ClickFix: la terrificante trappola del falso CAPTCHA che può farti installare malware senza accorgertene

Se una pagina Web ti chiedesse di scaricare un file sconosciuto, probabilmente alzeresti subito la guardia. Se invece mostrasse una schermata simile a un CAPTCHA, ti dicesse che c’è un piccolo problema tecnico e ti guidasse passo dopo passo per “risolverlo”, la situazione potrebbe sembrare molto più credibile. È proprio su questo meccanismo psicologico che si basa ClickFix, una tecnica di ingegneria sociale diventata rapidamente uno dei metodi più osservati nelle campagne malware recenti.

ClickFix non sfrutta necessariamente una vulnerabilità del computer della vittima. Sfrutta prima di tutto la fiducia, l’abitudine a seguire istruzioni sullo schermo e la tendenza a voler risolvere velocemente un errore. L’obiettivo è convincere l’utente a eseguire personalmente un comando che avvia la catena d’infezione.

Il fenomeno non è teorico. Il CERT-AGID ha segnalato la prima campagna ClickFix osservata in Italia nel gennaio 2025 e, nel corso dello stesso anno, ha censito circa 70 campagne riconducibili a questa tecnica. Nel 2026 sono continuate le segnalazioni relative a siti compromessi, falsi sistemi di verifica e varianti capaci di colpire sia Windows sia macOS.

Capire come funziona ClickFix è quindi utile non soltanto agli addetti alla sicurezza informatica. È utile a chiunque utilizzi un browser, perché il punto di forza dell’attacco è proprio quello di presentarsi come una normale operazione richiesta da un sito.

Che cos’è ClickFix

ClickFix è una tecnica di social engineering nella quale l’utente viene indotto a eseguire manualmente un comando o uno script presentato come soluzione a un problema, verifica di sicurezza o passaggio necessario per accedere a una risorsa.

La parola “fix” è significativa: l’attacco tende a presentare qualcosa che sembra richiedere una correzione. Può essere una falsa verifica “non sono un robot”, un errore di caricamento, un documento che apparentemente non si apre, un aggiornamento, una pagina che simula un servizio conosciuto oppure un messaggio che sostiene che il browser debba essere sistemato.

Il dettaglio fondamentale è che la pagina non si limita a chiedere un clic. Cerca di trasformare l’utente nell’esecutore dell’attacco.

Nelle campagne documentate su Windows, la vittima può essere invitata ad aprire una funzione di sistema, incollare ciò che è stato copiato negli appunti e confermare l’esecuzione. In altri casi l’esca conduce al terminale o ad altri strumenti di sistema. Il comando non va considerato una semplice istruzione tecnica: può scaricare ed eseguire malware, avviare script o preparare ulteriori fasi dell’infezione.

Microsoft Threat Intelligence descrive ClickFix come una tecnica distribuita attraverso diversi canali, tra cui email di phishing, pubblicità malevole e siti Web compromessi. L’interazione manuale richiesta all’utente può rendere l’attacco meno simile al classico download di un file sospetto e consentire ad alcune fasi della catena di eludere controlli automatici. Questo non significa che l’attacco sia invisibile o che l’antivirus sia inutile: significa che una parte decisiva dell’esecuzione viene ottenuta sfruttando il comportamento umano.

Perché un falso CAPTCHA è così efficace

Il CAPTCHA è diventato un elemento normale della navigazione. Siamo abituati a spuntare caselle, riconoscere immagini, attendere controlli automatici o confermare di essere persone reali. Proprio questa familiarità rende credibile una pagina che imita l’aspetto di una verifica anti-bot.

Un vero CAPTCHA, però, non ha bisogno di chiedere all’utente di aprire il terminale, PowerShell, la finestra Esegui di Windows o un altro interprete di comandi. Non deve neppure chiedere di incollare istruzioni di sistema ricevute automaticamente dalla pagina. Quando una presunta verifica umana esce dal browser e pretende che l’utente esegua comandi nel sistema operativo, il comportamento è anomalo.

In alcune campagne, il codice della pagina può anche preparare negli appunti il comando che l’utente dovrà successivamente incollare. La vittima vede soltanto una sequenza di passaggi apparentemente innocui, mentre ciò che viene eseguito può essere molto diverso da ciò che immagina. L’Australian Cyber Security Centre ha documentato proprio catene nelle quali una falsa verifica copia negli appunti un comando PowerShell e invita poi l’utente a eseguirlo manualmente.

Questa è una delle ragioni per cui ClickFix è interessante dal punto di vista della sicurezza: non tenta soltanto di nascondere il malware. Cerca di costruire una storia credibile attorno all’azione che porterà all’esecuzione del malware.

