ClickFix: l’attacco che ha compromesso 5.400 siti e minaccia il 30 % degli utenti PC e Mac – perché le difese tradizionali stanno crollando

Negli ultimi mesi, la tecnica di attacco denominata “ClickFix” è passata da curiosità di nicchia a vero e proprio standard operativo per i gruppi di cybercrime, compresi gli attori sponsorizzati dallo Stato russo. Con più di 5.400 siti web compromessi e una stima che coinvolga fino al 30 % degli utenti di PC e Mac in Europa e Nord America, il modello si basa su un inganno estremamente semplice: un CAPTCHA fasullo seguito da una riga di codice da incollare in PowerShell, Run o Terminal. Il risultato è una catena di infezioni che supera di gran lunga le campagne tradizionali basate su download mascherati o certificati firmati.

Meccanismo e diffusione di ClickFix

Il nucleo dell’attacco è una vulnerabilità di usabilità più che tecnica. Gli aggressori compromessi iniettano un overlay che imita il CAPTCHA di Cloudflare o di altri provider legittimi. Dopo il completamento, appare una stringa di testo – tipicamente una chiamata a powershell -exec bypass o bash -c "$(curl …)" – che l’utente è invitato a copiare e incollare. La semplicità è ingannevole: non richiede exploit zero‑day, né l’uso di firme digitali. Un report di BlueVoyant (giugno 2026) indica che la conversione da visita a esecuzione è del 12 % su siti ad alto traffico, un tasso più alto di qualsiasi campagna di phishing basata su email nello stesso periodo.

La scalabilità deriva dal “low‑cost infrastructure”: gli attaccanti sfruttano servizi pubblici come Google Sheets per ospitare le stringhe di comando, e persino contratti smart su blockchain per gestire i server di comando e controllo (C2). Cisco Talos ha documentato almeno tre varianti di C2 basate su contratti Ethereum, rendendo difficile l’intervento delle autorità di law‑enforcement che non hanno più un punto di ingresso fisico da chiudere.

Impatto su Windows e macOS: il crollo delle difese tradizionali

Fino a poco fa, la sicurezza di Windows si affidava a certificati firmati da Microsoft e a SmartScreen, mentre macOS contava su Gatekeeper e notarizzazione. ClickFix neutralizza entrambi i meccanismi perché la legittimità non deriva più dal file eseguibile, ma dall’azione volontaria dell’utente. BlueVoyant ha stimato che, eliminando la necessità di firmare i pacchetti, i costi operativi degli attori malevoli si sono ridotti di circa il 70 %.

Le versioni macOS della variante ClickFix, analizzate da Jamf e da ricercatori indipendenti, riescono a bypassare Gatekeeper usando l’opzione osascript -e per eseguire script AppleScript in background, aggirando anche le restrizioni di notarizzazione. In risposta, Apple ha rilasciato un aggiornamento di macOS 15.1 che blocca l’esecuzione di comandi incollati da clipboard non verificata, ma Netskope ha già rilevato che il 45 % delle campagne post‑aggiornamento utilizza tecniche di “clipboard hijacking” per ri‑attivare il vettore.

Risposta del mercato e delle autorità: soluzioni emergenti e lacune

Il settore della sicurezza ha reagito rapidamente. Prodotti come BlockBlock (per macOS) e l’estensione uBlock Origin hanno introdotto filtri che disabilitano la combinazione ⌘+V o Ctrl+V in contesti di pagina non whitelisted, riducendo la conversione di ClickFix del 60 % in ambienti aziendali testati. Tuttavia, queste contromisure richiedono una configurazione proattiva e non sono ancora standard nei sistemi operativi di default.

Le autorità di regolamentazione, tra cui il NIST e l’ENISA, hanno pubblicato linee guida per la “User‑Initiated Execution” (UIE) che raccomandano l’adozione di policy di “clipboard sanitization” a livello di browser. Nonostante ciò, la maggior parte dei browser mainstream (Chrome, Edge, Safari) non ha ancora implementato blocchi di default, lasciando un gap di sicurezza che gli attori sfruttano.

Dal punto di vista economico, il mercato dei ransomware ha subito un’impennata: le campagne ClickFix sono state collegate a più di 1,2 miliardi di dollari di ricatti entro tre mesi, secondo un’indagine di Netskope. La facilità di distribuzione sta trasformando ClickFix in una “piattaforma-as-a-service” per i cybercriminali, con gruppi che affittano l’infrastruttura a prezzi che partono da 5 000 USD al mese.

Prospettive e Scenari

Guardando al futuro, la tendenza è chiara: gli attacchi basati su ingegneria sociale “user‑initiated” continueranno a crescere finché l’esperienza utente rimarrà complessa e i meccanismi di autenticazione visivi (CAPTCHA, interstitial) non saranno semplificati. Le imprese dovranno spostare il focus dalla difesa per “file” a quella per “comportamento”, investendo in soluzioni di monitoraggio della clipboard e di analisi in tempo reale dei comandi terminale.

In parallelo, le piattaforme di hosting dovranno rafforzare i controlli sui contenuti dinamici e introdurre sistemi di reputazione per i domini compromessi. Un possibile scenario è l’introduzione di certificati “human‑verified” per le pagine che richiedono l’inserimento di comandi, un modello che potrebbe ridurre il tasso di successo di ClickFix di almeno il 40 % entro la fine del 2027.

Infine, la pressione normativa potrebbe tradursi in obblighi di “secure UI design” per i provider di servizi web, con sanzioni per chi non implementa mitigazioni di base contro l’inganno della clipboard. Fino a quel momento, la migliore difesa rimane la consapevolezza: educare gli utenti a sospendere qualsiasi copia‑incolla di comandi non verificati, e a verificare l’autenticità delle richieste di CAPTCHA tramite canali ufficiali.

Bottom line: ClickFix ha dimostrato che la più grande vulnerabilità resta la capacità umana di essere convinti a “cliccare e incollare”. Le difese tradizionali stanno crollando; le organizzazioni che adotteranno subito misure di comportamento e di educazione saranno quelle che riusciranno a contenere l’ondata di infezioni nei prossimi 12‑18 mesi.