I malintenzionati hanno trovato un modo per sfruttare questa tecnologia, trasformandola in uno strumento per ingannare gli utenti
Negli ultimi mesi, un nuovo e insidioso tipo di attacco informatico ha cominciato a diffondersi in rete, sfruttando un meccanismo che molti di noi considerano familiare e sicuro: i CAPTCHA. Questi test, il cui acronimo sta per “Completely Automated Public Turing test to tell Computers and Humans Apart”, sono progettati per distinguere gli utenti umani dai bot. In genere, richiedono agli utenti di ricopiare una sequenza di lettere e numeri distorti per dimostrare che non sono programmi automatici. Tuttavia, i malintenzionati hanno trovato un modo per sfruttare questa tecnologia, trasformandola in uno strumento per perpetrare truffe.
La diffusione delle truffe con i CAPTCHA
Secondo quanto riportato da Kaspersky, una delle principali aziende di cybersecurity, questo attacco ha colpito in particolare gli utenti di Windows e ha registrato una diffusione allarmante in paesi come Brasile, Russia, Spagna e Italia. Le vittime di questa truffa sono già decine di migliaia, e il numero continua a crescere. Le truffe sono principalmente indirizzate a un pubblico di gamer, ma non si limitano a questo gruppo.
Il meccanismo dell’attacco
Il meccanismo di attacco è relativamente semplice e, di conseguenza, molto insidioso. Gli utenti che navigano su siti di gaming si trovano di fronte a un banner a pagina intera. Quando un utente clicca su questo banner, anche inavvertitamente, viene reindirizzato a una falsa pagina CAPTCHA. Qui, l’utente è invitato a cliccare su un pulsante che recita “Non sono un robot”. Una volta fatto ciò, un comando PowerShell criptato di Windows viene copiato negli appunti del computer.
Gli hacker utilizzano questo trucco per indurre le vittime a incollare il comando in una cartella del loro PC e a premere Invio. A questo punto, il danno è fatto: premendo Invio, lo stealer Lumma viene installato sul computer dell’utente, un tipo di malware che ruba criptovalute e dati sensibili, come password e informazioni personali.
Una variante della truffa con i CAPTCHA
Ma l’azione malevola non si ferma qui. Kaspersky ha identificato anche una variante di questa truffa, che consiste nella visualizzazione di una falsa finestra di Google Chrome. In questo caso, l’hacker invita l’utente a copiare e incollare un file per correggere un errore che si sarebbe verificato durante l’aggiornamento del browser. Anche in questo caso, il comando PowerShell è lo stesso, e una volta installato, il malintenzionato ottiene il controllo completo del PC della vittima. Questo tipo di attacco non è limitato solo ai siti di gaming, ma si diffonde anche su piattaforme di file sharing, siti per adulti e comunità online.
Come proteggersi
La facilità con cui questi attacchi possono ingannare gli utenti è preoccupante. I CAPTCHA sono visti come misure di sicurezza standard e spesso gli utenti non prestano la dovuta attenzione ai dettagli quando interagiscono con essi. Gli hacker sfruttano questa fiducia per mascherare le loro truffe, rendendo difficile per le vittime riconoscere il pericolo. Inoltre, l’uso di tecniche di ingegneria sociale, come l’urgenza o la necessità di risolvere un problema, può ulteriormente aumentare le possibilità di successo di queste truffe.
Consigli per la sicurezza online
Per proteggersi da queste truffe, è fondamentale adottare alcune precauzioni. In primo luogo, è importante non cliccare su banner o link sospetti, specialmente se provengono da fonti sconosciute. Inoltre, gli utenti dovrebbero sempre verificare l’autenticità del sito web che stanno visitando, assicurandosi che l’URL sia corretto e che il sito utilizzi una connessione sicura (https). È anche consigliabile mantenere aggiornato il software antivirus e utilizzare strumenti di sicurezza che possano rilevare e bloccare attività sospette.
Infine, è cruciale educare se stessi e gli altri sui rischi associati a questi attacchi. La consapevolezza è una delle migliori difese contro le truffe online. Gli utenti dovrebbero essere sempre scettici riguardo a richieste di informazioni sensibili e diffidare di qualsiasi richiesta che sembri troppo bella per essere vera. Solo così sarà possibile navigare in sicurezza nel vasto mare di internet, evitando di cadere vittima di truffe sempre più sofisticate.