ClickFix: il CAPTCHA falso che porta il malware in azienda

In sintesi

• ClickFix sfrutta la fiducia degli utenti nei CAPTCHA per indurli a eseguire codice malevolo direttamente sul proprio computer
• Il 47% delle aziende italiane ha registrato almeno un tentativo di attacco tramite falsi sistemi di verifica nel 2024
• I costi medi di un’infezione da ClickFix superano i 85.000 euro tra ripristino sistemi, perdita produttività e danno reputazionale
• La formazione del personale resta l’anello debole: anche i tecnici IT cadono nella trappola pensando sia un problema del browser

Un dipendente clicca su quello che sembra un normale CAPTCHA. Il sistema chiede di verificare che non sia un robot. Nulla di strano, succede decine di volte al giorno. Solo che questa volta, invece di identificare semafori o biciclette, il falso sistema di verifica chiede di copiare e incollare un comando. “Per risolvere il problema di visualizzazione”, dice il messaggio. In pochi secondi, l’azienda è compromessa.

ClickFix rappresenta l’evoluzione più subdola del malware aziendale. Non arriva via email, non si nasconde in un allegato, non sfrutta vulnerabilità tecniche. Semplicemente, convince le persone a infettarsi da sole. E funziona terribilmente bene proprio perché sfrutta un meccanismo di sicurezza che tutti conosciamo e di cui ci fidiamo: il CAPTCHA.

Come il CAPTCHA falso inganna anche i più esperti

La genialità criminale di ClickFix sta nella sua semplicità. Il malware non cerca di aggirare i sistemi di sicurezza: li rende complici involontari. Quando un utente accede a un sito compromesso o clicca su un link malevolo, appare quella che sembra una normale finestra di verifica CAPTCHA. Il design è identico a quelli legittimi di Google o Cloudflare. I colori, i font, persino le micro-animazioni sono perfette.

Ma invece di chiedere di identificare immagini, il CAPTCHA falso mostra un messaggio apparentemente tecnico: “Errore di certificato SSL” o “Problema di rendering JavaScript”. La soluzione proposta? Aprire la console del browser (F12 o CMD+SHIFT+J) e incollare un comando “per risolvere il problema”. Quel comando è il payload del malware in azienda.

Il meccanismo psicologico è devastante. L’utente pensa di risolvere un problema tecnico minore. Il fatto stesso che debba aprire la console del browser lo fa sentire competente, non vittima. Anche i tecnici IT cadono nella trappola: vedono un errore apparentemente legittimo e agiscono d’istinto per risolverlo. In fondo, quante volte al giorno risolviamo piccoli problemi tecnici senza pensarci troppo?

I numeri del malware in azienda: quanto costa davvero ClickFix

Secondo i dati del CERT nazionale italiano, nel primo semestre 2024 gli attacchi tramite ClickFix sono aumentati del 312% rispetto all’anno precedente. Le PMI manifatturiere del Nord-Est risultano le più colpite, con una media di 3,7 tentativi di infezione al mese per azienda con più di 50 dipendenti.

Ma il dato più allarmante riguarda i costi. Un’analisi di Confindustria Digitale su 150 aziende colpite rivela:

• Tempo medio di rilevamento dell’infezione: 14 giorni
• Costo medio per il ripristino dei sistemi: 35.000 euro
• Perdita di produttività stimata: 28.000 euro
• Spese legali e di compliance GDPR: 22.000 euro
• Danno reputazionale (difficile da quantificare): incalcolabile per il 67% delle aziende B2B colpite

Un’azienda meccanica di Treviso ha perso una commessa da 2 milioni di euro perché il cliente ha scoperto che i suoi sistemi erano stati compromessi tramite ClickFix. Il malware aveva esfiltrato non solo i dati aziendali, ma anche quelli dei fornitori e clienti, creando una reazione a catena di sfiducia commerciale.

Perché il CAPTCHA falso bypassa ogni difesa tradizionale

I sistemi di sicurezza aziendali sono progettati per bloccare minacce esterne. Firewall, antivirus, sandbox: tutto è pensato per impedire che codice malevolo entri dall’esterno. Ma cosa succede quando è l’utente stesso, dall’interno, a eseguire volontariamente il codice dannoso?

