Truffe online: Chrome ora guarda cosa copi

Arriva una mail del corriere. Oggetto: «Indirizzo non valido, compila il modulo 8900395». Il testo sembra scritto dal servizio clienti: c’è un problema con la consegna di un pacco, devi compilare un modulo allegato. Apri l’allegato e finisci su una pagina che ha l’aspetto del sito del corriere. E prima del modulo c’è un controllo, di quelli che fai da anni: dimostra di essere una persona.

Solo che stavolta non devi cliccare su delle immagini. Devi seguire delle istruzioni: incollare un comando, o premere una scorciatoia da tastiera.

La mail, con quell’oggetto e il marchio GLS, è esistita davvero. L’ha analizzata il CERT-AgID, la struttura dell’Agenzia per l’Italia Digitale che studia le campagne malevole nel nostro Paese. Il sito copiava l’aspetto del portale del corriere e usava un falso CAPTCHA, il controllo che serve a verificare che sei una persona, per convincere chi lo visitava a incollare dei comandi nel terminale, la finestra in cui si scrivono i comandi al computer. Quei comandi facevano scaricare un programma che, secondo l’analisi, serve con ogni probabilità a controllare il computer a distanza e a raccoglierne i dati.

La tecnica si chiama ClickFix. Il 20 ottobre Google ha annunciato che Chrome la combatte in un modo nuovo: guardando i comandi che copi.

Truffe online: cosa cambia in Chrome

Google l’ha annunciato il 20 ottobre alle 17 UTC, le 19 in Italia, in un post del suo blog dedicato alle difese contro le truffe sul web. Le novità sono tre, e stanno tutte dentro la stessa impostazione: la Protezione avanzata di Navigazione sicura, il sistema di Chrome che ti avvisa quando un sito, un download o un’estensione sembra pericoloso.

La prima riguarda gli avvisi, che diventano due. Il sito pericoloso è quello che Google sa essere malevolo, con un rischio alto: per lui resta la schermata rossa a tutta pagina che conosci già. Il sito sospetto è una categoria nuova: una pagina che mostra gli schemi ingannevoli tipici dei siti truffaldini, senza che Google ne sia certo. Per lui arriva un avviso diverso, per forma, icona, colore e testo, così capisci al volo con che cosa hai a che fare. È lo stesso schema che Chrome usa già per i file scaricati, divisi fra sospetti e pericolosi.

La seconda novità è l’intelligenza artificiale. L’anno scorso Chrome aveva messo Gemini direttamente sui dispositivi compatibili, per riconoscere le truffe del finto supporto tecnico: quelle pagine che urlano «il tuo computer è infetto, chiama questo numero». Secondo Google ha funzionato. Adesso il controllo passa a un modello Gemini più potente, che gira sui server di Google, ed è esteso a tutti gli utenti con la Protezione avanzata e a più truffe: anche i falsi antivirus e i falsi aggiornamenti del browser.

La terza è la più nuova, e riguarda ClickFix. Chrome si accorge quando un utente con la Protezione avanzata viene spinto a copiare un comando sospetto. In quel caso il testo copiato viene ripulito dei dati personali e mandato a Navigazione sicura per un’analisi. Se il verdetto è «pericoloso», Chrome mostra un avviso.

Google non indica date di arrivo, versioni di Chrome o elenchi di paesi: scrive che sono funzioni introdotte nel 2026 e invita ad attivare la Protezione avanzata per riceverle per primi. La Protezione avanzata, intanto, è descritta anche nella guida italiana di Chrome, con il percorso per attivarla.

E qui c’è il dettaglio che conta più delle tre novità. Valgono solo per chi ha scelto la Protezione avanzata. Chi non ha mai toccato le impostazioni ha la Protezione standard, che è quella predefinita. Google scrive che nel 2025 più di un miliardo di utenti di Chrome aveva attivato la Protezione avanzata: tanti, e comunque persone che l’hanno scelta.

La difesa più nuova di Chrome, insomma, lavora per chi è andato a cercarla.

ClickFix, la truffa in cui il complice sei tu

Le protezioni di Chrome sui download controllano i file che scarichi dal browser. ClickFix gira intorno al problema: sposta lo scaricamento fuori dal browser, e ti convince a lanciare tu il comando che va a prendere il file.

