In questo articolo Indice dei contenuti 2 sezioni
Un semplice controllo pensato per distinguere gli esseri umani dai bot può trasformarsi in una trappola pericolosa, ed è proprio quello che sta accadendo con una nuova ondata di attacchi che usano un falso CAPTCHA per installare software dannoso sul computer. La variante fa parte della famiglia di truffe conosciuta come ClickFix, e sfrutta un meccanismo tanto banale quanto efficace, la fiducia che ormai riponiamo in quelle finestrelle che chiedono di dimostrare di non essere una macchina.
La pagina incriminata mostra un messaggio del tipo verifica che sei umano e invita a premere Windows + R, incollare un comando già copiato negli appunti con Ctrl + V e confermare con Invio. Qui sta il punto delicato, perché non serve necessariamente una falla nel browser. È la vittima stessa a compiere l’azione, e il sistema la interpreta come legittima. Da lì il comando può scaricare infostealer, trojan o strumenti che consentono il controllo remoto della macchina.
Come funziona la truffa del falso CAPTCHA
Un CAPTCHA vero chiede di interagire con gli elementi della pagina, selezionare immagini, riconoscere caratteri, spuntare una casella. Nulla di più. Non ha alcun bisogno di aprire la finestra Esegui, il terminale o altri strumenti del sistema operativo. Ecco perché la richiesta di eseguire comandi rimane uno dei segnali più affidabili per capire che qualcosa non va. Nel modello ClickFix il sito contraffatto prepara in anticipo un comando negli appunti e mostra una procedura dall’aria tecnica. Windows + R apre la finestra Esegui, Ctrl + V incolla il contenuto e Invio lo avvia. Spesso l’utente non vede nemmeno il comando prima di lanciarlo, convinto di star completando una normale verifica di sicurezza.
La tecnica sfrutta componenti legittimi come PowerShell, mshta.exe o curl.exe. Sono strumenti già presenti nel sistema, e possono essere piegati a recuperare script, scaricare payload o avviare altri programmi. Proprio per questo l’attacco non somiglia sempre a un download classico e riesce a scivolare tra le maglie di parte dei controlli basati sull’analisi dei file. Microsoft ha collegato queste campagne alla distribuzione di Lumma Stealer e di altri malware in grado di sottrarre informazioni o restare nascosti sul dispositivo per lungo tempo.
La pagina malevola può spuntare su siti compromessi, dentro annunci pubblicitari manipolati, tra i risultati di ricerca o in messaggi di phishing. E il finto CAPTCHA non è l’unico pretesto usato. A volte la schermata sostiene che il browser ha un errore, che serve un aggiornamento oppure che un problema tecnico blocca la visualizzazione del contenuto. Nel 2026 Microsoft ha documentato anche CrashFix, una variante che provoca di proposito un malfunzionamento per poi proporre una falsa soluzione.
Come riconoscere e gestire un attacco ClickFix
La regola di fondo resta semplice. Un CAPTCHA non chiederà mai di premere Windows + R, di incollare testo nel sistema operativo o di eseguire comandi. Lo stesso discorso vale per i messaggi che invitano a usare PowerShell o il terminale per risolvere un presunto errore del browser. Se compare una procedura del genere, la mossa giusta è chiudere la scheda e ignorare del tutto le istruzioni.
Se il comando è già stato eseguito, meglio agire con calma ma in fretta. Conviene disconnettere il computer dalla rete, avviare una scansione completa con un software di sicurezza aggiornato e cambiare le password usando un altro dispositivo. La precedenza va agli account email e ai servizi finanziari, perché una casella di posta compromessa apre la strada al reset di altre credenziali. L’autenticazione a più fattori aggiunge una protezione importante, pur senza cancellare del tutto il rischio legato a sessioni o cookie già rubati.
