Pubblicato il 7 agosto 2026

Aumento dei siti web compromessi con CAPTCHA falsificati

L’UFCS sta attualmente rilevando un aumento di siti web compromessi che, tramite CAPTCHA falsificati, tentano di indurre i visitatori a eseguire comandi dannosi sul proprio computer, allo scopo di infettarli con malware. A livello mondiale sono interessati oltre 100 000 siti web. Allo stesso tempo, l’UFCS sta attualmente registrando anche un aumento del numero di siti web svizzeri compromessi dai cibercriminali e volti a diffondere malware.

I CAPTCHA sono piccoli test di sicurezza che aiutano i gestori dei siti web a proteggere le proprie pagine dagli accessi automatizzati da parte di robot (i cosiddetti «bot»). A tal fine, il visitatore o la visitatrice del sito web deve spuntare una «casella di selezione» e risolvere il puzzle numerico o visivo che appare successivamente. La crescente popolarità di questi CAPTCHA e la conseguente familiarità tra gli internauti vengono ora sempre più sfruttate dai cibercriminali.

Oltre 100 000 siti web coinvolti

Nel febbraio 2026, l’UFCS ha riportato, in una rassegna settimanale, un metodo di ingegneria sociale denominato «ClickFix». I cibercriminali cercano, tramite CAPTCHA falsificati o presunti messaggi di errore sui siti web, di indurre i visitatori a eseguire un comando dannoso, al fine di infettare il computer con cosiddetto «malware». Nelle ultime settimane, l’UFCS ha riscontrato un aumento in Svizzera dei siti web compromessi che mostrano ai visitatori tali CAPTCHA contraffatti. La maggior parte dei siti web interessati utilizza il sistema di gestione dei contenuti (CMS) di WordPress. A livello mondiale sono già interessati oltre 100 000 siti web. L’UFCS informa via e-mail i gestori dei siti web interessati e li esorta a correggere il sito.

I CAPTCHA contraffatti imitano quelli del fornitore statunitense di reti di distribuzione dei contenuti Cloudflare e si adattano alla lingua dei visitatori. Il sito web compromesso tiene conto anche del sistema operativo utilizzato dal visitatore. Ai visitatori che utilizzano il sistema operativo Windows viene quindi richiesto di eseguire un comando «PowerShell». Se il sito web rileva un sistema operativo macOS, viene eseguito un comando macOS. I cibercriminali utilizzano quindi «ClickFix» per attaccare sia i sistemi operativi Windows che quelli macOS.

Attualmente l’UFCS sta monitorando sette campagne condotte da cibercriminali allo scopo di infettare i computer utilizzando il metodo «ClickFix» descritto.

Il malware installato ruba i dati sensibili della vittima

Se il visitatore segue le istruzioni di un sito web compromesso ed esegue il comando, il computer scarica ulteriore codice dannoso da Internet. A tal fine, i cibercriminali ricorrono alla blockchain per l’archiviazione e la diffusione del codice dannoso (il cosiddetto «EtherHiding»), accessibile tramite interfacce web di «fornitori di servizi RPC» che consentono l’accesso alle reti.

Il malware scaricato dal codice dannoso è solitamente un cosiddetto «infostealer»: si tratta di malware che mira a sottrarre credenziali di accesso, dati delle carte di credito, portafogli di criptovalute e altre informazioni sensibili presenti sul computer della vittima. Questi «infostealer», come ad esempio «Vidar», vengono messi in vendita sul Dark Web, rendendoli uno strumento molto utilizzato dai cibercriminali.

Vulnerabilità nel CMS di WordPress: «WP2Shell»

La maggior parte dei siti web interessati utilizza il sistema di gestione dei contenuti (CMS) di WordPress. Negli ultimi giorni l’UFCS ha ricevuto un numero crescente di segnalazioni da parte di gestori di siti web e fornitori di servizi di hosting svizzeri, che hanno riferito dello sfruttamento di due vulnerabilità di WordPress rese note di recente. A tal fine, i cibercriminali sfruttano una combinazione di due vulnerabilità di WordPress, note come «WP2Shell» (CVE-2026-63030 e CVE-2026-60137). Il 17 luglio 2026 WordPress ha pubblicato gli aggiornamenti di sicurezza necessari per risolvere queste vulnerabilità. Purtroppo, non tutti i gestori di siti web hanno ancora effettuato l’aggiornamento, il che ha portato alla compromissione dei siti web basati su WordPress. L’UFCS è inoltre a conoscenza di casi in cui i cibercriminali, presumibilmente sfruttando la vulnerabilità «WP2Shell», sarebbero riusciti, con una modalità d’azione ancora sconosciuta, a compromettere anche altri siti web ospitati sullo stesso server.

Non si può escludere che queste violazioni siano azioni preparatorie da parte di cibercriminali volte a pubblicare, in un secondo momento, CAPTCHA falsificati e infettare così i visitatori dei siti web con malware.

Raccomandazioni

Raccomandazioni per la popolazione

  • Cautela con i comandi del computer
    non eseguite mai un comando del computer (ad esempio il tasto «Windows» + «R») se richiesto da un sito web. Abbandonate immediatamente tali siti web e, in caso di dubbio, rivolgetevi a un esperto.
  • Aggiornamenti di software
    Assicuratevi che il vostro computer e il software installato su di esso siano sempre aggiornati.
  • Protezione antivirus
    Assicuratevi che sul vostro computer sia sempre installato un programma antivirus aggiornato.

Raccomandazioni per i gestori di siti web

  • Aggiornamenti di software
    Assicuratevi che il sistema di gestione dei contenuti (CMS) che utilizzate sia sempre aggiornato, al pari di tutti i plug-in e degli add-on. Attivate possibilmente la funzione di aggiornamento automatica.
  • Utilizzo dell’autenticazione multifattoriale (MFA) 
    Se il vostro CMS lo supporta, attivate l’autenticazione a più fattori (MFA) per tutti gli account.
  • Protezione del CMS
    Attenersi alle «migliori prassi» o alle «linee guida sulla sicurezza» fornite dal produttore del proprio CMS, ad esempio:

Raccomandazioni per le imprese e i gestori di infrastrutture critiche:

  • Blocco dei fornitori di servizi RPC
    Le imprese e i gestori di infrastrutture critiche che non operano nel settore fintech dovrebbero limitare le connessioni in uscita verso i fornitori di servizi RPC. È possibile trovare un elenco corrispondente nell’archivio del GovCERT su GitHub.
  • Sensibilizzazione
    I collaboratori dovrebbero essere informati sul metodo «ClickFix» e sensibilizzati sull’uso dei CAPTCHA.