Funziona così, nella descrizione di Google. Una pagina ti mostra un problema finto: un errore, una verifica da superare, un aggiornamento che manca. Poi ti offre la soluzione: copia questo comando, incollalo, eseguilo. Il comando che incolli, spesso, è diverso da quello che vedi scritto sulla pagina. E quasi sempre usa strumenti che il tuo computer ha già, programmi del sistema operativo come PowerShell o il prompt dei comandi di Windows. Strumenti legittimi, di cui i programmi di sicurezza si fidano.

Il risultato è doppio. L’attività malevola si confonde con quella normale del computer, perché la fanno attrezzi di casa. E lo scaricamento del programma malevolo esce dal browser e passa dal terminale: così, scrive Google, gli attaccanti aggirano del tutto le protezioni di Chrome sui download.

I numeri dicono che la tecnica non è una curiosità da laboratorio. Nel suo rapporto sul 2025 il CERT-AgID scrive di una «forte crescita» delle campagne ClickFix e ne conta circa 70 in Italia nel corso dell’anno, usate soprattutto per diffondere tre programmi malevoli: AsyncRAT, XWorm e Lumma Stealer, che lo stesso CERT-AgID definisce uno dei principali «infostealer» in circolazione, cioè i programmi che rubano dati e credenziali. Già a giugno 2025 l’azienda di sicurezza ESET aveva misurato una crescita del 517% dei rilevamenti in sei mesi: ClickFix valeva circa l’8% degli attacchi bloccati ed era diventato, secondo ESET, il secondo modo più comune di attaccare dopo il phishing, cioè le mail e i messaggi che si fingono di qualcun altro per rubarti dati.

Il CERT-AgID chiude la sua analisi con una frase che vale tutto l’articolo. ClickFix non punta alle vulnerabilità del software, ma a «quella più semplice e sempre attuale: l’interazione umana».

Tradotto: il bersaglio, stavolta, è la fiducia della persona davanti allo schermo.

Perché funziona: è un lavoro di persuasione

Chi si occupa di comunicazione, davanti a una pagina ClickFix, riconosce il mestiere. Le tecniche informatiche dietro possono essere sofisticate. La parte che ti frega è vecchia come il mondo. La mia lettura, mossa per mossa.

Il travestimento più rassicurante che esista

Il CAPTCHA, il controllo che ti chiede di dimostrare che sei umano, è un gesto che hai ripetuto centinaia di volte. E un gesto ripetuto tante volte diventa automatico: non lo esamini, lo esegui. È una delle scorciatoie mentali che usiamo tutti per non dover pensare a ogni cosa da capo. Il truffatore non deve conquistare la tua fiducia. Gli basta indossare un controllo di cui ti fidi già.

C’è un’ironia crudele in questo. Il CAPTCHA esiste per fermare le macchine. Qui serve a far lavorare una persona.

Il problema e la soluzione nello stesso pacco

Un pacco bloccato, un errore da sistemare, un aggiornamento che manca. Un piccolo allarme, e subito dopo, sulla stessa pagina, la via d’uscita già pronta. Non a caso, secondo il CERT-AgID, il tema «Ordine» è l’esca più usata in Italia per diffondere programmi malevoli: 382 campagne nel 2025, quasi il doppio del secondo tema, quello bancario. Chi aspetta un pacco ha fretta, e la fretta toglie il tempo per farsi domande.

Tre gesti, nessuno grave

Nessuno ti chiede di installare un programma: ti metteresti in allarme. Ti chiedono una scorciatoia, un incolla, un Invio. Preso da solo, ogni gesto sembra innocuo. È la somma che fa il danno, e la somma non la vedi.

Il comando che vedi non è quello che incolli

Anche chi prova a leggere quello che sta per eseguire, spesso, legge un’altra cosa. Google lo scrive chiaramente: il comando incollato spesso non è quello mostrato sulla pagina. La prudenza viene usata contro chi è prudente.

L’esecutore sei tu

Ed è la mossa più elegante, se vogliamo chiamarla così. Il comando parte dalle tue mani, con gli strumenti del tuo computer. Per i sistemi automatici, a muoversi sei tu. Il CERT-AgID lo spiega così: l’esecuzione manuale rende il rilevamento più difficile per antivirus e altri sistemi di difesa, e garantisce un alto tasso di successo con uno sforzo tecnico relativamente basso.

