Un CAPTCHA che non serve a dimostrare che sei umano
Ti sei mai fermato a pensare perché un sito ti chiede di dimostrare di non essere un robot proprio mentre stai leggendo un articolo o cercando un prodotto? Su oltre 5.400 siti WordPress e PrestaShop, quella richiesta è una trappola. La società di sicurezza Netskope ha scoperto una campagna che usa CAPTCHA finti per convincere le vittime a infettarsi da sole, passo dopo passo, senza che serva nessun exploit sofisticato.
Come funziona il trucco: dalla verifica finta al comando incollato
La tecnica si chiama ClickFix e sfrutta un meccanismo semplice quanto efficace: il sito mostra una finta verifica "non sono un robot" e istruisce l'utente ad aprire la finestra "Esegui" di Windows e a incollarci dentro un comando. Quel comando è in realtà PowerShell, e scarica ed esegue il payload vero. Nessun allegato sospetto, nessun link da cliccare in una mail: è la vittima stessa, guidata passo dopo passo, a dare il via all'infezione.
Il codice malevolo si nasconde nella blockchain
La parte più originale è come gli attaccanti recuperano le istruzioni per il passo successivo: interrogando uno smart contract sulla BSC Testnet, la rete di test di Binance Smart Chain. La tecnica si chiama EtherHiding e complica non poco il tracciamento, perché il codice dannoso non sta su un server che si può bloccare con un semplice DNS sinkhole, ma dentro una transazione blockchain, difficile da rimuovere e facile da aggiornare per chi la controlla. Ad agosto 2026 Netskope ha osservato in media 400 nuovi siti compromessi al giorno, con un picco di 536.
L'ultima variante non lascia quasi tracce
Nella versione più recente della campagna, il payload finale non è più un semplice eseguibile scaricato su disco: è uno stager basato su WebRTC, che apre un canale cifrato verso l'infrastruttura degli attaccanti senza una vera stretta di mano, scarica del codice JavaScript e lo esegue direttamente in memoria nel browser. Risultato: niente file da far analizzare a un antivirus, niente traccia su disco. Non è ancora chiaro come i siti vengano compromessi in origine: WordPress e PrestaShop restano bersagli preferiti perché usati in massa da piccole aziende, spesso con plugin non aggiornati e senza nessuno che li controlli davvero.
💬 Il mio commento
Il dettaglio che mi colpisce di più in questa storia non è il CAPTCHA falso — quello lo vediamo in mille varianti da anni — ma il fatto che l'infezione parta da un gesto volontario della vittima, guidato riga per riga. Niente exploit, niente vulnerabilità zero-day: solo qualcuno che segue istruzioni scritte bene su un sito che sembra affidabile, magari perché lo conosce già.
Con i clienti più piccoli il punto su cui insisto spesso è che la sicurezza di un sito WordPress o PrestaShop non finisce con l'installazione. Se nessuno aggiorna i plugin e nessuno controlla chi ha accesso all'amministrazione, prima o poi qualcuno se ne accorge e lo usa come piattaforma per colpire chi lo visita — non necessariamente per rubare dati dal sito stesso. È una distinzione che fatico a far passare: il sito viene pensato come una vetrina, non come un'infrastruttura che può essere armata contro altri.
La parte della blockchain, lo ammetto, complica le cose anche per chi fa risposta agli incidenti di mestiere: bloccare un dominio o un indirizzo IP è un conto, bloccare un intero pool di endpoint RPC di una rete come BSC Testnet è tutta un'altra scala di intervento, e non tutte le aziende hanno gli strumenti di rete per farlo con precisione.
Penso che tecniche come questa continueranno a evolversi in questa direzione: meno malware "classico" da far analizzare a un antivirus, più livelli di offuscamento presi in prestito da tecnologie legittime — blockchain, WebRTC, chissà cos'altro tra un anno. Il pezzo debole della catena resta la persona davanti allo schermo, ed è lì che gli attaccanti continueranno a investire più che in exploit costosi da sviluppare.