La catena dell’attacco, spiegata senza tecnicismi inutili

Una campagna ClickFix può iniziare in modi differenti. L’utente può arrivare alla pagina attraverso un messaggio di phishing, una pubblicità malevola, un collegamento ingannevole oppure visitando un sito legittimo che è stato precedentemente compromesso.

A quel punto compare l’esca. Il sito può simulare un CAPTCHA, una verifica Cloudflare, un errore del browser, un documento, un aggiornamento o un’altra procedura plausibile. La grafica serve a spostare l’attenzione dalla domanda più importante — “perché questo sito mi sta chiedendo di eseguire un comando?” — alla necessità immediata di completare l’operazione.

La pagina fornisce quindi una sequenza di istruzioni. In alcune varianti il testo malevolo viene copiato automaticamente negli appunti; l’utente viene poi guidato ad aprire un componente del sistema e a incollare il contenuto. Se conferma l’esecuzione, il sistema esegue realmente ciò che l’attaccante ha preparato.

Da quel momento il risultato dipende dalla campagna. CERT-AGID ha documentato l’impiego di ClickFix per distribuire famiglie come AsyncRAT, Lumma Stealer e XWorm. L’Australian Signals Directorate ha documentato nel 2026 campagne ClickFix che, attraverso siti WordPress compromessi, distribuivano Vidar Stealer. Microsoft ha inoltre osservato diverse catene capaci di installare information stealer e altri payload.

Un information stealer è progettato proprio per sottrarre informazioni dal dispositivo. A seconda della famiglia può cercare credenziali, dati del browser, cookie o token di sessione, informazioni di sistema, portafogli di criptovalute e file di interesse. Per questo l’impatto potenziale non termina nel momento in cui il malware viene eseguito: le credenziali sottratte possono essere utilizzate successivamente per altri accessi e attività fraudolente.

Il dettaglio che sorprende: anche un sito legittimo può mostrare ClickFix

Uno degli aspetti più insidiosi è che la presenza di ClickFix non implica necessariamente che il dominio visitato sia stato creato dall’attaccante. Alcune campagne sfruttano siti legittimi compromessi.

Nel gennaio 2026 un bollettino CSIRT italiano ha riportato campagne nelle quali portali Web attestati sul territorio nazionale, basati nei casi analizzati su WordPress, erano stati compromessi e utilizzati per proporre la tecnica ClickFix. Nel giugno 2026 un nuovo alert ha confermato il proseguimento di campagne in cui siti compromessi mostravano una schermata di verifica fraudolenta prima della pagina legittima attesa dall’utente.

Anche l’Australian Cyber Security Centre ha descritto nel maggio 2026 attività ClickFix che sfruttavano infrastrutture WordPress compromesse per distribuire Vidar Stealer.

Questo cambia una regola mentale molto diffusa. Controllare il dominio resta importante, ma non basta a garantire che ogni contenuto visualizzato in quel momento sia sicuro. Se un sito legittimo viene violato, l’attaccante può usare proprio la reputazione del sito come parte dell’inganno.

Per chi amministra un sito WordPress il problema ha quindi due facce. Da una parte bisogna proteggere i visitatori; dall’altra bisogna impedire che un sito compromesso diventi inconsapevolmente un vettore di distribuzione. Aggiornamenti tempestivi di core, plugin e temi, eliminazione dei componenti non più utilizzati o non supportati, controllo degli accessi amministrativi e principio del minimo privilegio fanno parte delle misure raccomandate anche dall’ACSC.

ClickFix non riguarda più soltanto Windows

L’immagine più conosciuta di ClickFix è quella della falsa verifica che porta l’utente Windows a eseguire un comando. Limitare il fenomeno a Windows, però, nel 2026 sarebbe sbagliato.

Microsoft ha documentato nell’agosto 2026 una campagna ClickFix rivolta a macOS che distribuiva information stealer come MacSync e Atomic Stealer (AMOS). In quella campagna gli attaccanti non si limitavano a mostrare la stessa esca a chiunque: utilizzavano anche tecniche di browser fingerprinting per decidere quali visitatori apparissero compatibili con un vero ambiente macOS e mostrare soprattutto a loro il contenuto malevolo.

Questo tipo di selezione ha anche una conseguenza interessante per la difesa: un sistema automatico di scansione può visitare lo stesso indirizzo e ricevere una pagina innocua o un contenuto differente, mentre un utente considerato adatto al bersaglio può vedere l’esca ClickFix. Microsoft descrive proprio un sistema server-side capace di fornire contenuti differenti in base all’ambiente rilevato.

Il principio dell’attacco, però, rimane identico: convincere la persona a eseguire volontariamente un’azione che normalmente non sarebbe necessaria per visitare un sito o completare una verifica.

