuti: La surface web comprende articoli, blog e siti di e-commerce, mentre il deep web include informazioni private, documenti protetti da password e reti interne. I siti del dark web, invece, possono ospitare forum per attivisti politici o mercati di stupefacenti. La varietà è ampia: le attività sul dark web possono essere utili e legali, oppure del tutto illecite.
6. Implicazioni per la sicurezza: Sebbene la maggior parte delle interazioni sul web di superficie e persino sul deep web sia sicura, l’anonimato del dark web comporta rischi maggiori. È qui che gli attori delle minacce acquistano e vendono dati rubati e strumenti di hacking oppure stringono alleanze. Le aziende utilizzano servizi di scansione del dark web per monitorare credenziali rubate o altri beni di proprietà intellettuale aziendale. La distinzione tra dark web e web di superficie chiarisce quanto sia elevato il rischio quando i dati di un’organizzazione finiscono nel dark web.
7. Percezione e legalità: Sebbene il deep web sia perlopiù innocuo, il dark web ha una reputazione sinistra a causa dei mercati neri e dei gruppi di hacker. Questi siti finiscono spesso sotto i riflettori quando vengono arrestati importanti trafficanti di droga o autori di frodi con carte di credito. Tuttavia, anche i siti del dark web ospitano molte attività legali, come le comunicazioni dei dissidenti politici. Considerare intrinsecamente illecito ogni contenuto nascosto significa ignorare queste sfumature del dark web.

Come funziona il dark web?

Il dark web funziona tramite l'onion routing, sviluppato a metà degli anni Novanta dai ricercatori dello U.S. Naval Research Laboratory e distribuito come software open source Tor nel 2002. Il suo funzionamento spiega perché attribuire le attività è difficile e perché le operazioni di smantellamento durano anni:

1. Il vostro client Tor seleziona casualmente tre relay gestiti da volontari da un insieme globale e li cambia periodicamente.
2. Il traffico viene crittografato in tre livelli, uno per relay, come gli strati di una cipolla.
3. Ogni relay decifra solo il proprio livello e conosce soltanto il passaggio precedente e quello successivo. Nessuno conosce sia il vostro indirizzo IP sia la destinazione.
4. Un servizio .onion non ha un relay di uscita. Il client e il servizio creano ciascuno un circuito verso un punto d'incontro condiviso, così nessuno dei due conosce la posizione dell'altro.
5. L'indirizzo è una stringa di 56 caratteri derivata da una chiave pubblica crittografica, che il DNS convenzionale non risolve.

Le operazioni di smantellamento sfruttano gli errori degli operatori: un indirizzo email riutilizzato, un pagamento tracciabile, un'infrastruttura riciclata. Quando un'operazione guidata dagli Stati Uniti con Europol ha sequestrato AlphaBay nel luglio 2017, all'epoca il più grande marketplace del dark web in attività, gli investigatori avevano identificato il suo amministratore tramite un indirizzo email personale lasciato nei primi messaggi automatici del sito. La crittografia di Tor ha retto. Queste abitudini determinano l'aspetto dei siti del dark web.

Ottenere informazioni più approfondite sulle minacce

Scoprite come il servizio di caccia alle minacce WatchTower di SentinelOne può far emergere maggiori informazioni e aiutarvi a superare gli attacchi.

Per saperne di più

Che aspetto ha il dark web?

La maggior parte dei siti del dark web contiene soprattutto testo, ha una grafica essenziale ed è lenta, perché ogni caricamento attraversa diversi relay e le configurazioni rafforzate di Tor bloccano gli script e le immagini che rendono veloci i siti moderni.

Ogni funzionalità rimossa elimina un ulteriore percorso di deanonimizzazione. Anche solo raggiungere quell'interfaccia richiede una preparazione deliberata.

Come accedere al dark web in sicurezza

L'accesso è un'attività di ricerca con possibili ripercussioni, non una scelta di navigazione. Analisti, investigatori antifrode e addetti alla risposta agli incidenti hanno motivo di accedervi. Gli altri utenti della vostra rete no. Se autorizzate l'accesso, definite i limiti prima che qualcuno apra un browser:

1. Tor Browser come client. Tor è gratuito e open source e risolve gli indirizzi .onion che i browser comuni non riconoscono. Scaricatelo solo dal Tor Project. I programmi di installazione contraffatti diffusi tramite annunci nei motori di ricerca sono un problema ricorrente.
2. Una VPN davanti a Tor. Nasconde l'uso di Tor al vostro ISP e, soprattutto per un'azienda, esclude gli indirizzi IP aziendali dalla connessione. L'attribuzione funziona in entrambe le direzioni: se un gestore di marketplace nota nei propri log un blocco di indirizzi aziendali, scopre chi lo sta osservando.
3. Una macchina isolata. Una macchina virtuale dedicata o una rete di ricerca segmentata tiene la sessione lontana dalle credenziali di produzione e dai sistemi interni. La segmentazione della rete è il controllo che limita ciò a cui può accedere un host di ricerca compromesso.
4. Solo indirizzi verificati. Non esiste un indice autorevole e i siti .onion contraffatti che imitano marketplace reali per sottrarre credenziali di accesso sono comuni. Usate gli indirizzi già convalidati dal vostro team di intelligence, mai quelli di una directory qualsiasi.
5. Una policy scritta. Navigare è legale negli Stati Uniti e in gran parte d'Europa, ma non ogni attività lo è. Alcune giurisdizioni monitorano o bloccano del tutto le reti di anonimizzazione. Definite in anticipo quali ruoli possono accedere, da dove e con quali contenuti possono interagire.

L'accesso manuale ha un limite. Un analista può leggere pochi forum, ma le esposizioni che vi riguardano sono distribuite su centinaia di forum, perlopiù accessibili solo su invito. Dietro quell'interfaccia essenziale opera una vera economia. Analizzarla su larga scala è un problema di raccolta dei dati.

Cosa c'è nel dark web? Cosa potete trovare

I contenuti del dark web si dividono in tre gruppi che un programma di monitoraggio gestisce in modo diverso: marketplace che vendono accessi, siti di divulgazione che pubblicano dati rubati e servizi legittimi che hanno bisogno dell'anonimato per operare.

Marketplace e servizi del cybercrime

I marketplace del dark web sono la componente più rilevante sul piano operativo: trasformano una singola password rubata in un prodotto con un prezzo, un venditore e un acquirente:

• Credenziali rubate: log degli infostealer, cookie di sessione e pacchetti di identità alla base degli attacchi di acquisizione degli account compromessi.
• Ransomware-as-a-service: programmi di affiliazione che fanno distribuire payload di crittografia ad attori poco esperti in cambio di una quota dei proventi.
• Broker di accesso iniziale: venditori che violano un'organizzazione e rivendono l'accesso ottenuto. Le credenziali VPN aziendali sono tra le più costose.
• Kit di exploit: malware builder e loader, exploit zero-day e infrastrutture d'attacco a noleggio.

Ognuna di queste offerte può citare direttamente la vostra organizzazione, trasformando il monitoraggio dei marketplace in intelligence utilizzabile.

Siti di divulgazione e raccolte di dati rubati

I gruppi dediti all'estorsione gestiscono siti .onion dedicati alla divulgazione dei file rubati alle vittime che rifiutano di pagare. Queste raccolte includono abitualmente credenziali interne, documenti finanziari e documentazione tecnica.

I siti svolgono una doppia funzione: fanno pressione sulla vittima e mostrano le capacità del gruppo ai potenziali affiliati. REvil usava proprio questo modello durante la campagna zero-day del luglio 2021 contro il software VSA di Kaseya. La campagna ha raggiunto circa 1.500 aziende tramite i fornitori di servizi gestiti ed è stata accompagnata da una richiesta di 70 milioni di dollari. CISA e FBI hanno pubblicato indicazioni congiunte per i fornitori colpiti nel giro di pochi giorni.

Contenuti legittimi e protetti

Una quota significativa del traffico nel dark web proviene da persone la cui sicurezza dipende dall'anonimato. SecureDrop è usato da redazioni come The New York Times su indirizzi .onion, così le fonti possono inviare documenti in forma anonima. Anche la BBC rende disponibili i propri contenuti al pubblico dei Paesi che impongono la censura.

Le comunità dedicate alla privacy e i crawler accademici che alimentano il patrimonio pubblico di intelligence open source condividono la stessa rete. Entrambi i gruppi dipendono da questa rete: perciò bloccarla indiscriminatamente non è una strategia di sicurezza. Ciò che arriva effettivamente alla vostra organizzazione da quella rete è più circoscritto e più facile da identificare.

I rischi del dark web per la vostra organizzazione

L'esposizione delle credenziali trasforma l'attività nel dark web in un incidente sulla vostra rete. In 143 valutazioni di organizzazioni che gestiscono infrastrutture critiche, CISA ha rilevato che l'uso di account validi (T1078) era la più comune tecnica di attacco riuscita, responsabile del 41% dei tentativi riusciti. Le credenziali rubate sono esattamente ciò che vendono i marketplace del dark web.