Sono le stesse leve che studiamo quando parliamo di persuasione: fiducia nel contesto, urgenza, piccoli passi, e una persona che alla fine sente di aver deciso da sola.

Il punto debole, qui, è la tua buona educazione digitale. Hai imparato a obbedire ai controlli di sicurezza. Qualcuno ha imparato a travestirsi da controllo.

La risposta di Google: una macchina che legge le intenzioni

Per difenderti da chi ti convince, Google mette una macchina a leggere chi ti sta convincendo.

Il modello Gemini, scrive Google, valuta il contenuto della pagina cercando alcuni indicatori: il marchio che la pagina rappresenta, l’intenzione della pagina, e un punteggio di quanto è probabile che sia una truffa. Sono, più o meno, le tre domande che ti faresti davanti a un venditore troppo insistente. Chi dice di essere? Cosa vuole da me? Quanto è probabile che mi stia fregando?

Quindi Gemini non giudica da solo. Navigazione sicura mette la sua analisi insieme alla reputazione del dominio, cioè alla storia dell’indirizzo del sito, e ad altri segnali di sicurezza, e solo dopo arriva al verdetto. L’analisi dell’intelligenza artificiale è una voce del verdetto, accanto alle altre.

È la stessa strada che Google ha preso pochi giorni fa su Android, quando ha annunciato per Google Messaggi una protezione contro le truffe che manda a Gemini le conversazioni con i mittenti sconosciuti. La mia lettura è che Google stia dando più spazio a quello che una pagina o un messaggio dicono, accanto ai controlli sull’indirizzo da cui arrivano. Per riconoscere chi ti vuole convincere, serve qualcosa che legga i suoi argomenti.

Con i comandi copiati il ragionamento è simile, ma il momento è diverso. Chrome interviene sul gesto, mentre lo fai: hai appena copiato qualcosa che ha la forma di una sequenza di comandi tipica di ClickFix. Google dice di aver pensato il sistema per essere molto preciso, per proteggere in tempo reale e disturbare il meno possibile chi copia comandi per lavoro, come chi sviluppa software.

La truffa lavorava sul tuo gesto. Adesso anche la difesa lavora sul tuo gesto.

Il prezzo: Chrome guarda cosa copi

Ogni protezione di questo tipo ha un prezzo, e conviene guardarlo in faccia.

Per le pagine, Google scrive che Chrome analizza il testo solo quando un sito mostra indicatori di truffa ad alta confidenza, e che il contenuto mandato fuori dal dispositivo viene trattato in modo «effimero»: mai registrato, mai conservato, mai usato per addestrare modelli. Per i comandi copiati, il testo viene ripulito dei dati personali prima di partire.

Ma la Protezione avanzata, già oggi, manda a Google più informazioni di quella standard. Lo dice la guida italiana di Chrome: quando visiti un sito, Chrome invia a Navigazione sicura l’indirizzo del sito e un piccolo campione dei contenuti della pagina, oltre a informazioni sull’attività delle estensioni e sul sistema, e queste informazioni vengono usate soltanto per motivi di sicurezza. Se attivi la versione per il tuo Account Google, la protezione si estende agli altri servizi di Google e questi dati vengono salvati nell’account. La Protezione standard, invece, manda indirizzi completi e frammenti di pagina solo quando il sito fa qualcosa di sospetto.

Sono impegni scritti da Google, e sono precisi. Le fonti che ho raccolto li riportano, ma senza una verifica indipendente del loro rispetto: puoi leggerli e decidere se ti bastano.

Per un professionista che lavora con i dati dei clienti la domanda diventa molto concreta. La protezione in più vale, per il mio lavoro, l’invio a Google di un campione delle pagine che visito e, ogni tanto, di un comando sospetto che ho copiato? Per molti la risposta sarà facile. Per chi ha obblighi di riservatezza stretti, è una scelta da fare con calma, magari con chi gli segue l’informatica.

La protezione ha un prezzo, e si paga in dati. Il punto è sapere quanti, e a chi.

Due avvisi, e il rischio dell’abitudine

Torniamo ai due livelli di avviso, perché dentro c’è una scelta di comunicazione interessante.

