CAPTCHA falsi, il clic su “Non sono un robot” può mettere a rischio il PC
Una verifica CAPTCHA che chiede di dimostrare di non essere un robot dovrebbe risolversi all’interno del browser. Se, invece, invita ad aprire PowerShell, avviare il Terminale, incollare comandi o scaricare programmi, quello che sembra un normale controllo di sicurezza potrebbe essere il primo passo di un attacco informatico. Le truffe basate sui CAPTCHA falsi sfruttano un gesto ormai abituale per indurre le persone a eseguire personalmente istruzioni che possono compromettere il computer, esporre le password e consentire a estranei di accedere ai dati conservati nel dispositivo.
L’allarme riguarda una tecnica che imita le procedure di verifica utilizzate da numerosi siti web per distinguere gli utenti reali dai programmi automatizzati. Come segnalato dagli esperti di sicurezza informatica di ESET, il meccanismo punta soprattutto sulla fiducia generata da un’interfaccia familiare: davanti alla scritta «Non sono un robot», molti utenti agiscono d’istinto, senza domandarsi perché una semplice verifica richieda operazioni estranee alla normale navigazione. Il pericolo non risiede necessariamente nella casella da spuntare, ma nelle istruzioni che possono comparire subito dopo.
Come si riconosce un CAPTCHA falso prima che sia troppo tardi?
I CAPTCHA autentici possono chiedere di selezionare immagini contenenti determinati oggetti, riconoscere caratteri, completare una verifica visiva oppure contrassegnare una casella. Alcuni sistemi più evoluti effettuano i controlli in secondo piano, riducendo o eliminando la necessità di interventi da parte dell’utente. In tutti questi casi, la verifica è progettata per funzionare nell’ambito della pagina web, senza trasformare il visitatore in un esecutore di comandi informatici.
La situazione cambia quando compare una richiesta di aprire la finestra «Esegui» di Windows, avviare PowerShell, utilizzare il Prompt dei comandi oppure accedere al Terminale. Sono segnali che meritano la massima attenzione anche quando la grafica appare professionale e il messaggio sembra provenire da un servizio conosciuto. Un CAPTCHA non ha bisogno che l’utente esegua manualmente comandi di sistema per dimostrare di essere una persona. È altrettanto prudente interrompere la procedura se la pagina impone di scaricare un file, installare un’estensione, abilitare notifiche del browser o copiare e incollare istruzioni in una finestra esterna.
La familiarità con queste verifiche rappresenta proprio uno degli elementi sfruttati dai truffatori. Poiché i controlli anti-bot sono presenti da anni nei moduli di accesso, nei servizi online e nei sistemi di protezione dei siti, una schermata apparentemente ordinaria può abbassare le difese dell’utente. Tuttavia, la somiglianza visiva con un servizio autentico non costituisce una garanzia: è necessario valutare anche ciò che la pagina chiede di fare dopo il primo clic.
Che cos’è la truffa ClickFix e come può compromettere il computer?
Una delle tecniche utilizzate in questo contesto è conosciuta come ClickFix. Il principio è semplice, ma particolarmente insidioso: anziché affidarsi esclusivamente a una vulnerabilità del software, i criminali cercano di convincere la vittima a compiere un’azione pericolosa, presentandola come una verifica necessaria o come la soluzione a un problema inesistente.
La pagina fraudolenta può mostrare un CAPTCHA contraffatto oppure un avviso che segnala un presunto errore del computer. Per proseguire, all’utente viene chiesto di seguire una sequenza di passaggi che prevede l’apertura di uno strumento di sistema e l’inserimento di un comando. In alcune varianti, il sito può copiare automaticamente del testo negli appunti del dispositivo, senza che la persona si renda conto del contenuto effettivo. Le istruzioni successive indicano quali tasti premere e dove incollare il testo, facendo apparire l’operazione come una procedura tecnica necessaria per completare il controllo.
Il momento decisivo è l’esecuzione del comando. Se il contenuto viene avviato, può dare inizio al download o all’installazione di software malevolo, compresi programmi progettati per sottrarre credenziali, raccogliere informazioni personali o consentire il controllo remoto del computer. In quest’ultimo caso, un attaccante può ottenere la possibilità di interagire con il dispositivo compromesso, con conseguenze che dipendono dal tipo di malware installato, dai privilegi disponibili e dalle protezioni presenti.
La pericolosità di ClickFix deriva anche dal fatto che la vittima può diventare parte attiva dell’attacco senza rendersene conto. Non sempre è necessario convincerla ad aprire un allegato sospetto o a installare un programma riconoscibile come sconosciuto: può bastare presentare un’istruzione apparentemente legittima, inserirla in una procedura familiare e spingerla a eseguirla senza verificarne il significato.
