Cos’è il Dark Web? Significato, definizione e come funziona

Cos’è il Dark Web?

Il dark web è un livello di internet che opera su reti overlay crittografate e richiede software appositamente progettato per accedervi. I browser standard non possono aprirlo e i motori di ricerca non lo indicizzano. Il significato di dark web è ristretto nella pratica. Né l’host né il visitatore possono essere localizzati.

Nel giugno 2025, lo U.S. Secret Service e l’FBI hanno sequestrato circa 145 domini darknet collegati al marketplace BidenCash, che vendeva carte di pagamento rubate e credenziali compromesse.

Se gestisci operazioni di sicurezza, il dark web è il luogo in cui le tue credenziali rubate vengono valutate e rivendute. Questa pagina spiega come funziona la rete, cosa contiene e cosa monitorare.

Dark Web vs Deep Web vs Surface Web

C’è ancora molta confusione tra deep web e dark web. Di conseguenza, ‘Dark Web’ viene spesso usato in modo intercambiabile con ‘Deep Web,’ ma in realtà sono due cose diverse. Il “Surface Web” comprende i siti WWW ricercabili tramite motori di ricerca come Google o Bing.

Tutto ciò che va oltre quell’indice, nascosto dietro una password o qualsiasi software, è noto come Deep Web o Dark Web. La differenza tra deep web, dark web e siti surface è essenziale per le organizzazioni che valutano le minacce provenienti da internet.

1. Surface Web – Facilmente indicizzato: Il surface web comprende tutte le informazioni a cui è possibile accedere tramite un browser web standard e utilizzando i crawler standard dei motori di ricerca. Questo include siti di notizie, pagine di social media, siti aziendali e negozi online, tra gli altri. È possibile accedere a questi domini tramite link forniti dai siti web o tramite i risultati dei motori di ricerca. Rappresenta solo una piccola parte di Internet, ma le persone lo associano al termine ‘Web.’
2. Deep Web – Pagine non indicizzate: Le pagine del Deep Web non sono indicizzate nei motori di ricerca tipici poiché si trovano dietro un paywall o in una rete privata. Alcuni esempi includono i database interni dell’azienda, le email protette da password e riviste e periodici a pagamento. Questa dimensione non indicizzata è molto più grande del surface web in termini di dimensioni. È importante notare che il deep web non ha implicazioni criminali, ma alcuni siti del dark web vengono spesso definiti deep web.
3. Dark Web – Anonimato per progettazione: Il Dark Web è una parte del Deep Web, costituita da siti ospitati su reti anonime come Tor o I2P. Chiamati anche “siti onion v3” sulla rete Tor, questi domini hanno caratteri casuali e terminano con “.onion.” Sono accessibili tramite browser dark web per garantire che l’identità dell’utente e l’indirizzo IP siano nascosti. Questo ambiente supporta gruppi di discussione riservati, commercio illecito e modalità di comunicazione sicure.
4. Differenze di accessibilità: Trovare i siti surface è semplice quanto cercare su Google. La maggior parte delle pagine del Deep Web richiede un nome utente e una password oppure l’indirizzo effettivo della pagina. Al contrario, le risorse del Dark Web sono accessibili solo con l’aiuto di software specifici o del motore di ricerca dark web che opera all’interno delle reti di anonimato. Molti principianti si chiedono: “cos’è il dark web?” quando apprendono questi passaggi di accessibilità unici, molto diversi dal semplice e aperto surface web.
5. Varietà dei contenuti: Il surface web comprende articoli, blog e siti di e-commerce, mentre il Deep Web include informazioni private, documenti protetti da password e reti interne. D’altra parte, i siti dark web possono contenere di tutto, dai forum di discussione per attivisti politici ai mercati di narcotici. La gamma è ampia, il che dimostra che l’attività sul dark web può essere piuttosto utile e legale, oltre che completamente illecita.
6. Implicazioni per la sicurezza: Sebbene la maggior parte delle interazioni sul Surface Web e persino sul Deep Web siano sicure, a causa dell'anonimato del Dark Web i rischi sono maggiori. Questo è il luogo in cui i threat actor si recano per acquistare e vendere dati rubati e strumenti di hacking o per collaborare tra loro. Le aziende utilizzano servizi di scansione del dark web per monitorare credenziali rubate o altra proprietà intellettuale dell'azienda. La categorizzazione Dark Web vs Surface Web è utile perché spiega quanto rischio è in gioco quando i dati di un'organizzazione finiscono nel Dark Web.
7. Percezione e legalità: Sebbene il Deep Web sia per lo più innocuo, il dark web ha un’immagine sinistra a causa dei mercati neri e dei gruppi di hacking. Questo tipo di sito viene solitamente portato alla ribalta quando vengono arrestati grandi trafficanti di droga o autori di frodi con carte di credito. Tuttavia, anche i siti dark web contengono molte attività legali, ad esempio le comunicazioni dei dissidenti politici. In questo caso, percepire tutti i contenuti nascosti come intrinsecamente illeciti trascura gli aspetti più sfumati del Dark Web.