Secondo Help Net Security, che ha ripreso il post, Jasika Bawa, Group Product Manager di Chrome, lo spiega così: adattare l’aspetto degli avvisi permette a Google di allargare la copertura in sicurezza e di mostrare un numero più alto di avvisi. Il ragionamento è chiaro. Se ogni dubbio facesse scattare la schermata rossa, la schermata rossa perderebbe forza. Con un avviso più leggero per i casi incerti, il rosso resta per i casi gravi.

Poi c’è il numero che Google mette in apertura: con la Protezione avanzata gli utenti sarebbero «dieci volte più sicuri» da phishing, truffe e abusi delle notifiche rispetto alla Protezione standard. In fondo al post, una nota spiega come è stato calcolato: confrontando il numero medio di avvisi di sicurezza mostrati agli utenti dei due livelli.

A mio avviso è un numero che persuade più di quanto dimostri. Conta gli avvisi mostrati. Ma fra un avviso mostrato e una truffa evitata c’è di mezzo una persona, quella che lo legge. La guida di Chrome lo ricorda: dopo un avviso puoi comunque scegliere di visitare il sito o scaricare il file.

E qui torna il meccanismo di prima. ClickFix funziona perché il CAPTCHA è diventato un’abitudine. Anche gli avvisi possono diventarlo: se ne vedi tanti, impari a cliccare «continua» senza leggere. I due livelli servono, credo, proprio a evitare questo: tenere il rosso raro, perché resti rosso. Funzionerà se gli avvisi sospetti saranno precisi. Se diventeranno rumore, insegneranno a ignorarli.

E gli avvisi, oltre che ignorati, possono anche essere aggirati tecnicamente. La settimana scorsa raccontavo una falla di Windows, già sfruttata, che eludeva le protezioni attivate dal contrassegno dei file arrivati da internet. Chi attacca studia gli avvisi almeno quanto chi li progetta.

Un avviso ti protegge finché lo leggi. Il giorno che lo salti per abitudine, lavora per qualcun altro.

Come portarlo nel tuo lavoro

Questa notizia riguarda chiunque abbia un computer in ufficio, e soprattutto le piccole imprese, dove spesso nessuno si occupa a tempo pieno di sicurezza informatica. Sette cose da fare, in ordine di fatica.

1. Decidi il livello di Navigazione sicura, su ogni computer di lavoro. In Chrome: in alto a destra i tre puntini, poi Impostazioni, poi Privacy e sicurezza, poi Sicurezza, e lì scegli il livello. Se scegli la Protezione avanzata, sai cosa ottieni e cosa mandi a Google: deciderlo una volta, per tutti, è meglio che lasciarlo al caso.
2. Insegna alla squadra una regola sola. Se una pagina, per verificare che sei una persona o per sistemare un errore che non ti aspettavi, ti chiede di incollare un comando ed eseguirlo, fermati: è lo schema di ClickFix. Prima di fare qualsiasi cosa, chiedi a chi ti segue l’informatica. Google lo scrive sotto l’immagine di un esempio di questa truffa: Chrome non ti chiederà mai di ripararlo in questo modo. Una regola breve e concreta è più facile da richiamare nel momento del dubbio.
3. Tratta le mail dei corrieri come quelle della banca. Il pacco bloccato è l’esca perfetta per chi aspetta una consegna. La spedizione si controlla sul sito del corriere, scrivendo tu l’indirizzo, oppure dall’app ufficiale: mai dal link della mail.
4. Spiega i due avvisi. Il sospetto chiede attenzione: fermati e guarda chi è il sito. Il pericoloso chiede di tornare indietro. Se chi lavora con te sa che esistono due livelli, è più facile che li legga invece di cliccare.
5. Se copi comandi per lavoro, sappi cosa succede. Chi sviluppa software o gestisce siti copia comandi tutti i giorni. Con la Protezione avanzata, un comando che sembra sospetto può essere mandato a Google, ripulito dei dati personali, per un controllo. Se nel tuo lavoro copi comandi che contengono password o chiavi d’accesso, concorda una procedura con chi ti segue l’informatica: Google scrive che toglie i dati personali identificativi, ma il post non dice come vengono trattati questi segreti.
6. Ricorda dove arriva la difesa. Vale in Chrome, con la Protezione avanzata attiva. Se in ufficio si usano altri browser, o se qualcuno lavora con le impostazioni di fabbrica, la difesa nuova lì non c’è.
7. Tieni acceso il filtro umano. Le difese automatiche migliorano, e i truffatori anche. Vale lo slogan che Interpol ha scelto per la sua campagna sulla truffa del falso capo con voci e video falsificati dall’intelligenza artificiale: aspetta, verifica, non abboccare. Funziona per una videochiamata finta come per un CAPTCHA finto.

