Claude download: la trappola stava sul sito vero

Immagina di cercare su Google come scaricare Claude. In alto c’è un risultato sponsorizzato, ma va bene: porta a Claude. Clicchi. L’indirizzo comincia con claude.ai, c’è il lucchetto, c’è il logo, c’è un titolo quasi identico a quello della pagina ufficiale. Tutto torna.

Ed è esattamente lì che può stare la trappola.

Lunedì 26 ottobre, alle 21:15 ora italiana, Gen Digital, il gruppo che possiede Norton e Avast, ha pubblicato una ricerca su due campagne che usano il sito vero di Claude per installare programmi che rubano dati. Una colpisce i Mac, l’altra i computer Windows. Secondo Gen, non è servito violare i sistemi di Anthropic, e nemmeno registrare un indirizzo che somiglia a quello vero. È bastato usare due funzioni che ogni utente di Claude ha a disposizione, e pagare degli annunci.

Cosa ha trovato Gen Digital

Il rapporto è firmato da Vojtěch Moravec, analista delle minacce di Gen. Comincia così: «Abbiamo trovato una falsa pagina “Download Claude”, e una cosa era insolita: l’indirizzo era vero».

La pagina stava su claude.ai. Aveva il marchio di Claude e istruzioni semplici, all’apparenza, per installare l’applicazione sul computer. Anthropic quelle istruzioni non le ha mai pubblicate. Le hanno pubblicate gli attaccanti, usando due strumenti normali del servizio: la condivisione delle conversazioni e la pubblicazione degli artifact.

Un artifact, per chi non lo usa, è il contenuto che Claude prepara in una finestra a parte della chat: un documento, una pagina, una piccola applicazione. Lo puoi pubblicare e mandare a chiunque con un link. Una chat condivisa è la stessa cosa per una conversazione intera. In entrambi i casi la pagina resta sul dominio di Claude. La firma, invece, è di chi l’ha pubblicata.

Gen ha trovato la stessa esca in tutte e due le forme. Come artifact, una copia della pagina di download con lo stesso logo, la stessa impaginazione e un titolo quasi identico. Come chat condivisa, una finta conversazione intitolata «Claude Code on Mac», pubblicata da un utente che si firma «John Gol».

Poi c’è il dettaglio che trasforma un trucco in un’operazione. I link analizzati da Gen contenevano gclid e gad_campaignid, due parametri che Google aggiunge agli indirizzi quando arrivi da un annuncio. Vuol dire che qualcuno ha pagato perché quelle pagine comparissero in alto fra i risultati di ricerca. E non una volta sola: Gen ha trovato diversi artifact collegati a due campagne pubblicitarie diverse. La sua conclusione è che si tratta di un’operazione finanziata, che alternava più pagine, e di un caso tutt’altro che isolato.

Ricapitolando: un indirizzo vero, un marchio vero, una posizione comprata. Il falso era tutto nel contenuto.

Il dominio è di Anthropic, la pagina di un utente

Per anni ci hanno insegnato a guardare la barra degli indirizzi. Una lettera di troppo, un dominio strano, il lucchetto che manca: erano i segnali per riconoscere una truffa. Gen osserva che la maggior parte delle campagne di phishing, cioè le truffe che imitano un sito o un mittente fidato per farti consegnare dati, dipende da piccoli dettagli che chi visita la pagina non deve notare. Questa li toglie tutti.

Il lucchetto c’è, perché il lucchetto dice solo che la connessione con claude.ai è cifrata. Il dominio è giusto, perché la pagina sta davvero lì. Il logo è giusto, perché copiarlo costa niente.

Claude, a dire il vero, un avviso lo mette. Sulla pagina dell’artifact compare una striscia sottile con la scritta «Content is user-generated and unverified», cioè contenuto creato da un utente e non verificato. Sulla chat condivisa c’è un’avvertenza simile: il contenuto può essere non verificato o non sicuro e non rappresenta le opinioni di Anthropic. Gen riconosce che la piattaforma etichetta il contenuto nel modo giusto. Ma osserva che sulla pagina dell’artifact quella striscia è l’unico avviso, e che tutto il resto, dominio, lucchetto e marchio, sembra autentico. Gli attaccanti, scrive, contano proprio su questo. Nella chat condivisa, l’esca sta subito sotto l’avvertenza.