CrashFix: quando l’attaccante crea il problema che poi promette di risolvere

Nel febbraio 2026 Microsoft ha descritto una variante chiamata CrashFix. In questo scenario il browser della vittima viene deliberatamente portato al crash e successivamente compare una procedura che pretende di spiegare come ripristinare il normale funzionamento.

È un’evoluzione particolarmente interessante dal punto di vista dell’ingegneria sociale. L’utente non vede più soltanto un messaggio che sostiene l’esistenza di un problema: ha appena sperimentato realmente un malfunzionamento. Di conseguenza le istruzioni fornite subito dopo possono apparire più credibili.

Il meccanismo resta quello tipico di ClickFix: trasformare la necessità di “aggiustare” qualcosa in un motivo per convincere la vittima a eseguire istruzioni preparate dall’attaccante.

Anche l’intelligenza artificiale può diventare parte dell’esca

Nel 2026 Google Threat Intelligence Group ha documentato campagne in cui venivano abusate funzioni pubbliche di condivisione di servizi di intelligenza artificiale per ospitare istruzioni malevole riconducibili alla tecnica ClickFix. Fra le piattaforme citate nell’analisi figuravano diversi servizi AI molto conosciuti.

Il punto non è che il servizio di intelligenza artificiale fosse necessariamente compromesso. Il problema è l’abuso di una funzione legittima e di un dominio considerato affidabile per rendere più credibili le istruzioni presentate alla vittima.

È una lezione importante: la reputazione del dominio, il logo mostrato sullo schermo o la familiarità con un servizio non devono sostituire la valutazione dell’azione richiesta. Se una pagina chiede di eseguire comandi nel sistema operativo, quella richiesta deve essere valutata indipendentemente dall’aspetto grafico della pagina.

ClickFix è un virus?

No. ClickFix non è il nome di un singolo malware e non identifica un unico programma malevolo. È il nome dato a una tecnica di ingegneria sociale e di esecuzione indotta dall’utente. La stessa tecnica può essere utilizzata da campagne differenti per distribuire payload differenti.

Questa distinzione è importante anche quando si cerca aiuto online. Due persone possono essere cadute entrambe in un attacco ClickFix e ritrovarsi con malware completamente diversi. Per questo non esiste una “cura ClickFix” universale basata sul nome della tecnica: bisogna capire che cosa è stato effettivamente eseguito e quali conseguenze ha prodotto sul dispositivo.

Allo stesso modo, vedere una falsa verifica non significa automaticamente che il computer sia già infetto. Il momento decisivo è ciò che la pagina è riuscita a far eseguire. Se l’utente interrompe la procedura prima di lanciare comandi o script, la catena d’attacco può fermarsi prima dell’installazione del payload. Le campagne osservate da Microsoft e dalle autorità mostrano infatti che l’esecuzione indotta all’utente costituisce uno dei passaggi centrali della tecnica.

7 segnali per riconoscere un possibile attacco ClickFix

1. La presunta verifica CAPTCHA chiede di uscire dal browser e aprire la finestra Esegui, PowerShell, Terminale, Prompt dei comandi o un altro strumento di sistema. È il segnale più evidente: una normale verifica anti-bot non richiede questo passaggio.
2. La pagina chiede di premere una combinazione di tasti e poi incollare qualcosa. La sequenza può essere presentata come una procedura automatica o una correzione, ma l’azione merita di essere interrotta immediatamente.
3. Non puoi vedere chiaramente ciò che stai per eseguire oppure il contenuto compare già negli appunti. Il clipboard può essere modificato da codice eseguito nella pagina; incollare alla cieca un comando ricevuto da un sito significa concedergli una capacità molto più ampia di un normale clic.
4. Il messaggio crea urgenza: “verifica fallita”, “browser danneggiato”, “errore critico”, “aggiornamento necessario” o formule simili. L’urgenza riduce il tempo che la persona dedica a chiedersi se la procedura abbia senso.
5. Il sito imita un marchio conosciuto o un servizio di sicurezza, ma la procedura richiesta non corrisponde a ciò che quel servizio dovrebbe fare. Una grafica convincente non rende legittimo un comando di sistema.
6. Ti viene chiesto di disattivare protezioni, ignorare avvisi di sicurezza o eseguire l’operazione come amministratore. Sono richieste particolarmente rischiose e incompatibili con una semplice verifica Web.
7. Le istruzioni sembrano molto precise ma non spiegano realmente che cosa farà il comando. La precisione grafica o procedurale può creare fiducia, ma non sostituisce la trasparenza tecnica.

La regola pratica può essere riassunta in una frase: un sito Web può chiederti di interagire con la pagina, ma una verifica CAPTCHA non dovrebbe chiederti di diventare amministratore del tuo sistema operativo.

