Cisco Talos ha individuato un attacco in cui i criminali nascondono le proprie istruzioni all’interno di comuni servizi cloud e convincono le vittime a copiare e incollare personalmente il codice malevolo.
In breve:
Milano, 19 ottobre 2026 – I cybercriminali utilizzano servizi online di uso quotidiano, come Google Docs, per nascondere attacchi finalizzati al furto di criptovalute e credenziali di accesso. È quanto emerge da due nuove ricerche di Cisco Talos, il team di threat intelligence di Cisco. Le campagne analizzate sfruttano la tecnica ClickFix, che induce gli utenti a eseguire inconsapevolmente comandi dannosi sul proprio dispositivo. L'utilizzo di piattaforme affidabili e ampiamente diffuse rende questi attacchi particolarmente credibili e difficili da individuare
“Quasi tutte le organizzazioni consentono il traffico verso Google Docs”, commenta Renzo Ghizzoni, Country Leader Sales Security Cisco Italia. “Gli attaccanti sfruttano questa fiducia per nascondere il codice malevolo all’interno di un foglio di calcolo. In questo modo, l’attività può sembrare una normale richiesta a un documento Google, rendendo più difficile individuare l’attacco”.
Criptovalute nel mirino: la truffa passa dal browser
La prima campagna, attiva dall’ottobre 2025, prende di mira gli investitori in criptovalute attraverso un falso avviso di sicurezza che promette compensazioni superiori al 25% per presunte vulnerabilità in alcune piattaforme di scambio. Il messaggio è stato individuato su Telegram, forum online e siti di condivisione di contenuti. Per ottenere il presunto beneficio, agli utenti viene chiesto di eseguire alcune operazioni nel browser. In realtà, queste azioni attivano un programma malevolo nascosto all’interno di documenti Google apparentemente innocui.
Una volta installato, il malware può alterare le informazioni visualizzate durante le transazioni in criptovalute, reindirizzando i fondi verso portafogli controllati dai criminali. Per rendere la truffa più credibile, gli attaccanti mostrano inoltre un falso bonus che induce le vittime a completare l’operazione.
Nel corso dell'indagine, Cisco Talos ha identificato 49 indirizzi Bitcoin collegati alla campagna. Almeno 24 di questi hanno ricevuto fondi sottratti alle vittime per un valore superiore a 10.000 dollari. Le somme sono state successivamente trasferite attraverso migliaia di altri indirizzi, rendendo più difficile seguirne le tracce.
Dopo la segnalazione di Cisco Talos a Google e alle piattaforme coinvolte, i contenuti utilizzati per attirare le vittime sono stati rimossi. Tuttavia, gli autori dell'attacco hanno ripreso l'attività nel giro di pochi giorni utilizzando nuovi documenti Google, che secondo i ricercatori sono rimasti online fino ad agosto nonostante ulteriori segnalazioni.
Una falsa verifica di Google per rubare password e prendere il controllo del computer
La seconda campagna è stata individuata nell'aprile 2026 a seguito di attività sospette rilevate presso un'organizzazione governativa ucraina. Secondo Cisco Talos, l'obiettivo degli attaccanti era probabilmente il furto di criptovalute e credenziali di accesso, più che l'organizzazione stessa. Dopo aver compromesso un sito web, i criminali utilizzano servizi online pubblici per nascondere e distribuire gli strumenti necessari all'attacco, rendendone più difficile il rilevamento e la rimozione. Le vittime visualizzano una falsa schermata di verifica Google, simile a quelle utilizzate per confermare di non essere un robot.
Seguendo le istruzioni, installano inconsapevolmente un malware in grado di rubare password, dati personali e informazioni conservate nei portafogli di criptovalute. Le conseguenze possono essere significative: oltre al furto di credenziali e dati sensibili, gli attaccanti possono assumere il controllo remoto del dispositivo compromesso e utilizzarlo per ulteriori attività criminali.
Come proteggersi
Le campagne analizzate non prendono necessariamente di mira un settore o una categoria specifica di organizzazioni. Tuttavia, le tecniche utilizzate possono essere facilmente adattate per colpire aziende, enti pubblici e utenti comuni.
“La lezione non è che bisogna diffidare di Google”, sottolinea Ghizzoni. “Oggi il fatto che un servizio sia affidabile non basta più a garantire che una richiesta sia sicura. È importante verificare che l'azione richiesta sia coerente con il contesto e con il normale utilizzo di quel servizio”.
Per ridurre i rischi, Cisco Talos raccomanda alle organizzazioni di monitorare con attenzione attività insolite legate ai servizi cloud e di verificare regolarmente i componenti e le estensioni utilizzati nei browser e nei siti web aziendali. Anche la consapevolezza degli utenti resta fondamentale. Una regola semplice può aiutare a prevenire molti di questi attacchi: nessun servizio legittimo dovrebbe chiedere di copiare e avviare un comando sul proprio computer per dimostrare di non essere un robot.
Le analisi tecniche complete pubblicate da Cisco Talos sono disponibili ai seguenti link:
A proposito di Cisco
Cisco (NASDAQ: CSCO) è il leader tecnologico mondiale che connette tutto in modo sicuro per rendere tutto possibile. Il nostro obiettivo è quello di creare un futuro inclusivo per tutti, aiutando i nostri clienti a reimmaginare le loro applicazioni, ad alimentare il lavoro ibrido, a proteggere le loro aziende, a trasformare le loro infrastrutture e a raggiungere i loro obiettivi di sostenibilità. Scopri di più sulla sezione italiana di EMEA Network e seguici su Twitter @Cisco. Digitaliani: l'impegno Cisco per la Digitalizzazione del Paese.
Cisco e il logo Cisco sono marchi o marchi registrati di Cisco e/o delle sue affiliate negli Stati Uniti e in altri Paesi. Un elenco dei marchi Cisco è disponibile all'indirizzo www.cisco.com/go/trademarks. I marchi di terze parti citati appartengono ai rispettivi proprietari. L'uso del termine partner non implica un rapporto di partnership tra Cisco e altre aziende.
Ufficio Stampa Cisco: Marianna Ferrigno - pressit@external.cisco.com
Prima Pagina Comunicazione – Francesco Petruzzi – francesco@primapagina.it