Il truffatore ti chiede di fare una cosa sola, in fretta. Prima di farla, chiediti perché.

👉 Leggi anche: Claude download: la trappola stava sul sito vero

Domande frequenti

Cos’è una truffa ClickFix?

È una tecnica di ingegneria sociale, cioè di manipolazione: una pagina ti mostra un problema finto, spesso un falso CAPTCHA o un errore da «riparare», e ti convince a copiare, incollare ed eseguire tu stesso un comando sul tuo computer. Il comando scarica e avvia un programma malevolo usando strumenti già presenti nel sistema, come PowerShell. In Italia il CERT-AgID ha contato circa 70 campagne di questo tipo nel 2025.

Come si attiva la Protezione avanzata di Chrome?

Sul computer: in alto a destra apri il menu con i tre puntini, vai in Impostazioni, poi Privacy e sicurezza, poi Sicurezza, e scegli «Protezione avanzata» fra i livelli di Navigazione sicura. Per impostazione predefinita Chrome usa la Protezione standard. Google invita ad attivare la Protezione avanzata anche nel proprio Account Google.

Chrome manda a Google quello che copio?

Per la nuova difesa contro ClickFix, l’invio avviene con la Protezione avanzata, quando Chrome rileva che hai copiato un comando sospetto, che potrebbe essere una sequenza di comandi tipica di ClickFix. Prima di inviarlo a Navigazione sicura toglie i dati personali identificativi. Per il testo delle pagine analizzato da Gemini, Google scrive che viene trattato in modo effimero: mai registrato, conservato o usato per addestrare modelli.

Che differenza c’è tra un sito sospetto e un sito pericoloso?

Il sito pericoloso è noto come malevolo e il rischio è alto: Chrome mostra la schermata rossa a tutta pagina. Il sito sospetto mostra schemi ingannevoli tipici delle truffe, ma il giudizio è meno certo: l’avviso è diverso per forma, icona, colore e testo. In entrambi i casi puoi scegliere di andare avanti, ed è proprio lì che conviene fermarsi a pensare.

Le novità sono già arrivate in Italia?

Google non indica date di arrivo, versioni di Chrome o paesi. Scrive che sono funzioni introdotte nel 2026 e consiglia di attivare la Protezione avanzata per riceverle per primi. La Protezione avanzata in sé è disponibile e descritta nella guida italiana di Chrome.

Se ho un antivirus, ClickFix mi riguarda lo stesso?

Sì. ClickFix è pensato proprio per aggirare i controlli automatici: il comando lo esegui tu, con strumenti legittimi del sistema operativo, e il CERT-AgID scrive che l’esecuzione manuale rende il rilevamento più difficile anche per gli antivirus. Una precauzione utile è concordare in ufficio una regola semplice: se una pagina ti chiede di incollare ed eseguire un comando per verificarti o per riparare un errore inatteso, ci si ferma e si chiede a chi segue l’informatica.

Fonti

• Google, «Our latest defenses against evolving web scams», 20 ottobre 2026
• Guida di Google Chrome, «Scegliere il livello di protezione di Navigazione sicura in Chrome»
• Help Net Security, «Chrome flags malicious commands that scammers pass off as fixes», 20 ottobre 2026
• Chrome Unboxed, «Chrome Enhanced Protection now blocks sneaky ClickFix terminal scams using Gemini», 20 ottobre 2026
• CERT-AgID, «Report riepilogativo sulle tendenze delle campagne malevole analizzate dal CERT-AGID nel 2025»
• CERT-AgID, «Analisi di Remcos RAT diffuso in Italia con campagna ClickFix a tema GLS»
• ESET, «ESET Threat Report H1 2025» e pagina del rapporto; Infosecurity Magazine, «ClickFix Attacks Surge 517% in 2025», 26 giugno 2025