Che cos’è ClickFix (e FileFix)?

Clicchi su “Non sono un robot”, ma invece di un segno di spunta verde, un messaggio di errore ti chiede di completare una rapida procedura di verifica manuale. A tua insaputa, il codice JavaScript in esecuzione su quella pagina ha già copiato un comando nascosto e dannoso direttamente negli appunti del tuo computer. Il messaggio ti invita ad aprire la finestra di dialogo “Esegui” di Windows, incollare il testo e premere Invio per “risolvere” il problema.

Questo è il meccanismo alla base di ClickFix, una pericolosa tecnica di ingegneria sociale che negli ultimi due anni ha fatto il suo ingresso in modo massiccio nel panorama delle minacce informatiche. Insieme alla sua variante più recente e ancora più furtiva, nota come FileFix, questo vettore ha stravolto i modelli di difesa tradizionali.

Ciò che rende un attacco ClickFix particolarmente frustrante per i team di sicurezza è la totale assenza dei tradizionali indicatori di compromissione. Non vi è alcun file dannoso da intercettare, nessuna vulnerabilità software sfruttata e nessuna password violata.

Che cos’è ClickFix nel campo della sicurezza informatica?

ClickFix è una tecnica di ingegneria sociale senza file in cui una pagina web compromessa o dannosa mostra all'utente un messaggio di errore ingannevole, un CAPTCHA falso o una richiesta di verifica.

I ricercatori nel campo della sicurezza hanno documentato per la prima volta questa tecnica specifica nel 2024. Essa si è evoluta da un precursore precedente e più rudimentale noto come “ClearFix”, le cui tracce risalgono all’ottobre 2023. Il nome “ClickFix” non è una denominazione ufficiale standard del settore, ma è diventato rapidamente il termine di riferimento utilizzato in tutto il settore della sicurezza informatica man mano che la minaccia ha acquisito popolarità nel corso del 2024 e del 2025.

Questo stratagemma psicologico si basa interamente sulle abitudini degli utenti. Le persone sono ormai completamente abituate a cliccare sulle caselle di conferma e a risolvere autonomamente piccoli errori del browser per arrivare ai contenuti che desiderano davvero. ClickFix sfrutta proprio questo riflesso, offrendo una soluzione immediata a un ostacolo tecnico creato ad arte.

Perché ClickFix aggira gli strumenti di sicurezza tradizionali?

Le difese aziendali standard sono progettate per individuare i payload dannosi che penetrano nel perimetro di rete. ClickFix elude facilmente queste architetture grazie a diversi vantaggi operativi distintivi:

• I gateway di posta elettronica sicuri, i motori antivirus statici e molte piattaforme di rilevamento e risposta sugli endpoint non hanno assolutamente nulla da analizzare, poiché durante la fase iniziale di compromissione non viene effettivamente scaricato né allegato alcun file eseguibile
• Il comando che dirotta gli appunti sfrutta utilità di sistema affidabili e preinstallate, come PowerShell, il Prompt dei comandi di Windows o il Terminale di macOS, per eseguire le proprie operazioni. Questo perché gli amministratori IT utilizzano proprio questi strumenti ogni giorno per operazioni legittime.
• L'autenticazione a più fattori (MFA) è progettata per garantire l'accesso basato sull'identità durante una sessione di accesso. Un attacco ClickFix prende di mira la sessione attiva dell'endpoint subito dopo che l'autenticazione è già avvenuta, pertanto nemmeno le politiche MFA più rigorose sono in grado di impedirne l'esecuzione.

Come funziona, passo dopo passo, un attacco ClickFix?

Una campagna ClickFix attiva si articola generalmente in cinque fasi tattiche distinte:

Fase 1: L'esca

L'autore dell'attacco assume il controllo di un sito web legittimo (spesso compromettendo siti WordPress poco protetti o reti pubblicitarie) oppure crea un dominio dannoso dedicato. Spesso ricorre al typosquatting o al malvertising per indirizzare traffico organico verso queste destinazioni. Per massimizzare la credibilità, le pagine imitano in modo molto accurato marchi aziendali affidabili come Microsoft, Cloudflare o Booking.com.