Come funziona il Dark Web?

Il dark web funziona tramite onion routing, sviluppato a metà degli anni ’90 dai ricercatori dello U.S. Naval Research Laboratory e rilasciato come software Tor open source nel 2002. Il suo funzionamento spiega perché l’attribuzione è difficile e perché le operazioni di takedown durano anni:

1. Il tuo client Tor seleziona casualmente tre relay gestiti da volontari da un pool globale, ruotandoli periodicamente.
2. Il traffico è crittografato in tre livelli, uno per relay, come una cipolla.
3. Ogni relay decrittografa solo il proprio livello, apprendendo soltanto il salto precedente e quello successivo. Nessuno conosce sia il tuo indirizzo IP sia la destinazione.
4. Un servizio .onion non ha relay di uscita. Client e servizio costruiscono ciascuno un circuito verso un punto di rendezvous condiviso, così nessuno dei due apprende la posizione dell’altro.
5. L’indirizzo è una stringa di 56 caratteri derivata da una chiave pubblica crittografica, che il DNS convenzionale non risolve mai.

I takedown derivano da errori degli operatori: un indirizzo email riutilizzato, un pagamento tracciabile, un’infrastruttura riciclata. Quando un’operazione guidata dagli Stati Uniti con Europol ha sequestrato AlphaBay nel luglio 2017, allora il più grande marketplace dark web operativo, gli investigatori avevano identificato il suo amministratore tramite un indirizzo email personale lasciato nei primi messaggi automatici del sito. La crittografia di Tor ha retto. Queste abitudini influenzano l’aspetto dei siti dark web.

Ottenere informazioni più approfondite sulle minacce

Scoprite come il servizio di caccia alle minacce WatchTower di SentinelOne può far emergere maggiori informazioni e aiutarvi a superare gli attacchi.

Per saperne di più

Che aspetto ha il Dark Web?

La maggior parte dei siti dark web è ricca di testo, visivamente essenziale e lenta, perché ogni caricamento di pagina attraversa diversi relay e le configurazioni Tor rafforzate bloccano gli script e le immagini che rendono veloci i siti moderni.

Ogni funzionalità rimossa chiude un ulteriore percorso di de-anonimizzazione. Raggiungere quell'interfaccia richiede comunque una configurazione intenzionale.

Come accedere al dark web in sicurezza

L'accesso è un'attività di ricerca con un raggio d'impatto, non una decisione di navigazione. Analisti, investigatori antifrode e responder agli incidenti hanno motivo di andarci. Tutti gli altri nella tua rete no. Dove lo consenti, definisci il perimetro prima che qualcuno apra un browser:

1. Tor Browser come client. Tor è gratuito e open source, e risolve gli indirizzi .onion che i browser ordinari non possono risolvere. Scaricalo solo dal Tor Project. I programmi di installazione clonati diffusi tramite annunci di ricerca sono un problema costante.
2. Una VPN davanti a Tor. Questo nasconde il fatto dell'uso di Tor al tuo ISP e, cosa più importante per un'azienda, mantiene lo spazio IP aziendale fuori dalla connessione. L'attribuzione funziona in entrambe le direzioni: un operatore di mercato che individua un blocco di indirizzi enterprise nei propri log capisce chi sta osservando.
3. Una macchina isolata. Una macchina virtuale dedicata o una rete di ricerca segmentata mantiene la sessione lontana dalle credenziali di produzione e dai sistemi interni. Segmentazione di rete è il controllo che limita ciò che un host di ricerca compromesso può raggiungere.
4. Solo indirizzi verificati. Non esiste un indice autorevole e i siti .onion clonati che rispecchiano mercati reali per raccogliere credenziali di accesso sono comuni. Lavora partendo da indirizzi che il tuo team di intelligence ha già convalidato, mai da una directory casuale.
5. Una policy scritta. La navigazione è legale negli Stati Uniti e nella maggior parte dell'Europa, ma il comportamento non lo è, e alcune giurisdizioni monitorano o bloccano apertamente le reti di anonimizzazione. Definisci in anticipo quali ruoli possono accedere, da dove e con cosa possono interagire.

