Gli attacchi ClickFix usano una tecnica di ingegneria sociale: la pagina mostra un falso problema e convince la persona a compiere un’azione che, invece di risolvere la verifica, può avviare codice malevolo. L’elemento pericoloso non è soltanto il malware, ma la manipolazione della fiducia. La pagina può sembrare legittima, usare un CAPTCHA familiare o comparire su un sito compromesso.
La presenza di payload conservati o recuperati tramite infrastrutture difficili da bloccare, come dati inseriti in blockchain, aumenta la resilienza della campagna. Non rende però ogni sito o ogni utente automaticamente infetto. La difesa efficace unisce comportamento prudente, protezione endpoint, sicurezza del sito e monitoraggio delle catene di redirect.
Attacchi ClickFix: la psicologia della falsa soluzione
La pagina può dire che il browser è bloccato, che una verifica non è riuscita o che bisogna completare un passaggio manuale. Poi propone di copiare, incollare o eseguire un contenuto. L’urgenza riduce tempo di riflessione e porta la persona a fidarsi di istruzioni visibili.
Un CAPTCHA reale chiede un’interazione dentro la pagina. Non dovrebbe chiedere di aprire terminale, PowerShell, prompt dei comandi o finestre di sistema per dimostrare di essere umani. Una verifica che esce dal browser è un segnale fortissimo di rischio.
Forma gli utenti con esempi di comportamento, non con un elenco di marchi. Il sito può cambiare grafica e linguaggio. La regola resta: nessuna pagina web deve convincerti a eseguire comandi sul PC per completare una verifica.
Perché un sito legittimo può diventare un veicolo
I criminali possono compromettere siti con plugin vulnerabili, credenziali rubate, hosting mal configurato o script inseriti in una pagina. Il dominio noto non garantisce che ogni contenuto sia sicuro.
Per un gestore WordPress, controlla aggiornamenti, account, file modificati, amministratori e log. Riduci plugin e temi inutilizzati. Proteggi pannello e database, usa MFA e limita accessi.
Monitora pagine che cambiano senza pubblicazione prevista. Un controllo dell’integrità dei file, backup verificato e alert su nuovi script possono ridurre il tempo di permanenza. Se trovi una compromissione, isola e analizza prima di ripristinare alla cieca.
Payload ospitati in modo resiliente
Se una campagna usa un registro distribuito o una risorsa difficile da rimuovere, il blocco del singolo dominio può non bastare. Il browser può caricare una pagina compromessa che recupera contenuto da più destinazioni.
La difesa deve osservare destinazione finale, DNS, redirect, script e comportamento, non soltanto dominio iniziale. Un filtro aggiornato può riconoscere indicatori, ma l’utente deve restare protetto se la campagna cambia infrastruttura.
Non visitare URL sospetti per curiosità. Usa sandbox e strumenti di analisi autorizzati. I test operativi devono essere svolti da personale qualificato e senza eseguire payload su macchine reali.
Indicatori nella pagina
Segnali comuni sono messaggi di errore improbabili, timer, pop-up, logo copiati, richiesta di disattivare protezioni, istruzioni per copiare testo e pressione a risolvere subito. Un singolo elemento non prova un attacco, ma la combinazione merita uscita immediata.
Controlla la barra degli indirizzi, ma non fidarti soltanto del lucchetto. HTTPS protegge il collegamento, non rende onesto il contenuto del sito. Un dominio compromesso può avere certificato valido.
Se la pagina chiede permessi insoliti, chiudi la scheda. Non concedere notifiche, clipboard, download o estensioni soltanto per completare una verifica. Una richiesta urgente è spesso parte della manipolazione.
Cosa fare quando compare una pagina trappola
Non cliccare ulteriormente, non copiare comandi e non incollare testo in terminale o finestre di sistema. Chiudi la scheda e segnala URL, orario e percorso senza riaprire il contenuto.
Se hai soltanto visitato la pagina, aggiorna browser e protezioni, controlla download ed estensioni e osserva eventuali sintomi. Se hai eseguito qualcosa, scollega il dispositivo dalla rete secondo policy e contatta supporto.
Non cancellare subito cronologia o file utili. Cambia credenziali da un dispositivo pulito se l’account era aperto, invalida sessioni e verifica attività recenti. L’azione precisa dipende da cosa è stato eseguito e dal ruolo della macchina.
Endpoint e browser
Imponi aggiornamenti, protezione comportamentale e account senza privilegi amministrativi. Un utente standard riduce il danno, anche se non può fermare ogni tecnica.
Limita script e strumenti di amministrazione secondo il lavoro reale. Non bloccare indiscriminatamente funzioni necessarie, ma usa allowlist e controllo quando un reparto non deve eseguirle.
Gestisci estensioni e permessi. Una pagina ClickFix può cercare di convincere l’utente a installare un componente. Le estensioni dovrebbero arrivare da policy e fonti verificabili.
Posta, ricerca e pubblicità
Le campagne possono arrivare da messaggi, risultati di ricerca o pubblicità che portano a siti compromessi. Filtra domini e allegati, ma ricorda che un link a un sito noto può essere pericoloso se la pagina è stata alterata.