Fase 2: La verifica fasulla

Quando un utente accede alla pagina, l’autore dell’attacco utilizza un overlay per bloccare il contenuto previsto. All’utente viene mostrata una finestra CAPTCHA falsa estremamente realistica, un avviso fasullo che indica la “necessità di aggiornare il browser” oppure un messaggio di errore relativo al caricamento di un documento, con un pulsante ben visibile che recita “Risolvi” o “Verifica”.

Fase 3: Il dirottamento degli appunti

Nel momento in cui la vittima fa clic su quel pulsante, viene attivato uno snippet JavaScript nascosto in background. Questo script sovrascrive automaticamente gli appunti di sistema dell'utente con una stringa di comando dannosa e fortemente offuscata. Questa modifica agli appunti avviene in modo silenzioso, senza alcuna conferma visibile.

Fase 4: Le istruzioni

La pagina web passa immediatamente a una schermata con le istruzioni. Questa guida la vittima attraverso una sequenza precisa di scorciatoie da tastiera: premere Win + R per aprire la finestra "Esegui" di Windows, premere Ctrl + V per incollare il contenuto copiato e premere Invio. La pagina presenta questa sequenza come una correzione manuale necessaria per risolvere l'errore di caricamento.

Fase 5: Esecuzione e consegna del payload

Non appena l'utente preme Invio, il sistema operativo esegue il comando nascosto negli appunti. Ciò in genere avvia una connessione silenziosa in background a un server remoto per scaricare e installare malware specializzato. Il browser stesso non gestisce mai un link esplicito per il download di file, rendendo i filtri web a livello di browser completamente all'oscuro dell'installazione.

Che cos’è FileFix e come si sta evolvendo l’attacco?

Quando i centri operativi di sicurezza aziendale (SOC) hanno iniziato a monitorare e limitare l'uso della finestra di dialogo "Esegui" di Windows, gli autori degli attacchi hanno rapidamente modificato la loro strategia. Il 23 giugno 2025, il ricercatore di sicurezza mr.d0x ha reso pubblica un'evoluzione alternativa più furtiva , denominata FileFix.

Anziché costringere gli utenti a utilizzare finestre di comando amministrative, un attacco FileFix mostra su una pagina web un pulsante dall’aspetto normale con la dicitura “carica file”. Facendo clic su questo pulsante si apre una finestra legittima e nativa di Esplora file di Windows. La pagina con le istruzioni invita quindi l’utente a cliccare sulla barra degli indirizzi di Esplora file nella parte superiore, incollare il contenuto degli appunti (mascherato da percorso di un file) e premere Invio.

Questa variante è notevolmente più pericolosa per due motivi. Innanzitutto, i dipendenti aziendali comuni trovano Esplora file molto più familiare e meno allarmante rispetto alla finestra "Esegui", dall'aspetto tecnico. In secondo luogo, Esplora file è profondamente integrato nelle operazioni fondamentali del desktop, rendendo difficile per i team IT bloccarne l'accesso tramite i tradizionali controlli dei Criteri di gruppo (GPO), a differenza delle utility di comando amministrative.

Cronologia degli attacchi: come gli autori delle minacce hanno sfruttato FileFix

I gruppi di hacker hanno messo in pratica questa nuova ricerca con una rapidità allarmante. Check Point Research ha individuato attori malintenzionati attivi che testavano il codice di FileFix all’interno di infrastrutture di phishing operative già il 6 luglio 2025, meno di due settimane dopo la divulgazione pubblica iniziale. A metà luglio 2025, il rapporto DFIR ha documentato una campagna attiva (monitorata con il nome “KongTuke”) che utilizzava FileFix per distribuire una variante avanzata del trojan di accesso remoto (RAT) Interlock. A settembre 2025, i ricercatori hanno scoperto varianti modificate di FileFix che incorporavano tecniche di steganografia, nascondendo payload dannosi all’interno di file immagine apparentemente innocui, ospitati su siti di phishing multilingue per distribuire silenziosamente il malware StealC.