La frase più utile di tutto il rapporto è questa: un indirizzo autentico ti dice dove è ospitato un contenuto, non chi l’ha creato né se puoi fidarti.

Vale per claude.ai. Vale per ogni sito in cui chiunque può pubblicare qualcosa con il nome del sito sopra.

Copia, incolla, Invio

La pagina falsa per Mac non offre un programma di installazione da scaricare: ti fa eseguire un comando che scarica il programma malevolo. Ti mostra un riquadro, «Install on macOS — Quick install via Terminal», installazione rapida dal Terminale, l’app del Mac in cui si scrivono i comandi. Quattro passi gentili: apri il Terminale, clicca il pulsante «Copia», incolla, premi Invio.

La tecnica ha un nome, ClickFix, e su questo blog l’abbiamo già incontrata pochi giorni fa, raccontando una campagna italiana con un finto avviso del corriere e la nuova difesa di Chrome che, con la Protezione avanzata, controlla i comandi che copi per contrastare ClickFix. Gen spiega bene perché resta così popolare. Non scarichi a mano nessun programma di installazione: copi del testo e lo esegui tu, ed è quel comando a scaricare ed eseguire il codice malevolo. Per il computer è come se quel comando l’avessi scritto tu. E il comando è rimescolato apposta: anche se lo guardi, vedi una riga incomprensibile, senza l’indirizzo dell’attaccante in chiaro.

C’è un dettaglio che rende l’esca più credibile di quanto sembri. Claude Code, lo strumento di Anthropic per chi programma, si installa davvero così: la documentazione ufficiale dice di incollare nel Terminale un comando che scarica uno script da claude.ai. La finta chat «Claude Code on Mac» imitava un’abitudine vera. La differenza sta da dove prendi il comando: dalla documentazione ufficiale che hai aperto tu, che indica uno script preciso, claude.ai/install.sh. Il nome claude.ai dentro un comando, da solo, non basta a renderlo sicuro: questa storia dimostra proprio che su quel dominio finiscono anche contenuti degli utenti. La pagina falsa ti dava una riga illeggibile, arrivata da un annuncio.

Da lì parte una catena. Uno script, cioè un file di comandi, arriva dal server dell’attaccante e ne apre un secondo, che scarica il programma vero: un ladro di dati della famiglia Atomic macOS Stealer, per gli addetti ai lavori AMOS.

Il programma è paziente. Per rubare ha bisogno dell’accesso completo al disco. Se non ce l’ha, mostra un finto messaggio di macOS che lo chiede e intanto si fa ripartire ogni volta che apri il Terminale. Aspetta. Quando ottiene l’accesso, ti presenta una finta finestra delle Preferenze di Sistema che chiede la password del computer. Sembra quella vera e, secondo Gen, non se ne va finché non scrivi una password che funziona davvero. A quel punto la tua password ce l’ha in chiaro.

Poi raccoglie, in fretta e in silenzio. Le password salvate e i cookie di sessione dei browser, come Chrome, Edge, Brave o Firefox: i cookie di sessione sono il dato che ti tiene collegato a un sito, e chi li copia può entrare nel tuo account senza conoscere la password, finché la sessione resta valida. Le chiavi del Portachiavi, l’archivio delle password del Mac, che gli servono per decifrare gli accessi salvati. I portafogli di criptovalute. E i file che di solito contengono qualcosa di interessante: .pdf, .docx, .key, .seed, .pem, .wallet, .ovpn. Tutto finisce in un archivio compresso spedito all’attaccante, e i file temporanei vengono cancellati per lasciare meno tracce.

Fermati un momento sui .pdf e sui .docx. Su un Mac da lavoro sono preventivi, contratti, buste paga, documenti dei clienti.

Se poi sul Mac ci sono le app dei portafogli Ledger o Trezor, il programma le sostituisce con copie modificate che funzionano come quelle vere. La volta dopo, una schermata ti chiede di «ripristinare» o «convalidare» la frase di recupero, le parole che proteggono i tuoi fondi. Quelle parole vanno a un altro server. Gen lo dice senza giri: quelle parole sono i tuoi soldi.