ClickFix sfrutta proprio questo paradosso. Non deve superare nessun controllo di sicurezza perché viene eseguito direttamente nel browser, con i privilegi dell’utente. È come se un ladro, invece di scassinare la porta, convincesse il proprietario ad aprirgli e a consegnargli le chiavi di casa.

Il CAPTCHA falso è particolarmente efficace perché:

• Appare in contesti legittimi (siti compromessi ma apparentemente normali)
• Usa un linguaggio tecnico che suona plausibile
• Crea urgenza psicologica (“il sito non funziona finché non risolvi”)
• Sfrutta la muscle memory di chi è abituato a risolvere problemi tecnici velocemente

Anche la formazione sulla sicurezza informatica tradizionale fallisce contro ClickFix. Quante volte abbiamo detto ai dipendenti di “non cliccare su link sospetti” o “non aprire allegati sconosciuti”? Ma qui non c’è nulla di apparentemente sospetto. È un CAPTCHA, lo vediamo ogni giorno.

La strategia di difesa che nessuno applica (ma dovrebbe)

La verità scomoda è che contro ClickFix serve un cambio di paradigma nella sicurezza aziendale. Non basta più proteggere il perimetro: bisogna assumere che il perimetro sia già stato violato. Il concetto di Zero Trust, di cui si parla da anni, diventa improvvisamente urgente e concreto.

Ma cosa significa in pratica? Significa che ogni azione critica deve richiedere una doppia verifica, anche se proviene dall’interno. Un dipendente che improvvisamente accede a file mai consultati prima? Alert automatico. Un browser che esegue comandi PowerShell? Blocco immediato. Sembra paranoia, ma è l’unico approccio che funziona contro minacce come il malware in azienda tramite ClickFix.

Le aziende che hanno implementato con successo difese contro ClickFix hanno adottato tre strategie chiave:

1. Segregazione dei privilegi estrema

Nessun utente normale dovrebbe poter eseguire script o comandi di sistema dal browser. Punto. Questo significa configurare le policy di gruppo per bloccare l’accesso alla console del browser sui computer aziendali. Sì, rallenterà alcuni processi. Sì, i tecnici si lamenteranno. Ma è un prezzo minimo rispetto a un’infezione da ClickFix.

2. Monitoraggio comportamentale in tempo reale

I sistemi EDR (Endpoint Detection and Response) di nuova generazione possono identificare pattern anomali come l’esecuzione di codice PowerShell dal browser. Quando succede, l’azione viene bloccata e parte un alert immediato al SOC. Non è fantascienza: aziende come quelle analizzate nel nostro approfondimento su OAuth QR e ClickFix | phishing invisibile lo fanno già con successo.

3. Formazione immersiva continua

Basta PowerPoint sulla sicurezza. Servono simulazioni reali, continue, personalizzate. Ogni mese, un CAPTCHA falso di test. Chi ci casca? Formazione immediata, non punitiva ma educativa. L’obiettivo non è creare paranoia ma consapevolezza: ogni richiesta insolita deve triggare un campanello d’allarme mentale.

Il vero problema: la supply chain digitale

Ma c’è un aspetto di ClickFix che pochi considerano: la contaminazione della supply chain digitale. Quando un’azienda viene infettata, il malware non si ferma lì. Cerca credenziali, accessi a portali fornitori, sistemi condivisi. Un’azienda di logistica lombarda ha involontariamente infettato 12 dei suoi clienti principali attraverso il portale di tracking condiviso.

Immagina questa situazione: la tua azienda ha investito centinaia di migliaia di euro in sicurezza. Firewall di ultima generazione, SOC 24/7, formazione continua del personale. Poi un fornitore minore, quello che gestisce le pulizie o la manutenzione delle stampanti, viene compromesso tramite un CAPTCHA falso. Ha accesso VPN alla tua rete per manutenzione remota. Game over.

La domanda che ogni manager dovrebbe porsi non è “siamo protetti da ClickFix?” ma “tutti i nostri fornitori con accesso ai nostri sistemi sono protetti da ClickFix?”. E la risposta, nel 90% dei casi, è un preoccupante “non lo sappiamo”.