L'accesso manuale ha un limite. Un analista può leggere una manciata di forum; l'esposizione che conta per te è distribuita su centinaia, la maggior parte dei quali solo su invito. Ciò che sopravvive all'interno di quella semplice interfaccia è un'economia funzionante, e leggerla su larga scala è un problema di raccolta.

Cosa c'è nel dark web? Cosa puoi trovare

Ciò che si trova nel dark web si suddivide in tre gruppi che un programma di monitoraggio gestisce in modo diverso: mercati che vendono accessi, leak site che pubblicano dati rubati e servizi legittimi che hanno bisogno dell'anonimato per poter operare.

Mercati e servizi di cybercrime

I marketplace del dark web sono la parte che conta dal punto di vista operativo, trasformando una singola password rubata in un prodotto con un prezzo, un venditore e un acquirente:

• Credenziali rubate: log di infostealer, cookie di sessione e i pacchetti di identità dietro gli attacchi di account takeover.
• Ransomware-as-a-service: programmi di affiliazione che consentono ad attori con scarse competenze di distribuire payload di cifratura in cambio di una quota dei proventi.
• Initial access broker: venditori che violano un'organizzazione e rivendono il punto d'accesso, con le credenziali VPN aziendali tra le più costose.
• Exploit kit: malware builder, loader, zero-day exploit, e infrastruttura di attacco noleggiata.

Ognuno di questi può nominare direttamente la tua organizzazione, trasformando il monitoraggio dei mercati in intelligence utilizzabile.

Leak site e dump di dati

I gruppi di estorsione gestiscono leak site .onion dedicati che pubblicano file rubati alle vittime che rifiutano di pagare, e questi dump includono regolarmente credenziali interne, registri finanziari e documentazione tecnica.

I siti svolgono una doppia funzione: fare pressione sulla vittima e al tempo stesso pubblicizzare le proprie capacità agli affiliati. REvil gestiva esattamente questa configurazione insieme alla sua campagna zero-day del luglio 2021 contro il software VSA di Kaseya, che ha raggiunto circa 1.500 aziende tramite managed service provider e comportava una richiesta di 70 milioni di dollari. CISA e l'FBI hanno emesso linee guida congiunte per i provider interessati nel giro di pochi giorni.

Contenuti legittimi e protetti

Una quota sostanziale del traffico del dark web serve persone la cui sicurezza dipende dall'anonimato. SecureDrop nelle redazioni, incluso The New York Times, utilizzano indirizzi .onion affinché le fonti possano inviare documenti in modo anonimo, e la BBC rispecchia i propri contenuti giornalistici per il pubblico nei paesi soggetti a censura.

Le community sulla privacy e i crawler accademici che alimentano il patrimonio pubblico di open source intelligence ne condividono una parte. Entrambe le popolazioni dipendono dalla stessa rete, ed è per questo che un blocco indiscriminato non è una strategia di sicurezza. Ciò che effettivamente arriva dal lato della tua rete è più ristretto e più facile da definire.

Rischi del dark web per la tua organizzazione

L'esposizione delle credenziali è ciò che trasforma l'attività del dark web in un incidente sulla tua rete. In 143 valutazioni di organizzazioni di infrastrutture critiche, CISA ha rilevato che gli account validi (T1078) erano la più comune tecnica di attacco, responsabile del 41% dei tentativi riusciti. Le credenziali rubate sono esattamente ciò che vendono i mercati del dark web.

DarkSide, un gruppo ransomware-as-a-service che reclutava nei forum del dark web e gestiva un proprio sito di leak, ha messo fuori uso per giorni il più grande oleodotto di carburante della costa orientale degli Stati Uniti nel maggio 2021 tramite una singola credenziale VPN compromessa. Colonial ha pagato circa 75 bitcoin; l'FBI in seguito ha tracciato e sequestrato 63,7 di essi attraverso il registro pubblico.