Su Windows bastano tre passaggi

La seconda campagna è la stessa idea con un altro vestito. Anche qui la pagina sta su claude.ai, è un artifact intitolato «Install Claude on Windows», ha il logo, ha la stessa striscia «user-generated and unverified» in alto e arriva dagli annunci di Google. Promette: tre passi e hai finito.

I tre passaggi si fanno tutti dalla tastiera. Win + R, che apre la finestra Esegui di Windows. Ctrl + V, che incolla. Invio. Nessun Terminale da cercare, nessun programma da scaricare a mano: il resto lo scarica il comando.

Quello che incolli è un comando PowerShell, il linguaggio dei comandi di Windows, malevolo, scrive Gen, dal primo carattere. Per sembrare innocuo stampa una scritta «SYSTEM» e messaggi rassicuranti: verifica in corso, 50%, 70%, verifica completata. Intanto va a prendere il pezzo successivo su una pagina github.io, il dominio delle pagine pubblicate dagli utenti di GitHub. Di nuovo un nome di cui ci si fida, nota Gen.

Il programma finale si nasconde dentro un processo normale di Windows, controlla quale antivirus c’è, fotografa lo schermo, legge il titolo della finestra su cui stai lavorando e tiene aperta una linea con il server dell’attaccante, che può mandargli altri ordini più avanti. Gen lo descrive come un programma di controllo a distanza, più che un ladro che ruba una volta e se ne va. Anche lui cerca portafogli di criptovalute.

Due campagne, due sistemi, due programmi diversi. Una porta sola: una pagina su claude.ai che sembra ufficiale, spinta da annunci pagati, che ti chiede di eseguire un comando che non hai scritto tu.

Perché funziona: l’autorità presa in prestito

Sotto la tecnica, questa è una storia di fiducia, e di dove la mettiamo.

Nella persuasione c’è un principio che conosci anche se non l’hai mai chiamato per nome: l’autorità. Diamo peso a chi sembra competente, a chi ha l’aria ufficiale. Il camice, la divisa, il timbro. Online i camici sono tre: il nome del sito, il lucchetto, la visibilità in cima ai risultati di ricerca. Questa campagna li indossa tutti e tre, e non ne possiede nemmeno uno. Il nome del sito è di Anthropic. Il lucchetto certifica la connessione, non l’autore. La visibilità in cima è stata comprata con gli annunci.

Qualche giorno fa, raccontando la campagna di Interpol sulle truffe con i deepfake, cioè video e voci falsi generati con l’AI, scrivevamo che i vecchi segnali delle truffe, gli errori di ortografia, i loghi storti, l’impaginazione goffa, stanno sparendo. Qui sparisce anche l’ultimo che ci era rimasto: l’indirizzo.

E c’è un secondo meccanismo, più sottile. Chi cerca «claude download» ha già deciso. Vuole l’app, la vuole adesso, ha una cosa da fare. Secondo le stime di DataForSEO, in Italia questa ricerca è stata fatta fra 8.100 e 9.900 volte al mese da marzo ad agosto 2026. Sono persone con un obiettivo in testa, e quando hai un obiettivo in testa i dettagli diventano rumore. Una striscia grigia in alto alla pagina è rumore. Un’istruzione con un pulsante «Copia» è un aiuto.

Il truffatore si mette sulla strada che avevi già scelto, e aspetta.

Cosa manca nel rapporto, e chi lo scrive

Le cose che non sappiamo vanno dette con la stessa chiarezza di quelle che sappiamo.

Il rapporto non dice quando sono iniziate le campagne né per quanto sono durate. Non dice quante persone hanno eseguito il comando. Non dice se Gen ha avvisato Anthropic o Google, né se le pagine e gli annunci sono stati tolti. Una risposta di Anthropic, nelle fonti che ho letto fino a stamattina, non c’è. E per ora la storia l’ha ripresa una sola testata, CyberSecurityNews, che riassume il rapporto di Gen senza aggiungere fatti nuovi.