Casi d'uso di ClickFix

ClickFix si è trasformato da stratagemma sperimentale utilizzato dai criminali informatici a strumento di attacco preferito da gruppi di hacker altamente sofisticati. In un breve arco di 90 giorni, compreso tra ottobre 2024 e gennaio 2025, quattro principali attori di minaccia legati a Stati nazionali hanno integrato ClickFix nelle loro operazioni di spionaggio informatico: l’APT28 russo, il Kimsuky nordcoreano, il MuddyWater iraniano e il gruppo COLDRIVER, legato alla Russia. L’APT36 pakistano ha seguito l’esempio poco dopo, nel maggio 2025. Anziché costruire intere operazioni da zero, queste minacce persistenti avanzate (APT) hanno integrato ClickFix nelle loro infrastrutture di phishing già esistenti.

Diverse campagne degne di nota mettono in luce l'enorme varietà di queste operazioni:

• L'esca di APT28 su Google Sheets: questo gruppo ha utilizzato una pagina falsa di Google Sheets estremamente realistica per indurre le vittime a cliccare su un prompt reCAPTCHA. Cliccando sulla casella, veniva stabilito in modo invisibile un tunnel SSH crittografato e Metasploit veniva installato direttamente sulla rete di destinazione, garantendo agli aggressori un accesso backdoor permanente.
• La campagna “Patch Tuesday” di MuddyWater: operando sotto lo pseudonimo di TA450, questo gruppo ha coordinato massicce ondate di phishing programmate in modo da coincidere esattamente con il calendario mensile del “Patch Tuesday” di Microsoft. Le e-mail simulavano avvisi urgenti relativi ad aggiornamenti di sicurezza di Windows, riuscendo a colpire almeno 39 importanti organizzazioni in tutto il Medio Oriente.
• Storm-1865 Hospitality Wave: questo attore ha sistematicamente simulato comunicazioni automatizzate di Booking.com per prendere di mira il personale amministrativo degli hotel e del settore dei viaggi, con l'obiettivo di sottrarre le credenziali dei dipendenti.
• Violazione della catena di approvvigionamento del settore automobilistico: nel marzo 2025, la compromissione di un unico fornitore terzo, denominato LES Automotive, ha portato all’iniezione simultanea di script di infezione ClickFix in oltre 100 diversi siti web di concessionarie automobilistiche.
• Ripercussioni del ransomware: anche il gruppo di ransomware Interlock ha adottato ClickFix per ottenere l’accesso iniziale, come dimostra un incidente documentato avvenuto nell’agosto 2025 che ha colpito un ente governativo statale o locale degli Stati Uniti.

Come si è evoluto il malware ClickFix?

La barriera tecnica all’accesso a questo attacco si è drasticamente abbassata. I kit commerciali “ClickFix builder” sono ormai ampiamente acquistati e venduti sui forum clandestini di hacker, consentendo a criminali informatici con scarse competenze di lanciare campagne personalizzate. Inoltre, l’attacco non è più strettamente limitato ai sistemi Windows; varianti recenti si sono estese fino a prendere di mira gli utenti macOS tramite comandi Terminal codificati in base64, nonché gli ambienti aziendali Linux. Team indipendenti di intelligence sulle minacce, tra cui Recorded Future e il Center for Internet Security, hanno segnalato che ClickFix è rimasta una delle tecniche di accesso iniziale più attive fino al 2026, con la continua comparsa di nuovi temi di esca (tra cui falsi inviti a riunioni e richieste di aggiornamento software).

La varietà dei carichi finali distribuiti tramite questi metodi comprende un’ampia gamma di tipi pericolosi di malware:

Tra questi payload, Lumma Stealer rimane il più diffuso. Microsoft ha identificato oltre 394.000 dispositivi Windows infetti a livello globale durante un breve periodo di due mesi tra marzo e maggio 2025. Sebbene un’imponente operazione delle forze dell’ordine che ha coinvolto Microsoft, Europol, l’FBI e il Dipartimento di Giustizia (DOJ) sia riuscita a smantellare in modo coordinato questa infrastruttura, alcune parti del backend di Lumma sono riuscite a riprendersi e a riprendere le operazioni nel giro di poche settimane.

Come si presentano ClickFix e FileFix in termini di numeri?