Le esposizioni del dark web da monitorare:

• Riutilizzo delle credenziali: una password divulgata in una violazione di terze parti sblocca gli account aziendali ovunque sia stata riutilizzata.
• Dati di terze parti: un fornitore compromesso può mettere i tuoi dati su un sito di leak del dark web mentre i tuoi sistemi restano intatti.
• Abuso del brand: kit di phishing creati contro le tue pagine di accesso, domini sosia e portali falsi vengono scambiati apertamente.
• Targeting pre-attacco: gli affiliati discutono la selezione dei target, quindi il tuo nome può comparire prima che qualsiasi cosa venga cifrata.
• Segnali di minaccia interna: i dipendenti occasionalmente pubblicizzano accesso interno in vendita, un avviso precoce dall'interno.

Ciascuna è osservabile con la giusta raccolta, e Singularity Identity rileva ciò che la raccolta non intercetta segnalando una credenziale divulgata nel momento in cui qualcuno la usa. La maggior parte dei team non ha nessuna delle due cose, in gran parte a causa di alcuni miti persistenti.

Correggere i miti comuni sul dark web

Modelli mentali accurati cambiano le decisioni sul monitoraggio del dark web. Le ipotesi riportate di seguito indirizzano i programmi di sicurezza nella direzione sbagliata, di solito facendo sembrare il problema senza speranza o irrilevante.

L'ultima costa di più, perché nasconde metà di chi si trova sulla rete e perché non può lasciarla.

Migliorare l'intelligence sulle minacce

Scoprite come il servizio di caccia alle minacce WatchTower di SentinelOne può far emergere maggiori informazioni e aiutarvi a superare gli attacchi.

Per saperne di più

Perché le persone usano il dark web? Perché esiste?

Le persone usano il dark web per nascondere il commercio criminale o per sfuggire alla sorveglianza e al pericolo fisico. Queste motivazioni sono incompatibili, eppure entrambe le popolazioni si affidano a garanzie di anonimato identiche. Il tuo modello di minaccia deve tenerne conto.

Perché i criminali lo usano

I criminali usano il dark web perché risolve il problema più difficile del commercio illegale: vendere a sconosciuti senza rivelare chi sei. Punteggi di reputazione, escrow e forum per le controversie forniscono la fiducia che normalmente offre l'identità; la criptovaluta regola il pagamento. Questo meccanismo è ciò che consente a una singola violazione dei dati di continuare a generare guadagni per anni dopo che l'intrusione stessa è stata chiusa.

Perché gli utenti legittimi ne dipendono

Giornalisti, dissidenti e sopravvissuti ad abusi dipendono dal dark web per la sicurezza fisica, perché l'email standard e le piattaforme social divulgano metadati che rivelano chi ha contattato chi e quando. Tor è stato progettato pensando a questi utenti. I finanziamenti del governo degli Stati Uniti lo hanno sostenuto proprio per questo motivo. Un'unica garanzia serve entrambi i gruppi, ed è per questo che il vocabolario resta confuso.

Il Black Web e altri termini alternativi

Il black web, il black website e la dark network rimandano tutti al dark web, che resta il termine tecnico standard e quello da usare in un report:

• Il black web e il black website: formulazioni informali, comuni nella trattazione generale.
• La dark network: l'infrastruttura di anonimizzazione stessa, principalmente Tor, con I2P e Freenet come alternative minori.
• Darknet: un particolare mercato o forum in esecuzione su tale infrastruttura.

Tradurre una volta evita confusione quando un dirigente chiede del black web e un analista risponde sulla copertura .onion.

Monitora il Dark Web con SentinelOne

Il monitoraggio del dark web aiuta solo quando viene eseguito in modo continuo e mappato sui tuoi asset. Quando una scansione settimanale restituisce i risultati, le credenziali sono già state usate, i dati si sono già diffusi e una campagna è già in corso.

La raccolta proprietaria di SentinelOne copre forum del dark web e comunità chiuse, restituendo indicatori di compromissione insieme a risultati specifici per l'organizzazione sull'esposizione delle credenziali e sulla pianificazione delle campagne. Wayfinder threat hunting abbina quel feed ad analisti umani, così un indicatore ti raggiunge con attribuzione e contesto allegati.