Poi c’è chi la racconta. Gen Digital è il gruppo di Norton, Avast e LifeLock: vende software di sicurezza, e fra i consigli del rapporto c’è quello di tenere acceso un buon software di sicurezza. Il consiglio resta sensato. L’interesse commerciale di chi lo dà è giusto conoscerlo.

Una cosa invece il rapporto la dice in modo netto, ed è bene tenerla separata da altre notizie su Anthropic di questi giorni. Lunedì abbiamo raccontato come una start-up di sicurezza sia entrata in alcuni sistemi interni di Anthropic passando dal software di un fornitore. Qui è un’altra faccenda: secondo Gen, nessuna delle due campagne ha avuto bisogno di violare l’infrastruttura di Anthropic. Hanno usato funzioni che ogni utente ha, come si usano.

Che è, a pensarci, la parte più scomoda: il punto d’appoggio della truffa è una funzione utile, la stessa che usa ogni giorno chi condivide il proprio lavoro.

Il problema va oltre Claude

Gen lo scrive senza mezzi termini: Claude difficilmente sarà l’ultimo servizio di AI usato così. Più piattaforme permettono di pubblicare e condividere contenuti, più occasioni hanno gli attaccanti di sfruttarne la reputazione. E la parte difficile, per chi gestisce quelle piattaforme, è impedire l’abuso senza rendere complicata la condivisione a chi la usa onestamente.

Il pulsante «condividi» ormai ce l’hanno quasi tutti gli assistenti AI. Qualche giorno fa, con le chat condivise di Muse finite in un archivio di indirizzi web, la condivisione era il rischio per chi condivide: chi ha il link legge. Qui il rischio è per chi riceve: chi ha il link si fida.

E c’è un rovescio che riguarda chi lavora. Se mandi ai clienti artifact, chat condivise, pagine pubblicate con l’AI, i tuoi clienti vedono lo stesso dominio usato dalle pagine di questa campagna. E il dominio, da solo, non dice se un contenuto è affidabile. Li aiuta sapere in anticipo che cosa chiederai, e avere un recapito tuo, già conosciuto, a cui verificare una richiesta strana.

La fiducia, online, è sempre meno nel contenitore. Sempre più nella relazione.

Come portarlo nel tuo lavoro

Se usi Claude, o se in studio qualcuno lo usa, ci sono cose da fare oggi. Sono semplici, e funzionano proprio perché sono semplici.

1. Condividi in ufficio la regola sui comandi. Gen la riassume così: mai incollare nel Terminale, o in PowerShell, un comando che non hai scritto tu. La chiama l’abitudine più utile che puoi costruire, perché da sola smonta l’intera famiglia ClickFix. Per le installazioni che passano davvero da un comando, come Claude Code, il mio consiglio è uno: lo prendi solo dalla documentazione ufficiale aperta a mano, oppure lo lasci fare al tecnico di fiducia.
2. Scarica Claude da claude.com/download. L’indirizzo lo scrivi a mano o lo salvi nei preferiti. Vale per ogni programma: si parte dal sito del produttore, lasciando stare i risultati di ricerca, e a maggior ragione quelli sponsorizzati.
3. Leggi le scritte piccole. «User-generated», «unverified», «condiviso da»: se una pagina che dice di essere un download sta su un indirizzo di condivisione, di artifact o di pagine utente, e il sito del prodotto è un altro, chiudila.
4. Affida le installazioni a una persona sola. In un piccolo ufficio può essere il titolare, il collega più esperto o il tecnico esterno. Gli altri chiedono. Costa due minuti di attesa e toglie di mezzo la fretta, che è l’alleata migliore di questa truffa.
5. Intervieni da un dispositivo pulito. Se qualcuno ha già eseguito un comando così, Gen consiglia di dare per scontato che il computer sia compromesso del tutto. Da un altro dispositivo, pulito, si cambiano le password importanti, prima la posta, poi la banca e gli eventuali conti di criptovalute, si chiudono tutte le sessioni aperte e si attiva la verifica in due passaggi. Il computer colpito si fa controllare e ripulire da un tecnico prima di usarlo di nuovo. Su quel Mac c’erano documenti di clienti? Allora la conversazione va fatta anche con chi si occupa della privacy in studio.
6. Spiega ai clienti, prima, cosa chiederai. «Ti manderò link e documenti; comandi da eseguire e password, mai». Una frase così, detta oggi, prepara il terreno. Domani, se arriva una richiesta insolita a tuo nome, hanno un motivo per fermarsi e verificarla con te, a un recapito che già conoscono.