I dati quantitativi relativi a queste campagne “fileless” dimostrano perché siano diventate un’emergenza a livello di settore:

• 517%: Il massiccio aumento dei rilevamenti di ClickFix registrato da ESET nella prima metà del 2025 rispetto alla seconda metà del 2024. Questa crescita esplosiva lo ha posizionato come il secondo vettore di attacco iniziale più diffuso a livello mondiale, secondo solo al phishing tradizionale.
• 8%: Percentuale totale di tutti gli attacchi globali basati sul web bloccati dalla telemetria che sono generati esplicitamente dagli script ClickFix.
• 47%: La percentuale di tutte le notifiche di accesso iniziale emesse dal team di threat hunting "Defender Experts" di Microsoft attribuite direttamente ai vettori ClickFix in un periodo di 12 mesi.
• 54%: La percentuale di vittime di ransomware le cui credenziali relative al dominio aziendale sono state messe in vendita sui marketplace di stealer-log prima dell'effettivo evento di crittografia, secondo il rapporto "2025 Data Breach Investigations Report" (DBIR) di Verizon.

Quest’ultimo dato evidenzia il pericoloso percorso che porta dal furto delle credenziali al ransomware. Il tempo mediano che intercorre tra il momento in cui un dipendente subisce il furto delle proprie credenziali da parte di un infostealer e quello in cui un gruppo malintenzionato distribuisce il ransomware all’interno della rete aziendale è attualmente di soli due giorni. Poiché ClickFix e FileFix sono tra i principali meccanismi di diffusione che alimentano questi mercati di credenziali, bloccare queste interazioni iniziali è un prerequisito fondamentale per evitare una distribuzione catastrofica di ransomware.

Come si fa a riconoscere un tentativo di ClickFix o FileFix?

I dipendenti dell'azienda costituiscono la prima linea di difesa contro questa minaccia. Per proteggere il proprio endpoint, è necessario verificare ogni richiesta insolita proveniente dal web confrontandola con questa lista di controllo di sicurezza:

• Un sito web affidabile non ti chiederà mai di aprire la finestra "Esegui" di Windows, un terminale o la barra degli indirizzi di Esplora file per "verificare" la tua identità o risolvere un errore del browser.
• Diffidate di qualsiasi CAPTCHA o messaggio di errore che vi inviti a premere combinazioni di tasti come Win + R, Cmd + Spazio o Ctrl + V.
• Se incolli qualcosa e ti appare una lunga stringa di codice che non hai mai copiato, significa che gli appunti sono stati compromessi. Non incollare né eseguire quel contenuto da nessuna parte.
• Gli strumenti di sicurezza standard funzionano interamente all'interno della scheda attiva del browser. Non richiedono mai di uscire dal browser né di interagire con software desktop esterni.

Se durante la navigazione o tramite un messaggio dovessi imbatterti in un link sconosciuto o sospetto, puoi verificarne lo stato utilizzando uno strumento gratuito dedicato al controllo dei link prima di interagire con esso.

In che modo i team IT possono proteggersi da ClickFix e FileFix?

Poiché questi attacchi manipolano comportamenti legittimi del sistema anziché ricorrere a exploit tradizionali, per difendersi da essi è necessario un modello di sicurezza a più livelli.

1. Limitare e monitorare le interfacce ad alto rischio

I team di ingegneri IT dovrebbero implementare controlli restrittivi tramite i Criteri di gruppo (GPO) per bloccare l'accesso alle interfacce di comando amministrative, come la finestra di dialogo "Esegui" (cmd.exe) e l'esecuzione nativa di PowerShell, per gli utenti standard non amministratori, ove ciò sia operativamente fattibile. Laddove non sia possibile applicare restrizioni complete, l'infrastruttura di monitoraggio dovrebbe essere configurata in modo da segnalare le anomalie all'interno delle chiavi di registro RunMRU, registrare tutte le modifiche rapide al contenuto degli appunti e applicare una registrazione completa dei blocchi degli script PowerShell.

