Un collega chiama l’assistenza: un sito gli ha chiesto di dimostrare di essere umano, poi di aprire una finestra di sistema e incollare del testo. Ha seguito le istruzioni. Ora la pagina funziona, il computer sembra normale e vuole sapere se occorre intervenire.
Se avete eseguito un comando proveniente da una pagina di verifica sospetta, smettete di usare il dispositivo, scollegate le connessioni di rete e contattate il team IT o sicurezza da un altro dispositivo. Per recuperare gli account usate un dispositivo affidabile. Raccontate cosa avete fatto, precisando se avete premuto Invio, installato qualcosa o inserito una password. Un desktop apparentemente normale non risolve il dubbio.
Questa guida spiega gli attacchi ClickFix tramite CAPTCHA falsi e propone una risposta pratica per le PMI lussemburghesi. Il percorso descritto è il nostro approccio consigliato, non l’affermazione che ogni incontro provochi la stessa infezione.
Che cos’è ClickFix e perché parlarne ora?
ClickFix convince una persona a eseguire un comando con il pretesto di correggere un errore o completare una verifica. Il passaggio decisivo è dal sito web a uno strumento di sistema. Un logo familiare, un messaggio rassicurante o una pagina già visitata non bastano ad autorizzarlo.
Nell’indagine TerminalFix di agosto 2026, Microsoft ha documentato siti compromessi che conducevano i visitatori a PowerShell e infine a un tunnel inverso. È una campagna analizzata, non la prova che ogni CAPTCHA falso installi quel componente.
Microsoft ha documentato anche una campagna ClickFix per macOS. La distribuzione condizionale aiuta a capire perché un collegamento sospetto possa sembrare innocuo quando lo controlla un’altra persona. Il processo di assistenza deve quindi coprire utenti Windows e Mac.
Stabilire prima fino a che punto si è arrivati
Cominciate con una conversazione tranquilla. Chiedete alla persona di descrivere la sequenza con parole proprie prima di mostrarle una lista. Annotate ora approssimativa e dispositivo. Non trasformate un dubbio in certezza: «credo di aver solo copiato» richiede una verifica, non una classificazione automatica come evento sicuro.
| Che cosa è successo? | Prossima azione consigliata |
|---|
| La pagina è apparsa, ma nessuna istruzione è stata seguita. | Chiuderla, annotare l’indirizzo e segnalarla. La sola visita non dimostra l’esecuzione di un comando. |
| Il testo è stato copiato o incollato, senza eseguire un comando. | Non eseguirlo. Chiudere la finestra di sistema, sostituire gli appunti con testo innocuo e informare l’IT. |
| È stato eseguito un comando, installato software, inserita una credenziale oppure la sequenza è incerta. | Segnalare rapidamente. Isolare il dispositivo sospetto ed esaminare separatamente l’esposizione degli account. |
Queste distinzioni aiutano il triage, ma non sono una diagnosi a distanza. Un download, un’autorizzazione del browser o una password inserita possono creare un problema distinto anche senza eseguire comandi. Anche la guida ESET di ottobre 2026 distingue la copia dall’esecuzione. Non chiedete di riprodurre l’evento per ottenere certezza.
Contenere il dispositivo senza perdere la ricostruzione
Per un portatile di lavoro sul quale potrebbe essere stato eseguito il comando, scollegate Wi-Fi e rete cablata oppure fate usare al team sicurezza la funzione di isolamento gestito. Avvisate il responsabile per telefono o da un altro dispositivo. Nel frattempo non usate il portatile per posta, banca o amministrazione.
Su un parco gestito, il responsabile deve verificare che l’isolamento sia effettivamente riuscito. La documentazione Microsoft sulle azioni di risposta descrive le funzioni supportate e i relativi limiti. Un’azione in attesa su un dispositivo offline non dimostra che il contenimento sia avvenuto.
Conservate la cronologia: utente, identificativo del dispositivo, fuso orario, indirizzo della pagina, azioni compiute e avvisi disponibili. Uno screenshot già presente può aiutare; non riaprite la pagina per ottenerlo. Inviate gli elementi attraverso il canale approvato, senza distribuire comandi sospetti nelle chat generali.
Dopo l’isolamento lasciate al responsabile le decisioni su spegnimento, riavvio, raccolta delle prove e reinstallazione. Un ripristino affrettato può cancellare informazioni necessarie a capire l’esposizione degli account. D’altra parte, preservare le prove non giustifica mantenere una possibile infezione collegata alla rete aziendale.
Mettere in sicurezza gli account da un dispositivo affidabile
Preparate con l’utente una lista di esposizione: posta aziendale, sessioni del browser, account amministrativi, VPN, gestore delle password, credenziali di sviluppo e sistemi dei clienti usati sul dispositivo. Serve a delimitare l’analisi, non significa che tutto sia stato rubato. Date priorità agli account che consentono di controllarne altri o di disporre pagamenti.
Per gli account ritenuti esposti, coordinate cambio delle password, revoca delle sessioni e rotazione delle credenziali. Cercate aggiunte inspiegate nei metodi di autenticazione e nelle applicazioni collegate. Controllate regole di inoltro pertinenti e attività recente. Usate un altro dispositivo affidabile e le interfacce ufficiali, non i collegamenti della pagina sospetta.