Ho seguito le istruzioni: cosa faccio adesso?

Se hai soltanto visto la pagina e l’hai chiusa senza eseguire comandi, la situazione è molto diversa rispetto al caso in cui tu abbia effettivamente incollato ed eseguito qualcosa.

Se invece hai eseguito il comando, non è prudente limitarsi a chiudere la scheda e continuare a usare il computer come se nulla fosse. Il payload potrebbe essere già stato scaricato o eseguito. Microsoft, nelle proprie indicazioni relative alle minacce ClickFix, raccomanda di mantenere aggiornate le definizioni antimalware ed eseguire una scansione completa.

Poiché alcune campagne ClickFix distribuiscono infostealer, bisogna considerare anche la possibile esposizione delle credenziali e delle sessioni già presenti nel browser. In caso di compromissione confermata o fortemente sospetta, la risposta non dovrebbe concentrarsi soltanto sulla rimozione del malware: occorre valutare password, sessioni attive, autenticazione multifattore e account sensibili, preferibilmente operando da un dispositivo ritenuto affidabile. L’ACSC raccomanda inoltre autenticazione multifattore resistente al phishing per gli account più sensibili.

In un contesto aziendale o professionale, improvvisare una “pulizia” del sistema può inoltre distruggere informazioni utili all’analisi dell’incidente. La procedura corretta dipende dal contesto e dalla gravità: un endpoint aziendale va segnalato al personale IT o al team di sicurezza secondo le procedure dell’organizzazione.

Come ridurre il rischio

La difesa più immediata contro ClickFix è comportamentale: non eseguire comandi copiati da pagine Web, popup o presunte verifiche CAPTCHA. È una regola semplice, ma interviene esattamente nel punto della catena in cui l’attaccante ha bisogno della collaborazione della vittima.

Le misure tecniche restano comunque essenziali. L’ACSC raccomanda, tra le altre cose, di mantenere sistemi e applicazioni aggiornati, limitare i privilegi amministrativi, applicare controlli sull’esecuzione di applicazioni e script, usare autenticazione multifattore resistente al phishing per gli account più sensibili e formare gli utenti proprio sulle tecniche ClickFix.

Per gli amministratori di siti Web si aggiunge un secondo livello di responsabilità: mantenere CMS, plugin e temi aggiornati, rimuovere componenti inutilizzati o non supportati e proteggere adeguatamente gli accessi amministrativi. Un sito compromesso non rappresenta soltanto un problema per il proprietario: può diventare un punto di partenza per attacchi contro i visitatori.

Perché ClickFix funziona così bene

ClickFix mette in evidenza un limite importante della sicurezza informatica: non tutto può essere risolto chiedendo semplicemente all’utente di “non cliccare link sospetti”.

In questo caso la persona può trovarsi su un sito che conosce, davanti a una grafica familiare e di fronte a una procedura che sembra progettata per risolvere un problema reale. Il passaggio critico avviene quando l’interfaccia convince la vittima a trasformare un’istruzione proveniente dal Web in un comando eseguito direttamente sul proprio dispositivo.

L’attacco sfrutta quindi il confine tra browser e sistema operativo. Finché l’utente rimane nella pagina, il sito dispone delle capacità consentite dal browser. Quando la persona copia un comando e lo esegue volontariamente in uno strumento di sistema, quel confine può essere superato.

È proprio questa inversione di responsabilità a rendere ClickFix efficace: invece di tentare soltanto di forzare una porta tecnica, l’attaccante convince qualcuno ad aprirla.

Conclusioni

ClickFix non è un nuovo tipo di CAPTCHA e non è una funzione di Windows o macOS. È una tecnica di ingegneria sociale che sfrutta false verifiche, errori simulati e procedure apparentemente tecniche per convincere l’utente a eseguire istruzioni malevole.

La sua crescita è documentata da fonti istituzionali e da importanti gruppi di threat intelligence. In Italia il CERT-AGID ha registrato circa 70 campagne nel 2025; nel 2026 sono continuate le segnalazioni relative a siti compromessi, varianti ClickFix e nuove tecniche di evasione. Microsoft ha documentato sia CrashFix sia campagne rivolte a macOS, mentre altre autorità hanno osservato l’abuso di siti WordPress compromessi come infrastruttura per la distribuzione.

La lezione più importante, però, rimane semplice e comprensibile anche senza conoscere PowerShell o la cybersecurity: se un CAPTCHA, una pagina Web o un messaggio di errore ti chiede di aprire uno strumento di sistema e incollare un comando, fermati.

Una verifica Web deve verificare ciò che fai nel Web. Non dovrebbe chiederti di eseguire codice sul tuo computer.