2. Un'architettura di rilevamento del movimento che va oltre il file

Poiché la tradizionale scansione statica dei file risulta inefficace contro il malware fileless, le operazioni di sicurezza devono prendere in considerazione l’intera catena comportamentale. Le soluzioni di sicurezza dovrebbero combinare filtri web perimetrali avanzati, in grado di analizzare le strutture HTML/URL in entrata, con analisi comportamentali degli endpoint capaci di identificare la firma distintiva di un processo del browser che inietta comandi negli strumenti di sistema.

3. Bloccare il vettore iniziale di diffusione del phishing

Sebbene l’interazione con ClickFix avvenga sul web, il link iniziale viene ampiamente diffuso tramite e-mail di phishing mirate o annunci pubblicitari dannosi che si spacciano per marchi aziendali affidabili o domini interni delle aziende. Secondo i rapporti del Center for Internet Security (CIS) e del Multi-State Information Sharing and Analysis Center (MS-ISAC), le organizzazioni del settore pubblico ricevono frequentemente esche di phishing che utilizzano sottodomini compromessi di servizi affidabili (come trycloudflare.com o r2.dev) per aggirare i filtri standard della posta elettronica e reindirizzare le vittime verso schermate CAPTCHA fasulle.

L'applicazione di protocolli di autenticazione del dominio come il Domain-based Message Authentication, Reporting, and Conformance (DMARC) con una politica rigorosa di p=reject riduce significativamente la capacità degli autori delle minacce di falsificare il dominio della vostra organizzazione durante l'invio di queste prime esche di phishing. È importante essere molto precisi su questo punto: il DMARC è un controllo di verifica dell’identità e di protezione del marchio, non una soluzione diretta per l’esecuzione sugli endpoint. Non può impedire a un dipendente di incollare codice in un terminale una volta che si trova già su un sito dannoso, ma compromette in modo significativo la capacità dell’autore dell’attacco di inviare e-mail con domini falsificati altamente convincenti che danno inizio alla catena di attacco.

4. Fornire una formazione agli utenti specifica per ogni contesto

Una formazione generica sulla sicurezza aziendale che si limiti a istruire i dipendenti a “non cliccare su link sospetti” è del tutto inefficace contro gli specifici schemi visivi utilizzati da ClickFix. Le organizzazioni devono implementare esercitazioni formative brevi e mirate, incentrate interamente su questo ciclo operativo. Il messaggio formativo deve essere chiaro e concreto: se un sito web vi chiede di incollare del testo nella finestra “Esegui” di Windows o nella barra degli indirizzi di Esplora file, fermatevi immediatamente e segnalatelo al reparto IT.

5. Privilegiare la segnalazione rispetto all’autoresoluzione

ClickFix sfrutta attivamente la naturale tendenza delle persone a voler risolvere autonomamente piccoli problemi tecnici senza rivolgersi all’help desk. I team di sicurezza devono contrastare consapevolmente questo comportamento creando procedure di segnalazione chiare e semplici. I dipendenti devono sapere che segnalare una richiesta di verifica insolita è la cosa giusta da fare e non comporta alcun rischio.

Conclusioni: garantire il fattore umano

ClickFix e FileFix rappresentano un cambiamento altamente strategico nel panorama della criminalità informatica moderna. Queste campagne non perdono tempo a cercare complesse vulnerabilità software “zero-day”; al contrario, prendono di mira una vulnerabilità molto più semplice: il naturale riflesso umano di cliccare rapidamente per superare un piccolo intoppo tecnico. Questo semplice exploit comportamentale si è dimostrato talmente efficace da essere ora utilizzato attivamente sia da criminali informatici opportunisti che da sofisticate reti di intelligence statali.

Per contrastare questa minaccia è necessaria una difesa equilibrata e articolata su più livelli. Le organizzazioni devono combinare un monitoraggio proattivo degli endpoint, una formazione specifica sul comportamento dei dipendenti e controlli tecnici di autenticazione per bloccare i canali di diffusione iniziali.

Implementando una rigorosa autenticazione dei domini, è possibile bloccare completamente le e-mail non autorizzate inviate dai domini aziendali. Assumete il controllo del perimetro della vostra posta elettronica e proteggete il marchio della vostra azienda. Utilizzate la piattaforma di sicurezza dei domini PowerDMARC per analizzare il tuo ecosistema di posta elettronica e attuare fin da oggi una difesa attiva contro le reti di distribuzione di phishing.