Le indicazioni Microsoft sulla revoca dell’accesso spiegano che questa può richiedere tempo e dipendere dall’applicazione. Non presumete che cambiare una password interrompa subito tutte le sessioni esistenti. Registrate i servizi controllati e come è stato invalidato l’accesso.
L’autenticazione a più fattori resta utile, ma protezione degli account e recupero del dispositivo sono attività distinte. La nostra guida alla MFA resistente al phishing tratta l’autenticazione. Qui occorre capire se il computer e le credenziali disponibili attraverso di esso siano ancora affidabili.
Chiedere una conclusione d’indagine, non solo una scansione pulita
Il responsabile dovrebbe ricostruire cosa è stato eseguito, quali connessioni sono state aperte, cosa è stato creato e se esistono meccanismi di persistenza. Quando disponibili, correlate eventi del dispositivo, log DNS o proxy e registri delle identità intorno all’ora segnalata. Ampliate l’indagine se emergono accessi ad altri sistemi.
Una scansione è un elemento utile nell’indagine. Da sola non spiega quali account fossero accessibili, se una sessione sia stata usata altrove o se il download iniziale sia terminato. Allo stesso modo, l’assenza di avvisi non dimostra una compromissione. Indicate cosa sostengono gli elementi raccolti e cosa resta sconosciuto.
Prima di restituire il dispositivo, documentate la decisione di bonifica e i controlli di accettazione. Potrebbero comprendere reinstallazione, ripristino dei dati aziendali, protezione verificata, aggiornamenti funzionanti e sostituzione delle credenziali necessarie. Offrite un modo sicuro di riprendere il lavoro durante l’indagine, altrimenti la pressione operativa favorirà una riconnessione anticipata.
Ridurre le possibilità di esecuzione senza bloccare l’attività
Partite dall’inventario di chi necessita di strumenti di scripting e per quali motivi. Un computer della contabilità e il portatile di un amministratore hanno esigenze diverse. Definite software e percorsi di esecuzione autorizzati per ruolo, quindi provate le restrizioni con utenti rappresentativi prima di estenderle.
Non presentate i criteri di esecuzione PowerShell come una barriera completa. Microsoft ne descrive esplicitamente i limiti. Valutate insieme controllo delle applicazioni, gestione dei privilegi, protezione del browser e rilevamento sui dispositivi, con un amministratore in grado di verificarne il comportamento.
Per un piccolo team IT, un primo risultato utile è una scheda: cosa è consentito, cosa è bloccato, come si approva un’eccezione e chi gestisce un avviso. Includete Mac e collaboratori esterni. Una politica limitata ai portatili Windows acquistati centralmente lascia un’evidente lacuna nell’assistenza.
I nostri servizi di sicurezza possono aiutare a definire questa verifica. L’obiettivo deve essere concreto: il dispositivo di un utente rappresentativo resiste a un percorso di esecuzione non autorizzato, il lavoro legittimo continua e il supporto riceve un evento utilizzabile.
Dare al personale una regola utilizzabile sotto pressione
Un sito che vi chiede di dimostrare di essere umani non vi autorizza a eseguire un comando di sistema. Fermatevi e usate il contatto abituale dell’assistenza.
Insegnate questo limite anziché una singola scorciatoia da tastiera. La richiesta può citare Esegui, PowerShell, Terminale o un’altra applicazione. Può arrivare da un risultato di ricerca, un link condiviso o un sito legittimo compromesso. Il personale non deve identificare la famiglia del malware prima di chiedere aiuto.
Usate uno screenshot sicuro o una dimostrazione senza esecuzione nella formazione di sicurezza. Provate la segnalazione oltre al riconoscimento: numero da chiamare, informazioni da fornire e modo di continuare a lavorare. Non inserite un comando dannoso attivo in un’esercitazione per il personale.
In un’impresa lussemburghese multilingue, rendete le istruzioni di segnalazione disponibili nelle lingue di lavoro. L’obiettivo è una risposta rapida e praticabile quando qualcuno ha un dubbio. Colpevolizzare chi segnala tardi renderà il prossimo incidente più difficile da indagare.
Verificate anche il percorso fuori dall’orario di lavoro. Chi lavora la sera deve sapere se scollegare il portatile, chiamare un fornitore o attendere il giorno lavorativo successivo. Concordate chi può autorizzare il contenimento e fornire un dispositivo sostitutivo. Provate i contatti con una segnalazione innocua prima di dipenderne durante un evento reale.
Cosa dovrebbe chiedere la direzione
Richiedete un breve documento di chiusura con punto d’ingresso noto, dispositivi coinvolti, recupero degli account, limiti dell’indagine e responsabili delle azioni successive. Separate risultati confermati e precauzioni. «Abbiamo ripristinato tutto» non descrive il perimetro né dimostra un recupero completo.
Rivedete il passaggio tra assistenza, fornitore di sicurezza e amministratore delle identità. Il fornitore dei dispositivi potrebbe non controllare le sessioni cloud; l’amministratore cloud potrebbe non accedere alla telemetria dei computer. Nominate il coordinatore prima che questa lacuna provochi un ritardo.
Per valutare una segnalazione ClickFix o migliorare i controlli dei dispositivi, contattate ObsidianCorps indicando tipo di dispositivo, ora approssimativa e azioni compiute. Possiamo concordare il perimetro dell’indagine e i prossimi passi pratici senza trasformare l’incertezza in un argomento commerciale.