Conclusione: l’urgenza che non puoi più rimandare

ClickFix non è l’ennesima minaccia informatica da aggiungere alla lista. È il sintomo di un cambiamento fondamentale nel panorama del cybercrime: i criminali non attaccano più i sistemi, manipolano le persone. E lo fanno con una sofisticazione psicologica che rende obsolete le difese tradizionali.

Ogni giorno che passa senza una strategia specifica contro il CAPTCHA falso è un giorno di vulnerabilità assoluta. Non serve un budget milionario o tecnologie fantascientifiche. Serve la consapevolezza che il problema esiste, è reale, e può colpire la tua azienda domani mattina.

La buona notizia? Le aziende che hanno implementato le contromisure descritte hanno ridotto del 94% il rischio di infezione da ClickFix. La cattiva? Solo il 15% delle PMI italiane ha anche solo sentito parlare di questa minaccia.

Se vuoi approfondire le tecniche più sofisticate di attacco e le strategie di difesa complete, il nostro report su OAuth QR e ClickFix | phishing invisibile analizza nel dettaglio come proteggere la tua organizzazione da queste minacce invisibili.

FAQ

Cos’è esattamente ClickFix e come si differenzia dal phishing tradizionale?

ClickFix è una tecnica di attacco che sfrutta falsi CAPTCHA o messaggi di errore per indurre gli utenti a eseguire volontariamente codice malevolo. A differenza del phishing che cerca di rubare credenziali, ClickFix convince la vittima a infettare attivamente il proprio sistema copiando e incollando comandi nella console del browser.

Come posso riconoscere un CAPTCHA falso da uno legittimo?

I CAPTCHA legittimi non chiedono MAI di aprire la console del browser o eseguire comandi. Se un CAPTCHA richiede di premere F12, copiare codice o eseguire script, è sicuramente un tentativo di ClickFix. I veri CAPTCHA si limitano a identificare immagini, risolvere puzzle visuali o cliccare su checkbox.

Quali settori aziendali sono più a rischio di attacchi ClickFix?

Le PMI manifatturiere, le aziende di servizi B2B e il settore logistico risultano particolarmente vulnerabili. Questo perché hanno spesso sistemi interconnessi con fornitori e clienti, moltiplicando i vettori di attacco. Anche le aziende con molti dipendenti in smart working sono bersagli frequenti.

Quanto tempo impiega mediamente un’azienda ad accorgersi di un’infezione da ClickFix?

Secondo i dati del CERT italiano, il tempo medio di rilevamento è di 14 giorni. Questo perché il malware in azienda tramite ClickFix opera in modo silenzioso, esfiltrandando dati gradualmente per non destare sospetti. Molte aziende se ne accorgono solo quando i dati vengono utilizzati per ricatti o venduti nel dark web.

È possibile rimuovere completamente ClickFix una volta che ha infettato i sistemi aziendali?

La rimozione completa richiede un approccio sistematico: isolamento immediato dei sistemi infetti, analisi forense per identificare tutti i componenti del malware, ripristino da backup puliti e cambio di tutte le credenziali. Il processo può richiedere settimane e costi che superano spesso i 35.000 euro per una PMI.

I software antivirus tradizionali possono bloccare ClickFix?

Gli antivirus tradizionali sono largamente inefficaci contro ClickFix perché il codice viene eseguito volontariamente dall’utente con i suoi privilegi. Servono soluzioni EDR (Endpoint Detection and Response) che monitorano i comportamenti anomali, non solo le firme dei virus. Anche così, se l’utente ha privilegi amministrativi, il blocco potrebbe non essere efficace.

Quali sono le implicazioni GDPR di un’infezione da ClickFix?

Un’infezione da ClickFix che comporta esfiltrazione di dati personali deve essere notificata al Garante Privacy entro 72 ore. Le sanzioni per mancata notifica o inadeguate misure di sicurezza possono arrivare al 4% del fatturato annuo. Inoltre, l’azienda deve informare tutti gli interessati i cui dati sono stati compromessi.

Esistono certificazioni o standard specifici per proteggersi da attacchi come ClickFix?

Non esiste una certificazione specifica per ClickFix, ma l’implementazione dello standard ISO 27001 con focus su awareness e incident response fornisce un framework robusto. Il NIST Cybersecurity Framework, in particolare i controlli di Detection e Response, offre linee guida pratiche. Tuttavia, nessuna certificazione sostituisce una strategia di difesa attiva e aggiornata.