Il phishing imitava una banca. La banca può rivalersi su di me?

Il titolare del sito compromesso è di norma una vittima, non un complice, ma può ricevere richieste di rimozione e domande sui tempi di reazione. Conservare la copia della cartella, i log e la data della rimozione è il modo per dimostrare di aver agito subito. In caso di dubbio, una consulenza legale è più utile di una cancellazione frettolosa.

Ho rimosso il kit ma Chrome segnala ancora il sito come pericoloso. Quanto dura?

Finché non viene richiesta e completata la revisione. Google la si chiede dalla Search Console, sezione problemi di sicurezza, dopo aver verificato che non restino altri artefatti; i tempi tipici sono da poche ore a qualche giorno. Le altre liste seguono con ritardi propri. La guida sulla rimozione dalla blacklist di Google descrive il percorso passo per passo.

CriticoFamiglia antivirus

php.tool.phish: il tuo sito ospita una pagina di phishing

php.tool.phish è la firma di un kit di phishing: una o più pagine che imitano il login di una banca, di un corriere, di un servizio di posta o di un ente, caricate sul tuo sito per raccogliere credenziali di persone che non hanno nulla a che fare con te. Nel corpus di misura di WPsec.it dell'agosto 2026 compare su 4 domini e 2 server; il 93% dei file stava fuori dalle cartelle di WordPress, in una cartella dedicata, e il 74% era già stato svuotato dall'antivirus quando lo abbiamo osservato.

Famiglia: Kit di phishing · Anche noto come: phish, tool.phish, phishing kit · Aggiornato il 1 settembre 2026

Le stringhe esatte

Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.

php.tool.phish
SMW-BLKH-SA-CLOUDAV-php.tool.phish
php.phish
php.phish.redi

Dove si trova

In una cartella creata apposta, fuori da WordPress o in wp-content/uploads, con un nome che imita il servizio copiato
Con file .php per la raccolta dei dati e file .txt o .html per le pagine e i risultati: nel corpus il 22% dei file era .txt
Con un file di risultati accanto: il kit scrive le credenziali raccolte in un file di testo nella stessa cartella

Cosa fa

Raccoglie credenziali e dati di pagamento di terzi e li invia all'attaccante via email o li salva in un file sul tuo spazio.
Fa finire il tuo dominio nelle liste di phishing di browser e antivirus: Google Safe Browsing, Microsoft SmartScreen, i filtri di posta. Il sito viene segnalato come pericoloso anche per i tuoi visitatori.
Espone il titolare del sito a segnalazioni da parte dell'ente imitato e a richieste di rimozione: la cartella è la prova, e va conservata prima di essere eliminata.

Come verificare

Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.

Cerca cartelle e pagine di login che non appartengono al tuo sito

grep -rlI -iE '(password|passwd|codice cliente|numero carta|card number)' --include='*.html' --include='*.php' --include='*.htm' wp-content/uploads/ . 2>/dev/null | grep -vE 'wp-(admin|includes)/|plugins/|themes/' | head

Cerca file di risultati e invii di posta nel codice non standard

grep -rn --include='*.php' -E '\bmail\s*\(.*\$_(POST|REQUEST)' . | grep -vE 'wp-(admin|includes)/|plugins/' | head

Controlla se il dominio è già nelle liste di phishing

curl -s 'https://transparencyreport.google.com/safe-browsing/search?url=ESEMPIO.it' -o /dev/null -w 'apri questo URL nel browser: %{url_effective}\n'

Cosa non basta fare

Cancellare la cartella e basta: senza una copia, non hai la prova di cosa è stato ospitato e per quanto, e non puoi rispondere a una segnalazione.
Aspettare che l'antivirus dell'hosting lo svuoti: nel corpus il 74% era già svuotato, ma il dominio restava segnalato come pericoloso.
Trattarlo come un problema del sito: è anche un problema di terzi, e va gestito con quella priorità.

Cosa fare

Salva una copia della cartella fuori dal sito, con le date dei file, poi rimuovila: è la prova per eventuali richieste.
Chiedi all'hosting i log di accesso a quel percorso: dicono da quando le pagine erano attive e quante vittime le hanno aperte.
Verifica lo stato del dominio su Google Safe Browsing e nella Search Console, sezione problemi di sicurezza, e richiedi la revisione dopo la bonifica.
Cerca il vettore di ingresso e gli altri artefatti: un kit di phishing viene caricato tramite una porta che è ancora aperta.