Negli ultimi mesi, il team di threat intelligence di Cisco Talos ha individuato un nuovo modus operandi dei criminali informatici: nascondere il malware all’interno di documenti Google Docs e sfruttare falsi meccanismi di verifica per convincere le vittime a eseguire codice maligno. Il risultato è un furto di criptovalute e di credenziali di accesso, realizzato con una credibilità sorprendente grazie all’uso di servizi cloud di massa.
Il fenomeno è espressione della tecnica nota come ClickFix, che spinge l’utente a compiere, volontario ma inconsapevole, azioni dannose sul proprio dispositivo. La combinazione di un servizio tanto diffuso come Google Docs e di schermate che imitano le verifiche anti-bot rende l’attacco difficile da individuare sia per gli utenti finali sia per i sistemi di difesa tradizionali.
Campagna 1: falsa ricompensa per vulnerabilità su exchange di criptovalute
Attiva da ottobre 2025, la prima ondata di attacchi si è diretta verso gli investitori in criptovalute. Gli aggressori hanno diffuso un messaggio, presente su Telegram, forum tematici e piattaforme di condivisione, che annunciava una compensazione superiore al 25 % per presunte vulnerabilità riscontrate su alcune piattaforme di scambio. Per “ricevere” il bonus, le vittime dovevano aprire un documento Google e compiere alcune operazioni all’interno del browser. In realtà, tali operazioni hanno dato il via a un programma malevolo celato in fogli apparentemente innocui.
Una volta installato, il malware è in grado di manipolare le informazioni mostrate durante le transazioni di criptovalute, deviando i fondi verso portafogli controllati dai criminali. Per aumentare la credibilità, il truffatore visualizza un finto bonus che spinge l’utente a finalizzare l’operazione.
Cisco Talos ha tracciato 49 indirizzi Bitcoin collegati a questa operazione; almeno 24 di essi hanno ricevuto più di 10 000 USD sottratti alle vittime. I fondi sono poi stati spostati attraverso migliaia di altri indirizzi, complicando ulteriormente l’analisi della catena di trasferimento.
Dopo le segnalazioni a Google e alle piattaforme coinvolte, i documenti incriminati sono stati rimossi. Tuttavia, gli autori hanno riproposto l’attacco pochi giorni dopo, creando nuovi fogli Google che sono rimasti online fino ad agosto, nonostante ulteriori avvisi.
Campagna 2: falsa verifica Google contro un ente governativo ucraino
Identificata nell’aprile 2026, la seconda operazione è scaturita da attività sospette rilevate in un’organizzazione governativa dell’Ucraina. Dopo aver compromesso un sito web, gli aggressori hanno utilizzato servizi online pubblici per distribuire gli strumenti dell’attacco, rendendone più ardua la rimozione. Le vittime sono state indirizzate verso una simulazione di verifica Google, molto simile alla classica casella “Non sei un robot”.
Seguendo le istruzioni della falsa pagina, gli utenti hanno involontariamente installato un malware capace di rubare password, dati personali e le chiavi dei loro portafogli di criptovalute. Oltre al furto di credenziali, il codice consente il controllo remoto del dispositivo compromesso, aprendo la porta a ulteriori attività criminali.
Secondo le analisi di Cisco Talos, l’obiettivo principale era il prelievo di criptovalute e l’acquisizione di credenziali di accesso, più che il danneggiamento diretto dell’ente governativo. La scelta di una “verifica” falsa sfrutta la fiducia degli utenti nei confronti di un servizio legittimo, rendendo la truffa quasi irresistibile.
Indicazioni operative per contrastare le minacce
Renzo Ghizzoni, responsabile di Cisco Italia, sottolinea che quasi tutte le organizzazioni permettono il traffico verso Google Docs. Questa apertura è il punto di partenza per gli attaccanti, che mascherano il codice malevolo come una normale richiesta di accesso a un documento. “La lezione non è diffidare di Google”, avverte Ghizzoni, “ma verificare che l’azione richiesta sia coerente con il contesto e con l’utilizzo abituale della piattaforma”.
Tra le raccomandazioni di Cisco Talos troviamo: monitorare attività insolite sui servizi cloud, controllare regolarmente le estensioni installate nei browser e nei siti aziendali, e formare gli utenti perché riconoscano richieste anomale. Una regola pratica è: nessun servizio legittimo dovrebbe chiedere di copiare e incollare un comando sul computer per dimostrare di non essere un robot. Rispettare questo principio può fermare gran parte degli attacchi basati su ClickFix.
