Nella maggior parte degli attacchi informatici c’è un file che arriva da qualche parte: un allegato, un download, un eseguibile mascherato.
ClickFix funziona diversamente, perché non consegna niente: convince la persona davanti allo schermo a digitare da sola il comando che avvia l’infezione, dentro una finestra legittima del suo computer. I controlli pensati per i file, di conseguenza, non trovano molto da intercettare.
Cos’è ClickFix e perché funziona
ClickFix è una tecnica di social engineering comparsa nel 2024 e diffusa in modo sempre più ampio nei due anni successivi.
Il funzionamento è semplice: una pagina web mostra una verifica di sicurezza, di solito un finto CAPTCHA che imita l’aspetto di quelli di uso comune. Le caselle però non rispondono, e la pagina propone una procedura alternativa: premere Win+R, poi Ctrl+V, poi Invio.
Mentre quelle istruzioni vengono mostrate, uno script ha già copiato negli appunti un comando che l’utente non vede. Premendo “Invio” quel comando viene eseguito con i permessi dell’account in uso: contatta un server esterno, scarica il vero software malevolo e lo avvia in memoria, spesso senza scrivere file sospetti sul disco.
La sequenza spiega da sola perché la tecnica passa. Mancano i due elementi su cui si concentrano le difese abituali: l’allegato da analizzare e il download da bloccare. Gli strumenti usati per avviare il comando, come PowerShell o mshta, sono componenti standard di Windows, firmati e presenti su ogni postazione. E soprattutto l’azione è volontaria: dal punto di vista del sistema, un utente ha aperto una finestra di sistema e ha eseguito un comando, esattamente come farebbe un tecnico.
C’è poi un fattore di abitudine. Le verifiche anti-bot sono diventate un gesto automatico, qualcosa che si supera senza leggere. ClickFix sfrutta proprio quell’automatismo, aggiungendo un passaggio in più a una procedura che l’utente dà già per legittima.
Dove compaiono queste pagine
L’idea che basti evitare i siti poco affidabili non regge. Le pagine che ospitano questi finti CAPTCHA arrivano da canali che nessuno considera rischiosi.
Il caso più frequente è quello dei siti legittimi compromessi: portali di settore, testate, e-commerce che gli attaccanti riescono a modificare inserendo uno script. Il visitatore digita l’indirizzo che usa da anni e trova la verifica. A inizio ottobre 2026 Microsoft Threat Intelligence ha documentato un gruppo di siti compromessi che precaricavano nella cache del browser uno script travestito da immagine PNG. Il motivo è pratico: la finestra Esegui accetta comandi di lunghezza limitata, e tenere il codice già sul dispositivo permette di far incollare all’utente una stringa corta, che non contiene nessun indirizzo da scaricare.
Il secondo canale è la ricerca: annunci sponsorizzati e posizionamenti costruiti ad arte portano su pagine che imitano il sito di un software molto cercato, dove la finta verifica compare prima del download.
Poi ci sono le varianti travestite da problema tecnico: il documento che “non può essere aperto” e propone una procedura di riparazione, l’invito a una riunione online che chiede di sistemare un componente mancante, la pagina che segnala un errore del browser. Cambiano le circostanze, il gesto richiesto è sempre lo stesso.
Cosa succede dopo che il comando è stato eseguito
In buona parte delle campagne osservate il software installato appartiene alla categoria degli infostealer, programmi costruiti per raccogliere dati di accesso. Lumma e StealC sono due delle famiglie più ricorrenti.
Quello che viene portato via, in pochi minuti, è l’elenco di tutto ciò che il browser conserva: credenziali salvate, cookie di sessione, dati compilati automaticamente, token di accesso ai servizi cloud. A questo si aggiungono le configurazioni dei client di posta e, in alcuni casi, le chiavi di accesso remoto presenti sulla postazione.
È qui che un episodio apparentemente isolato diventa un problema aziendale, perché un cookie di sessione permette di entrare in un account già autenticato senza inserire la password e, in diversi casi, senza passare dal secondo fattore: chi lo possiede non deve indovinare niente, gli basta presentarsi come se fosse già entrato. Mentre le credenziali raccolte vengono rivendute e riutilizzate per accedere alla posta aziendale, al gestionale e ai portali dei fornitori, da quel punto in poi il problema smette di essere informatico e diventa operativo: richieste di pagamento con coordinate modificate, accessi ai sistemi condivisi, tentativi verso i clienti.
