I cybercriminali utilizzano servizi online di uso quotidiano, come Google Docs, per nascondere attacchi finalizzati al furto di criptovalute e credenziali di accesso. È quanto emerge da due nuove ricerche di Cisco Talos, il team di threat intelligence di Cisco. Le campagne analizzate sfruttano la tecnica ClickFix, che induce gli utenti a eseguire inconsapevolmente comandi dannosi sul proprio dispositivo. L’utilizzo di piattaforme affidabili e ampiamente diffuse rende questi attacchi particolarmente credibili e difficili da individuare.
“Quasi tutte le organizzazioni consentono il traffico verso Google Docs”, commenta Renzo Ghizzoni, Country Leader Sales Security Cisco Italia. “Gli attaccanti sfruttano questa fiducia per nascondere il codice malevolo all’interno di un foglio di calcolo. In questo modo, l’attività può sembrare una normale richiesta a un documento Google, rendendo più difficile individuare l’attacco”.
Criptovalute nel mirino: la truffa passa dal browser
La prima campagna, attiva dall’ottobre 2025, prende di mira gli investitori in criptovalute attraverso un falso avviso di sicurezza che promette compensazioni superiori al 25% per presunte vulnerabilità in alcune piattaforme di scambio. Il messaggio è stato individuato su Telegram, forum online e siti di condivisione di contenuti. Per ottenere il presunto beneficio, agli utenti viene chiesto di eseguire alcune operazioni nel browser. In realtà, queste azioni attivano un programma malevolo nascosto all’interno di documenti Google apparentemente innocui.
Una volta installato, il malware può alterare le informazioni visualizzate durante le transazioni in criptovalute, reindirizzando i fondi verso portafogli controllati dai criminali. Per rendere la truffa più credibile, gli attaccanti mostrano inoltre un falso bonus che induce le vittime a completare l’operazione.
Nel corso dell’indagine, Cisco Talos ha identificato 49 indirizzi Bitcoin collegati alla campagna. Almeno 24 di questi hanno ricevuto fondi sottratti alle vittime per un valore superiore a 10.000 dollari. Le somme sono state successivamente trasferite attraverso migliaia di altri indirizzi, rendendo più difficile seguirne le tracce.
Dopo la segnalazione di Cisco Talos a Google e alle piattaforme coinvolte, i contenuti utilizzati per attirare le vittime sono stati rimossi. Tuttavia, gli autori dell’attacco hanno ripreso l’attività nel giro di pochi giorni utilizzando nuovi documenti Google, che secondo i ricercatori sono rimasti online fino ad agosto nonostante ulteriori segnalazioni.
Una falsa verifica di Google per rubare password e prendere il controllo del computer
La seconda campagna è stata individuata nell’aprile 2026 a seguito di attività sospette rilevate presso un’organizzazione governativa ucraina. Secondo Cisco Talos, l’obiettivo degli attaccanti era probabilmente il furto di criptovalute e credenziali di accesso, più che l’organizzazione stessa. Dopo aver compromesso un sito web, i criminali utilizzano servizi online pubblici per nascondere e distribuire gli strumenti necessari all’attacco, rendendone più difficile il rilevamento e la rimozione. Le vittime visualizzano una falsa schermata di verifica Google, simile a quelle utilizzate per confermare di non essere un robot.
Seguendo le istruzioni, installano inconsapevolmente un malware in grado di rubare password, dati personali e informazioni conservate nei portafogli di criptovalute. Le conseguenze possono essere significative: oltre al furto di credenziali e dati sensibili, gli attaccanti possono assumere il controllo remoto del dispositivo compromesso e utilizzarlo per ulteriori attività criminali