DarkSide, un gruppo ransomware-as-a-service che reclutava membri nei forum del dark web e gestiva un proprio sito per la pubblicazione dei dati sottratti, ha bloccato per giorni il più grande oleodotto per carburanti della costa orientale degli Stati Uniti nel maggio 2021, sfruttando un'unica credenziale VPN compromessa. Colonial ha pagato circa 75 bitcoin. L'FBI ha poi rintracciato e sequestrato 63,7 di questi attraverso il registro pubblico.

Le esposizioni sul dark web da monitorare:

• Riutilizzo delle credenziali: una password trapelata da una violazione presso terzi apre l'accesso agli account aziendali ovunque sia stata riutilizzata.
• Dati presso terzi: un fornitore compromesso può far finire i vostri dati su un sito del dark web per la pubblicazione dei dati sottratti, anche se i vostri sistemi restano intatti.
• Abuso del brand: kit di phishing creati per imitare le vostre pagine di accesso, domini simili ai vostri e portali falsi vengono scambiati apertamente.
• Selezione dei bersagli prima dell'attacco: gli affiliati discutono la scelta dei bersagli, quindi il nome della vostra azienda può comparire prima che venga cifrato qualsiasi dato.
• Segnali di minacce interne: talvolta i dipendenti pubblicizzano la vendita dell'accesso ai sistemi interni: un segnale precoce dall'interno.

Ciascuna di queste esposizioni è rilevabile raccogliendo i dati giusti, mentre Singularity Identity rileva ciò che sfugge alla raccolta dei dati, segnalando una credenziale trapelata non appena qualcuno la usa. La maggior parte dei team non dispone né dell'una né dell'altro, soprattutto a causa di alcuni miti persistenti.

Sfatiamo i miti più comuni sul dark web

Comprendere correttamente il dark web cambia le decisioni sul suo monitoraggio. Le convinzioni seguenti portano i programmi di sicurezza fuori strada, spesso facendo apparire il problema irrisolvibile o irrilevante.

Quest'ultima convinzione è la più dannosa, perché nasconde metà delle persone presenti nella rete e il motivo per cui non possono abbandonarla.

Migliorare l'intelligence sulle minacce

Scoprite come il servizio di caccia alle minacce WatchTower di SentinelOne può far emergere maggiori informazioni e aiutarvi a superare gli attacchi.

Per saperne di più

Perché le persone usano il dark web? Perché esiste?

Le persone usano il dark web per nascondere attività commerciali criminali oppure per sfuggire alla sorveglianza e ai pericoli fisici. Sono motivazioni inconciliabili, eppure entrambi i gruppi fanno affidamento sulle stesse garanzie di anonimato. Il vostro modello delle minacce deve tenerne conto.

Perché lo usano i criminali

I criminali usano il dark web perché risolve il problema più difficile del commercio illegale: vendere a sconosciuti senza rivelare la propria identità. Punteggi di reputazione, servizi di deposito a garanzia e forum per le controversie creano la fiducia normalmente assicurata dall'identità; le criptovalute regolano i pagamenti. Questo sistema fa sì che una singola violazione dei dati continui a generare profitti per anni dopo la chiusura dell'intrusione.

Perché gli utenti legittimi ne dipendono

Giornalisti, dissidenti e sopravvissuti ad abusi dipendono dal dark web per la propria sicurezza fisica, perché le email e le piattaforme social tradizionali rivelano metadati su chi ha contattato chi e quando. Tor è stato progettato pensando a questi utenti. Proprio per questo ha ricevuto finanziamenti dal governo statunitense. La stessa garanzia serve entrambi i gruppi, ed è per questo che la terminologia resta confusa.

Il black web e altri termini alternativi

Black web, black website e dark network indicano tutti il dark web, che resta il termine tecnico standard da usare in un report:

• Black web e black website: espressioni informali, comuni negli articoli divulgativi.
• Dark network: l'infrastruttura che garantisce l'anonimato, principalmente Tor, con I2P e Freenet come alternative meno diffuse.
• Darknet: un mercato o forum specifico che opera su quell'infrastruttura.

Chiarire il termine una volta evita equivoci quando un dirigente chiede del black web e un analista risponde parlando della copertura dei siti .onion.

Monitorate il dark web con SentinelOne

Il monitoraggio del dark web è utile solo se è continuo e collegato ai vostri asset. Quando arriva il risultato di una scansione settimanale, le credenziali sono già state usate, i dati si sono diffusi e una campagna è già in corso.