L’ultima riga è la stessa per tutti. Il posto giusto ti dice dove sei. Chi ti sta parlando, quello devi capirlo tu.

👉 Leggi anche: Claude Code: il nome giusto, il negozio sbagliato — la versione manomessa dell’estensione passata dal negozio di Cursor il 29 ottobre.

👉 Leggi anche: Infostealer: il ladro chiede all’AI quanto vali

👉 Leggi anche: AI, sette giorni dopo · 26 ott–1 nov

Domande frequenti

Il sito claude.ai è stato hackerato?

Per queste due campagne, Gen Digital descrive un abuso delle funzioni di condivisione che non ha richiesto di violare l’infrastruttura di Anthropic. Gli attaccanti hanno pubblicato le false pagine con le normali funzioni di Claude per condividere chat e artifact, che restano sul dominio claude.ai ma sono create dagli utenti.

Qual è la pagina vera per scaricare Claude?

È claude.com/download, la pagina ufficiale di Anthropic con le versioni per Mac e per Windows. Conviene scrivere l’indirizzo a mano o salvarlo nei preferiti, invece di passare dai risultati di ricerca o dagli annunci sponsorizzati.

Come riconosco una pagina falsa se l’indirizzo è giusto?

Da due segnali. Il primo è l’indirizzo completo: le pagine malevole analizzate da Gen stavano su percorsi di condivisione, del tipo claude.ai/share/… o claude.ai/artifact/…, con l’avviso «Content is user-generated and unverified» o un’avvertenza simile. Il secondo è la richiesta: l’app di Claude per Mac e Windows si scarica da claude.com/download, quindi una pagina che per installarla ti chiede di incollare un comando nel Terminale, o di premere Win + R, Ctrl + V e Invio, è un segnale d’allarme, qualunque sia l’indirizzo. Claude Code, lo strumento per programmatori, si installa sì con un comando, ma quello va preso dalla documentazione ufficiale aperta da te.

Ho incollato il comando: cosa faccio?

Gen consiglia di considerare il computer completamente compromesso. Da un dispositivo pulito cambia le password importanti, a partire dalla posta e dalla banca, chiudi tutte le sessioni aperte e attiva la verifica in due passaggi. Se usi portafogli di criptovalute, sposta i fondi su un portafoglio nuovo con una frase di recupero nuova, creato da un dispositivo pulito, e reinstalla le app solo dal sito del produttore. Il computer colpito va fatto controllare e ripulire da un tecnico prima di usarlo di nuovo.

Riguarda solo i Mac?

No. Gen ha trovato una seconda campagna per Windows con lo stesso metodo: una pagina su claude.ai, annunci di Google e tre passaggi da tastiera (Win + R, Ctrl + V, Invio). Cambia il programma installato, che su Windows permette di controllare il computer a distanza.

Quante persone sono state colpite?

Il rapporto non lo dice. Non indica nemmeno quando sono iniziate le campagne, né se pagine e annunci siano stati rimossi. Nelle fonti lette fino alla mattina del 27 ottobre non c’è una risposta pubblica di Anthropic.

Fonti

• Gen Digital, Vojtěch Moravec, «How Criminals Abuse Claude’s Own Website to Spread Malware», 26 ottobre 2026: gendigital.com
• CyberSecurityNews, «Hackers Abuse Claude’s Official Website and Google Ads to Spread Malware», 27 ottobre 2026: cybersecuritynews.com
• Anthropic, pagina ufficiale di download di Claude: claude.com/download
• Anthropic, documentazione di Claude Code, «Set up Claude Code»: code.claude.com
• DataForSEO, volumi di ricerca Google Ads per l’Italia (stime mensili), consultati il 27 ottobre 2026.