Domande frequenti

Che cos’è ClickFix nel campo della sicurezza informatica?

ClickFix è una tecnica di ingegneria sociale senza file in cui i siti web compromessi mostrano CAPTCHA falsi o messaggi di errore del browser. Quando un utente fa clic sul messaggio, un codice JavaScript in esecuzione in background copia un comando dannoso negli appunti e le istruzioni guidano l'utente a incollarlo manualmente ed eseguirlo utilizzando strumenti di sistema affidabili come la finestra "Esegui" di Windows.

Qual è la differenza tra ClickFix e FileFix?

ClickFix induce le vittime a incollare comandi dannosi presenti negli appunti direttamente nelle utilità di sistema con privilegi amministrativi, come la finestra di dialogo "Esegui" di Windows o il Terminale di macOS. FileFix è una variante più avanzata che induce gli utenti ad aprire una finestra standard di Esplora file di Windows e a incollare il comando direttamente nella barra degli indirizzi, un'interfaccia che risulta più familiare agli utenti e più difficile da limitare per i team IT.

In che modo un attacco ClickFix riesce a infettare un computer senza un file dannoso?

L'attacco evita del tutto il download di file durante la fase iniziale di compromissione. Sfrutta il JavaScript nativo in background per dirottare gli appunti di sistema dell'utente. La vittima incolla quindi manualmente ed esegue quel codice nascosto utilizzando utilità amministrative del sistema operativo preinstallate e considerate affidabili, un metodo noto come “living off the land”.

Quali autori di attacchi utilizzano ClickFix e FileFix?

Questa tecnica è ampiamente utilizzata in tutto il panorama delle minacce. È stata adottata sia da gruppi di cybercriminali specializzati nel furto di informazioni (che distribuiscono payload come Lumma Stealer), sia da gruppi di spionaggio statale altamente sofisticati provenienti da diversi paesi, tra cui l’APT28 e COLDRIVER russi, Kimsuky nordcoreano, MuddyWater iraniano e l’APT36 pakistano.

Un antivirus o l'autenticazione a più fattori (MFA) possono bloccare un attacco ClickFix?

I tradizionali software antivirus statici spesso non riescono a rilevare ClickFix poiché, durante l'interazione iniziale, non viene scaricato alcun file dannoso da analizzare. Anche l'autenticazione a più fattori (MFA) non è in grado di impedire l'infezione, poiché l'attacco prende di mira direttamente il dispositivo endpoint attivo, anziché tentare di dirottare una sessione di accesso a un'applicazione web.

Come posso capire se un CAPTCHA o un messaggio del tipo “correggi” è un attacco ClickFix?

Uno strumento di verifica umana autentico come Google reCAPTCHA funziona interamente all’interno della scheda attiva del browser e non richiede mai di aprire software desktop esterni. Qualsiasi richiesta che ti inviti a utilizzare scorciatoie da tastiera come Win + R, ad aprire la finestra “Esegui” o a incollare del testo nella barra degli indirizzi di Esplora file per risolvere un errore è un attacco ClickFix.

• Informazioni su
• Ultimi messaggi

Milena Baghdasaryan

Specialista dei contenuti presso PowerDMARC

Milena è un'abile scrittrice e creatrice di contenuti con oltre 7 anni di esperienza nella creazione di contenuti coinvolgenti su IT, cybersicurezza, eventi virtuali e altro. Ha una comprovata esperienza nella realizzazione di lavori di alta qualità per riviste internazionali e si è laureata in istituzioni prestigiose come la New York University Abu Dhabi, l'UWC China e il College of Europe.

Ultimi messaggi di Milena Baghdasaryan (vedi tutti)

• Che cos’è ClickFix (e FileFix)? - 8 luglio 2026
• Come scegliere un provider di servizi di posta elettronica: un quadro di riferimento per la valutazione incentrato sulla sicurezza - 1° luglio 2026
• Sicurezza della posta elettronica in America Latina: lo stato del DMARC e dell’autenticazione delle e-mail in America Latina nel 2026 - 30 giugno 2026