La raccolta diretta di SentinelOne copre forum del dark web e comunità chiuse, fornendo indicatori di compromissione e risultati specifici per la vostra organizzazione sull'esposizione delle credenziali e sulla pianificazione delle campagne. ricerca delle minacce Wayfinder affianca a questi dati analisti esperti, così ogni indicatore vi arriva con attribuzione e contesto.

Singularity AI SIEM correla queste informazioni con la vostra telemetria su Singularity Data Lake, trasformando una credenziale divulgata in una domanda precisa sul vostro ambiente. Purple AI conduce quindi l'indagine con query autonome in linguaggio naturale articolate in più passaggi. In uno studio IDC Business Value, gli utenti di Purple AI hanno identificato le minacce il 63% più velocemente e le hanno corrette il 55% più velocemente rispetto ai team che lavorano manualmente.

Singularity Identity e Singularity Endpoint completano la risposta quando viene usata una credenziale esposta. Behavioral AI rileva gli accessi da luoghi incompatibili con i tempi di viaggio, la piattaforma può isolare autonomamente la sessione prima che un attaccante si insedi e Storyline ricostruisce ogni processo, connessione e movimento laterale in un'unica cronologia.

Latio ha nominato SentinelOne Leader tra le piattaforme SOC nel suo Security Operations Market Report 2026, la prima valutazione delle piattaforme SOC condotta dall'azienda.

Richiedete una demo di SentinelOne per scoprire come le informazioni sui mercati criminali si integrano nella risposta per endpoint e identità.

Il futuro del dark web

Il dark web continuerà a evolversi grazie a nuove tecnologie per l'anonimato, ai cambiamenti legislativi e alle esigenze degli utenti. Prevederne il futuro richiede di analizzare le tendenze nella crittografia, nella regolamentazione e nelle criptovalute.

Ecco cinque segnali di come potrebbe essere l'Internet nascosta di domani:

1. Evoluzione dei protocolli per l'anonimato: Metodi di crittografia avanzati, sistemi di instradamento migliori e nuove reti orientate alla privacy potrebbero rafforzare ulteriormente il dark web. I ricercatori stanno sperimentando la crittografia post-quantistica per garantire la sicurezza anche di fronte ai futuri progressi del calcolo. Questa maggiore complessità rende difficile per le forze dell'ordine infiltrarsi nel dark web, confermando quanto sia ancora difficile penetrarlo.
2. Ascesa delle reti alternative: Al momento Tor è la rete più diffusa, ma altre reti per l'anonimato, come I2P, potrebbero guadagnare popolarità. Ognuna ha caratteristiche proprie, dalle velocità elevate alla maggiore compatibilità con lo streaming. Queste alternative ampliano le tipologie di siti del dark web, perché offrono modi diversi per ospitare contenuti nascosti. Un'Internet nascosta più frammentata potrebbe richiedere approcci diversi per analizzare e monitorare il dark web.
3. Innovazioni nelle criptovalute: Il legame tra criptovalute e dark web probabilmente si evolverà ancora, con l'aumento delle valute che favoriscono i trasferimenti anonimi. La presenza di blockchain orientate alla privacy, come Zcash o Beam, dimostra che la domanda di strumenti finanziari anonimi persiste. Anche i governi stanno sviluppando valute digitali che potrebbero rallentare o ridefinire i mercati del dark web.
4. Normative più severe: I parlamenti di diversi Paesi stanno valutando leggi che vietino o regolamentino l’uso di strumenti nel dark web. Ad esempio, alcune proposte riguardano i servizi di crittografia o anonimato e prevedono l’introduzione di backdoor o l’obbligo di conservazione dei dati. Queste politiche potrebbero ridurre l’uso generale di Internet, ma aumentarne l’uso da parte dei criminali. Il dark web potrebbe dividersi in due poli distinti, uno puramente criminale e uno puramente legale, con nicchie specializzate nel mezzo.
5. Crescita della threat intelligence aziendale: Si prevede che sempre più aziende presteranno attenzione al dark web per prevenire le fughe di dati e individuare nuove minacce. Questo le ha portate a richiedere prove che un'organizzazione disponga di strumenti di scansione efficaci prima di concederle una copertura. Di conseguenza, aumenterà significativamente l'uso del dark web per scopi legittimi, ad esempio da parte dei team di sicurezza e di tutela del brand. È possibile che questa professionalizzazione cambi in futuro la natura delle comunità online nascoste.