Singularity AI SIEM correla tale intelligence con la tua telemetria nel Singularity Data Lake, trasformando una credenziale trapelata in una domanda specifica sul tuo ambiente. Purple AI esegue quindi l'indagine come query autonome in più fasi in linguaggio naturale. In uno studio IDC Business Value, gli utenti di Purple AI hanno identificato le minacce il 63% più velocemente e hanno corretto il 55% più velocemente rispetto ai team che lavorano manualmente.

Singularity Identity e Singularity Endpoint chiudono il ciclo quando viene usata una credenziale esposta. La Behavioral AI rileva il pattern di viaggio impossibile, la piattaforma può isolare autonomamente la sessione prima che un attaccante ottenga un punto d'appoggio e Storyline ricostruisce ogni processo, connessione e movimento laterale su un'unica timeline.

Latio ha nominato SentinelOne leader delle piattaforme SOC nel suo Security Operations Market Report 2026, la prima valutazione dell'azienda sulle piattaforme SOC.

Richiedi una demo di SentinelOne per vedere l'intelligence sui mercati criminali integrata nella risposta di endpoint e identità.

Futuro del Dark Web

Il dark web continuerà a svilupparsi con l'aiuto di nuove tecnologie di anonimato, cambiamenti nella legislazione e bisogni degli utenti. Prevederne il futuro implica analizzare le tendenze in crittografia, normative e criptovalute.

Ecco cinque segnali di come potrebbe essere l'Internet nascosto di domani:

1. Protocolli di anonimato in evoluzione: Metodi avanzati di crittografia, sistemi di instradamento migliori e future reti per la privacy possono rendere il dark web ancora più efficace. Gli scienziati stanno attualmente sperimentando l'uso della crittografia post-quantistica per garantire la sicurezza contro i futuri progressi dell'informatica. Questa maggiore complessità rende difficile per le forze dell'ordine penetrare il dark web, indicando quindi che il dark web è ancora molto difficile da violare.
2. Ascesa di reti alternative: Al momento, Tor è il più popolare, ma esistono altre reti di anonimato come I2P che potrebbero diventare più popolari in futuro. Tutte hanno attributi specifici, dalle alte velocità alla compatibilità migliorata con lo streaming. Queste alternative ampliano la classificazione dei siti dark web poiché offrono varie possibilità per ospitare contenuti nascosti. Un internet nascosto più frammentato potrebbe richiedere approcci diversi per scansionare e monitorare il dark web.
3. Innovazioni nelle criptovalute: La connessione tra criptovalute e dark web probabilmente evolverà ulteriormente man mano che più monete promuoveranno trasferimenti anonimi. La presenza di blockchain orientate alla privacy come Zcash o Beam dimostra che la necessità di strumenti finanziari anonimi rimane presente. I governi, d'altra parte, non sono rimasti indietro nello sviluppo di valute digitali che rallentano o ridefiniscono i mercati dark.
4. Normative più rigorose:I parlamenti di diversi paesi stanno valutando l'approvazione di leggi che vieteranno o regolamenteranno l'uso di strumenti sul dark web. Ad esempio, le proposte prendono di mira i servizi di crittografia o anonimato attraverso l'implementazione di backdoor o la conservazione obbligatoria dei dati. Queste politiche potrebbero ridurre l'uso generale di Internet ma potrebbero comportare un aumento dell'utilizzo da parte dei criminali. Il dark web potrebbe dividersi in due poli distinti, quello puramente criminale e quello puramente legale, ma con nicchie specializzate nel mezzo.
5. Crescita dell'intelligence aziendale: Si prevede che un numero maggiore di aziende presterà attenzione al dark web per prevenire le fughe di dati e riconoscere nuove minacce. Questo le ha portate a richiedere prove che l'organizzazione disponga di soluzioni di scansione efficaci prima di poter essere coperte. Di conseguenza, l'uso del dark web per gli scopi corretti, ad esempio da parte del personale di sicurezza e dei team di protezione del brand, aumenterà in modo significativo. È possibile che tale professionalizzazione possa influenzare in futuro la natura delle comunità online nascoste.