Educa a non usare un motore di ricerca come certificazione di sicurezza. Il risultato è una destinazione, non una garanzia. Per attività sensibili, apri il servizio da segnalibro gestito o portale aziendale.
Monitora richieste di autenticazione dopo la visita. Un falso CAPTCHA può essere soltanto il primo passaggio verso furto di credenziali o cookie.
WordPress e siti pubblici
Per WordPress, aggiorna core, temi e plugin; rimuovi componenti inutilizzati; usa ruoli minimi; proteggi login; verifica file e log. Il backup deve essere indipendente e testato.
Controlla script di terze parti, pubblicità e tag manager. Un codice esterno può cambiare contenuto senza una modifica al tema. Registra chi può pubblicare e approva nuove dipendenze.
Se il sito viene compromesso, mettilo in manutenzione o isola la parte colpita, informa i responsabili e cerca persistenza. Non limitarti a rimuovere la pagina visibile: l’attaccante può avere lasciato accessi e file di supporto.
Rilevamento e risposta aziendale
Correla browser, endpoint, DNS, proxy, identità e posta. Un alert sul dominio può diventare significativo se lo stesso utente scarica un file, apre un processo o accede a un account da un contesto insolito.
Definisci livelli di risposta. Visita sospetta senza esecuzione può richiedere segnalazione e controllo; esecuzione di comando richiede isolamento e analisi; credenziali inserite richiedono revoca e verifica.
Conserva timeline, dispositivi, utenti e azioni. Limita dati personali e accesso ai log. Un incidente documentato permette di migliorare filtri e formazione.
Falsi positivi e comunicazione
Un filtro può bloccare una pagina legittima. Non disattivare protezioni globalmente per recuperare un singolo sito. Verifica il caso con sicurezza e usa eccezione temporanea soltanto quando hai evidenza.
Spiega agli utenti che un avviso non è un ostacolo da aggirare. Indica canale per chiedere revisione. La comunicazione deve evitare sia panico sia normalizzazione di popup e richieste insolite.
Aggiorna il messaggio quando la campagna cambia. Istruzioni vecchie diventano inutili se il linguaggio della truffa evolve.
Metriche di difesa
Misura pagine bloccate, segnalazioni, utenti che hanno eseguito istruzioni, tempo di contenimento, domini ricorrenti e siti interni compromessi. Aggiungi tempo di bonifica e percentuale di componenti aggiornati.
Non contare soltanto i blocchi. Una riduzione può significare meno attacchi oppure telemetria rotta. Confronta fonti e qualità delle segnalazioni.
Rivedi il ciclo dopo ogni campagna. Migliora policy, guide e controlli. La consapevolezza deve essere aggiornata, non svolta una volta all’anno.
Siti compromessi e bonifica
Quando un sito legittimo distribuisce una pagina trappola, il ripristino deve iniziare dalla causa. Controlla account amministrativi, password, plugin, temi, file modificati, database, cron e codice esterno. Cerca persistenza e accessi aggiunti, non soltanto il testo visibile al visitatore.
Metti in sicurezza una copia del sito prima delle modifiche. Dopo l’analisi, ripristina da un backup noto e aggiornato soltanto se sai che la copia non contiene la compromissione. Cambia credenziali, invalida sessioni e riduci permessi.
Verifica le pagine principali da più reti e dispositivi. Una catena di redirect può attivarsi soltanto con un certo browser, referrer o momento. Monitora anche pubblicità, tag e script che il team non gestisce direttamente.
Comunica l’esito ai responsabili e, quando serve, agli utenti colpiti. Non nascondere un incidente per evitare una perdita di reputazione: un avviso chiaro e un sito nuovamente controllato proteggono più di una rassicurazione non verificata.
Errori da evitare
Evita di copiare comandi da una pagina, disattivare antivirus, installare estensioni per una verifica, fidarti del dominio o eseguire una prova su un PC di lavoro. Non bloccare soltanto il primo URL se la catena cambia.
Non cancellare evidenze prima di avvisare supporto. Non chiedere agli utenti di condividere credenziali. Non trattare ogni falso positivo come motivo per ridurre protezione a tutta la flotta.
Attacchi ClickFix: riconoscere prima di eseguire
Gli attacchi ClickFix sfruttano una storia credibile e una richiesta anomala: la pagina prova a trasformare il visitatore in esecutore del payload. Il fatto che migliaia di siti compromessi possano distribuire contenuti recuperati da infrastrutture resilienti rende importante una difesa su più livelli.
La regola più efficace è semplice: un CAPTCHA o una pagina web non deve chiedere di eseguire comandi nel sistema. Per i siti, servono patch, ruoli minimi, monitoraggio e backup. Per gli endpoint, aggiornamento, protezione comportamentale e risposta rapida. Se l’azione è già avvenuta, isolare, revocare sessioni e chiedere supporto vale più di una pulizia improvvisata.
Registra sempre cosa è stato visto, cosa è stato eseguito e quale dispositivo era coinvolto in modo tracciabile.