Il furto dura pochi minuti, l’uso di quei dati può arrivare settimane dopo. Ed è il motivo per cui la reazione, quando qualcosa è successo, deve andare oltre la bonifica del singolo computer.
Come si riconosce
Il criterio è uno solo e non richiede competenze tecniche.
Una verifica autentica si esaurisce dentro il browser: una casella da spuntare, immagini da selezionare, al massimo un controllo che avviene da solo. Nel momento in cui una pagina chiede di uscire dal browser e digitare o incollare qualcosa nel sistema operativo, quella verifica non esiste.
I segnali ricorrenti in queste pagine:
- L’istruzione di premere Win+R, o di aprire il Terminale sui dispositivi Apple
- La richiesta di incollare un testo con Ctrl+V senza che sia mai stato copiato nulla
- Un contatore dei passaggi, che dà l’impressione di una procedura guidata ufficiale
- Un messaggio di errore che propone una riparazione rapida al posto di un semplice “riprova”
La tecnica non riguarda solo Windows. Su macOS circolano campagne costruite allo stesso modo, che chiedono di aprire il Terminale invece della finestra Esegui.
Cosa fare a livello aziendale
Le contromisure si muovono su tre piani, e nessuno dei tre da solo è sufficiente.
Le persone
La formazione generica sul phishing non copre questo caso, perché qui non arriva nessuna e-mail sospetta. Serve far vedere il pattern specifico: la schermata, i tre passaggi, il criterio del browser. Accanto a questo va stabilito a chi segnalare e in quanto tempo, perché la differenza fra un incidente contenuto e uno esteso si misura nelle prime ore. Chi si accorge di aver eseguito il comando deve sapere che segnalarlo subito è la cosa utile da fare.
Le configurazioni
Sulle postazioni di lavoro standard l’esecuzione degli interpreti di comando può essere limitata attraverso le politiche di dominio e le regole applicative: strumenti come mshta, certutil o regsvr32 non servono all’operatività quotidiana di un utente amministrativo e possono essere bloccati. Si aggiungono il filtro web e DNS, che intercetta i domini registrati da poco usati per ospitare questi payload, e una soluzione di protezione degli endpoint in grado di riconoscere una catena anomala: un browser che avvia un interprete di comandi è una sequenza che in condizioni normali non si verifica.
Il monitoraggio
La cronologia della finestra Esegui è uno dei punti di controllo più diretti: su una postazione sana non contiene comandi con riferimenti a PowerShell, mshta o indirizzi web. Allo stesso modo, una connessione in uscita generata da un processo di sistema verso un dominio appena registrato è un segnale che merita un’allerta ad alta priorità. Sono controlli che hanno senso se qualcuno li legge con continuità, ed è la ragione per cui molte aziende scelgono di affidare questa parte a un servizio gestito.
Se il comando è già stato eseguito
In questo caso l’ordine delle operazioni conta più della velocità.
- Isolare la postazione dalla rete, senza spegnerla: lo spegnimento cancella elementi utili all’analisi.
- Cambiare le credenziali degli account usati su quel dispositivo, operando da un altro computer non coinvolto.
- Invalidare le sessioni attive dai pannelli di amministrazione dei servizi cloud e della posta: la sola modifica della password non chiude le sessioni già aperte, che sono proprio ciò che è stato sottratto.
- Verificare le regole di inoltro e le deleghe sulle caselle di posta, uno dei primi elementi che viene modificato dopo un accesso non autorizzato.
- Analizzare la postazione prima di rimetterla in rete, per capire cosa è stato eseguito e quali dati sono stati raggiunti.
Il punto 3 è quello che viene saltato più spesso. Nelle segnalazioni che gestiamo la password viene cambiata subito, mentre le sessioni aperte restano valide per giorni.
Nessuno dei passaggi di ClickFix richiede una falla nel software. Richiede che l’abitudine a superare le verifiche prevalga sull’attenzione, e questo è il limite oltre il quale la configurazione delle postazioni non arriva: serve qualcuno che riconosca il momento in cui una pagina chiede qualcosa che nessuna pagina dovrebbe chiedere.
Se vuoi capire quali di questi controlli sono già attivi sulle postazioni della tua azienda e quali vanno introdotti, contattaci: valutiamo insieme la configurazione esistente e le misure applicabili al tuo contesto.