Perché i CAPTCHA conosciuti possono essere imitati dai truffatori?
I CAPTCHA sono utilizzati da oltre due decenni per contrastare attività automatizzate, come l’invio massivo di moduli, la creazione abusiva di account e i tentativi ripetitivi di accesso. Tra le soluzioni diffuse figurano Google reCAPTCHA, hCaptcha e Cloudflare Turnstile, sistemi che possono adottare modalità di verifica differenti a seconda del contesto e del livello di rischio rilevato.
Proprio la diffusione di questi strumenti offre ai truffatori un modello facilmente riconoscibile da riprodurre. Una pagina costruita con colori, simboli e messaggi familiari può sembrare attendibile anche quando non ha alcun rapporto con il servizio originale. Per questo motivo, riconoscere il nome di una tecnologia o vedere un’interfaccia dall’aspetto professionale non è sufficiente per stabilire che la procedura sia sicura.
La distinzione fondamentale riguarda il comportamento richiesto. Una verifica anti-bot non dovrebbe costringere l’utente a uscire dal normale flusso del browser per eseguire istruzioni nella struttura interna del sistema operativo. Quando una presunta procedura di sicurezza pretende modifiche alle impostazioni, installazioni non previste o comandi da incollare manualmente, è opportuno fermarsi, anche se la pagina sostiene che il passaggio sia indispensabile per continuare.
Quali controlli aiutano a individuare una pagina di verifica fraudolenta?
Un primo elemento da esaminare è l’indirizzo completo del sito. Domini con lettere sostituite, errori ortografici, parole aggiunte o nomi costruiti per ricordare quelli di aziende conosciute possono indicare un tentativo di imitazione. È importante non limitarsi all’aspetto grafico della pagina e controllare, quando possibile, che il dominio corrisponda effettivamente al servizio che si intende utilizzare.
Anche il contesto in cui compare il CAPTCHA può offrire indicazioni utili. Una verifica integrata nel modulo di accesso o nel processo di invio di un formulario è coerente con il funzionamento abituale di questi strumenti; una finestra isolata che impone di aprire applicazioni esterne merita invece un controllo più rigoroso. Passare il puntatore del mouse su un collegamento può aiutare a visualizzarne la destinazione, ma non sostituisce la verifica dell’indirizzo e dell’affidabilità della pagina.
Occorre inoltre ricordare che la presenza di HTTPS non dimostra, da sola, che un sito sia autentico o affidabile. La connessione cifrata protegge la comunicazione tra il browser e il sito, ma anche una pagina gestita da un truffatore può utilizzare un certificato valido. La prudenza deve quindi basarsi sull’insieme degli indizi, soprattutto sulle richieste anomale e sulle azioni che la pagina pretende di far eseguire.
Che cosa fare se è già stato copiato o eseguito un comando sospetto?
Se il testo è stato copiato negli appunti ma non è ancora stato eseguito, la regola principale è non premere Invio e non completare la procedura. È consigliabile chiudere la pagina fraudolenta e le eventuali finestre di sistema aperte durante il tentativo, senza incollare o avviare il contenuto. Per evitare di riutilizzarlo accidentalmente, si può sostituire il contenuto degli appunti copiando un testo innocuo.
Se, invece, il comando è già stato eseguito, cancellare gli appunti non è sufficiente: l’eventuale software malevolo potrebbe essere già stato scaricato o avviato. In questo caso è opportuno avviare una scansione completa con uno strumento di sicurezza aggiornato, controllare i file scaricati di recente e verificare le estensioni installate nel browser, prestando attenzione a elementi sconosciuti. Se si sospetta un accesso remoto non autorizzato, è prudente scollegare il dispositivo dalla rete e utilizzare un altro dispositivo affidabile per cambiare le password più importanti, iniziando dall’account di posta elettronica e attivando l’autenticazione a più fattori.
La rapidità di reazione può ridurre i rischi, ma non garantisce da sola che il computer sia tornato sicuro. In presenza di segnali concreti di compromissione, è opportuno rivolgersi a un professionista qualificato e verificare anche eventuali accessi anomali agli account. La lezione più importante resta preventiva: una casella «Non sono un robot» non dovrebbe mai diventare un motivo per eseguire alla cieca istruzioni di sistema. Quando una verifica richiede azioni insolite, fermarsi e controllare è molto più sicuro che seguire automaticamente il percorso indicato.