Dimenticate i film di Hollywood dove un hacker con un cappuccio e una luce verde sul volto digita freneticamente su una tastiera meccanica per scardinare i firewall del Pentagono. La realtà è molto più banale, decisamente meno ‘cool’ e, onestamente, anche più fastidiosa.
L’ultima notizia che arriva dai circuiti dell’intelligence russa ci dice che anche i gruppi di hacker più ‘élite’ stanno scendendo di livello (o forse stanno solo scoprendo che la pigrizia paga) utilizzando il Clickfix. Se non avete mai sentito questo termine, non preoccupatevi: non è un nuovo framework di sviluppo o una distro Linux rivoluzionaria. È una tecnica di social engineering che punta tutto sulla manipolazione psicologica e su quella tipica fretta che ci assale quando un pop-up ci dice che ‘qualcosa non va’.
Il meccanismo è di una semplicità irritante. Invece di cercare vulnerabilità zero-day complesse che richiedono mesi di ricerca e budget infiniti, questi soggetti utilizzano finte finestre di errore o messaggi di sistema che sembrano legittimi. Il trucco? Ti convincono che devi eseguire un comando specifico, magari incollando qualcosa nel terminale o cliccando su un pulsante per ‘riparare’ il browser. Una volta che l’utente (spesso distratto o troppo fiducioso) esegue l’azione, il payload viene installato e il gioco è fatto.
È un approccio che abbiamo visto spesso in ambito criminale per scopi puramente finanziari, ma l’aspetto inquietante è l’adozione da parte di attori che dovrebbero avere standard molto più alti. È come se vedessimo un Master Chef che, invece di preparare un soufflé perfetto, decidesse di servire una pizza surgelata perché tanto la gente la mangia comunque.
Per noi che mastichiamo codice e passiamo la vita tra terminali e script, la lezione è chiara: la sicurezza non è solo questione di patch e kernel aggiornati, ma di quanto siamo capaci di resistere alla tentazione di ‘cliccare su tutto’ sperando che si risolva da solo. Non importa quanto sia blindata la vostra infrastruttura se l’anello debole è un utente che segue istruzioni scritte in un pop-up sospetto.
In Italia, come nel resto del mondo, siamo bersagli facili proprio perché spesso sottovalutiamo questi attacchi ‘low-tech’. Non serve un supercomputer per essere infettati, basta un po’ di poca attenzione e una finestra di dialogo che sembra troppo autorevole. Quindi, per una volta, tenete le mani lontane dai comandi che vi vengono suggeriti da siti web dubbi. La prossima volta che un pop-up vi dice che il vostro browser è rotto, ignoratelo e andate a farvi un caffè. È molto più sicuro.
Source: Now, even Russia's most elite hackers are using Clickfix to infect devices