Quando basta un clic: perché gli attacchi informatici moderni sono così pericolosi al giorno d’oggi.

NOTIZIE DEL 1° SETTEMBRE 2026

Gli attacchi informatici spesso hanno inizio con una singola azione dell’utente. È proprio quanto ha evidenziato un recente incidente di sicurezza, in cui un utente è stato reindirizzato verso un sito web compromesso tramite una cosiddetta campagna di phishing “ClickFix”. Poco dopo sono state rilevate connessioni sospette verso l’esterno. Allo stesso tempo, vi erano indizi che l’autore dell’attacco stesse tentando di espandersi ulteriormente all’interno della rete aziendale. Gli esperti di sicurezza parlano in questo caso di «movimento laterale». Con ciò si intende che, dopo il primo accesso, un aggressore non si ferma, ma cerca di raggiungere altri sistemi e account utente per ottenere il massimo controllo possibile sull’ambiente IT. Il caso evidenzia quanto velocemente un singolo clic possa trasformarsi in un grave incidente di sicurezza.

 

Che cos’è una campagna di phishing ClickFix?

Le campagne ClickFix rientrano tra i metodi di phishing più recenti. In questo contesto, gli utenti vengono reindirizzati verso siti web dall’aspetto incredibilmente autentico. Spesso queste pagine si spacciano per servizi noti o controlli di sicurezza. Nel caso in esame si trattava di un CAPTCHA Cloudflare contraffatto.

L’obiettivo è quello di indurre gli utenti a compiere un’azione che consenta all’autore dell’attacco di ottenere un primo accesso. A differenza delle classiche e-mail di phishing, che mirano al furto di password, gli attacchi ClickFix possono portare direttamente all’esecuzione di comandi dannosi o malware.

Nel caso in esame, il sito web legittimo di un’azienda regionale è stato compromesso e utilizzato a scopo di attacco. Per l’utente, la visita al sito web è quindi apparsa inizialmente del tutto normale.

 

Dal primo accesso alla diffusione nella rete

Dopo aver visitato il sito web compromesso, il sistema interessato ha mostrato un comportamento sospetto.

Tra i primi segnali figuravano:

• Comunicazioni di rete inattese verso sistemi esterni

• Processi sospetti sul server

• Indizi di tentativi di movimento laterale all’interno della rete

• Ricerca di altri sistemi e account raggiungibili

Un aspetto particolarmente critico è stato il fatto che l’attacco non si è limitato all’utente originario. In breve tempo, il malware, ovvero l’autore dell’attacco, ha tentato di raggiungere altri sistemi presenti nell’ambiente.

I dati di accesso memorizzati come rischio

Dall’analisi è emerso che un utente con privilegi elevati era presente nel sistema grazie alle credenziali di accesso memorizzate nella cache.

Circa 20 minuti dopo la compromissione iniziale, è stata rilevata un'autenticazione verso un altro server. I log degli eventi hanno mostrato un accesso con privilegi elevati tramite PowerShell. L'evento di sicurezza corrispondente ha infine attivato un allarme MDR ad alta criticità.

Situazioni di questo tipo rientrano tra gli scenari più pericolosi nelle reti aziendali. Se gli aggressori riescono ad accedere ad account utente con privilegi estesi, le conseguenze possono rapidamente estendersi ben oltre il sistema originariamente colpito.

Se gli aggressori entrano in possesso di credenziali privilegiate, possono:

• Manipolare le politiche di sicurezza

• Compromettere altri sistemi

• Creare nuovi account utente

• Accedere a dati critici per l’azienda

Perché MDR ha fatto la differenza

In questo caso, è stato determinante il rapido rilevamento da parte del sistema Managed Detection and Response (MDR).

L’autenticazione sospetta è stata rilevata automaticamente e classificata come incidente critico per la sicurezza. Ciò ha permesso di avviare immediatamente le contromisure.

Tra le altre cose, sono state effettuate le seguenti azioni:

• Isolamento della sessione utente interessata

• Analisi delle attività sospette

• Modifica delle password degli amministratori

• Verifica di altri sistemi alla ricerca di indicatori di compromissione

Senza tale monitoraggio, l'autore dell'attacco avrebbe potuto muoversi all'interno della rete senza essere scoperto per un periodo di tempo molto più lungo.

Cosa possono imparare le aziende da tutto ciò

L'episodio dimostra chiaramente che i moderni attacchi informatici non iniziano necessariamente con un attacco diretto all'azienda. Può essere sufficiente anche solo visitare un sito web compromesso, che in realtà sembrava affidabile.

Le aziende dovrebbero quindi valutare in particolare le seguenti misure:

• Evitare la memorizzazione delle credenziali di accesso
  Ove possibile, è necessario impedire o limitare rigorosamente la memorizzazione temporanea delle credenziali di accesso con privilegi.
• Implementare la segmentazione della rete
  I server terminali, i client e le infrastrutture critiche devono essere separati tra loro per rendere più difficili i movimenti laterali.
• Implementare MDR e il monitoraggio della sicurezza
  È necessario poter rilevare e valutare in tempo reale le attività sospette. Gli attacchi moderni si sviluppano spesso nel giro di pochi minuti.
• Sensibilizzare gli utenti
  Corsi regolari di sensibilizzazione alla sicurezza aiutano a riconoscere tempestivamente gli attacchi e a ridurre gli errori.

Conclusione

Questo episodio dimostra in modo lampante quanto velocemente una visita apparentemente innocua a un sito web possa trasformarsi in un evento critico per la sicurezza. Nel giro di pochi minuti, l’attacco è passato da un sito web compromesso a un server terminale, mostrando segni di una possibile espansione verso i sistemi centrali del dominio. La buona notizia: grazie a un monitoraggio all’avanguardia e a una reazione rapida, l’incidente è stato individuato tempestivamente e contenuto. Per le aziende, la lezione più importante da trarre è che oggi la prevenzione da sola non è più sufficiente. Altrettanto determinante è la capacità di individuare tempestivamente gli attacchi e di reagire immediatamente.

Desiderate sensibilizzare in modo mirato i vostri collaboratori contro i moderni attacchi di phishing e di social engineering? I nostri corsi di formazione sulla consapevolezza e i nostri servizi di sicurezza informatica vi aiutano a ridurre in modo duraturo il rischio di attacchi riusciti. Referente: Pascal Balazs, responsabile della sicurezza informatica.