Allarme Cisco Talos: i criminali sfruttano un foglio Google pubblico per rubare criptovalute

I cybercriminali utilizzano servizi online di uso quotidiano, come Google Docs, per nascondere attacchi finalizzati al furto di criptovalute e credenziali di accesso. È quanto emerge da due nuove ricerche di Cisco Talos, il team di threat intelligence di Cisco. Le campagne analizzate sfruttano la tecnica ClickFix, che induce gli utenti a eseguire inconsapevolmente comandi dannosi sul proprio dispositivo. L’utilizzo di piattaforme affidabili e ampiamente diffuse rende questi attacchi particolarmente credibili e difficili da individuare.

“Quasi tutte le organizzazioni consentono il traffico verso Google Docs”, commenta Renzo Ghizzoni, Country Leader Sales Security Cisco Italia. “Gli attaccanti sfruttano questa fiducia per nascondere il codice malevolo all’interno di un foglio di calcolo. In questo modo, l’attività può sembrare una normale richiesta a un documento Google, rendendo più difficile individuare l’attacco”.

Criptovalute nel mirino: la truffa passa dal browser

La prima campagna, attiva dall’ottobre 2025, prende di mira gli investitori in criptovalute attraverso un falso avviso di sicurezza che promette compensazioni superiori al 25% per presunte vulnerabilità in alcune piattaforme di scambio. Il messaggio è stato individuato su Telegram, forum online e siti di condivisione di contenuti. Per ottenere il presunto beneficio, agli utenti viene chiesto di eseguire alcune operazioni nel browser. In realtà, queste azioni attivano un programma malevolo nascosto all’interno di documenti Google apparentemente innocui.

Una volta installato, il malware può alterare le informazioni visualizzate durante le transazioni in criptovalute, reindirizzando i fondi verso portafogli controllati dai criminali. Per rendere la truffa più credibile, gli attaccanti mostrano inoltre un falso bonus che induce le vittime a completare l’operazione.

Nel corso dell’indagine, Cisco Talos ha identificato 49 indirizzi Bitcoin collegati alla campagna. Almeno 24 di questi hanno ricevuto fondi sottratti alle vittime per un valore superiore a 10.000 dollari. Le somme sono state successivamente trasferite attraverso migliaia di altri indirizzi, rendendo più difficile seguirne le tracce.

Dopo la segnalazione di Cisco Talos a Google e alle piattaforme coinvolte, i contenuti utilizzati per attirare le vittime sono stati rimossi. Tuttavia, gli autori dell’attacco hanno ripreso l’attività nel giro di pochi giorni utilizzando nuovi documenti Google, che secondo i ricercatori sono rimasti online fino ad agosto nonostante ulteriori segnalazioni.

Una falsa verifica di Google per rubare password e prendere il controllo del computer

La seconda campagna è stata individuata nell’aprile 2026 a seguito di attività sospette rilevate presso un’organizzazione governativa ucraina. Secondo Cisco Talos, l’obiettivo degli attaccanti era probabilmente il furto di criptovalute e credenziali di accesso, più che l’organizzazione stessa. Dopo aver compromesso un sito web, i criminali utilizzano servizi online pubblici per nascondere e distribuire gli strumenti necessari all’attacco, rendendone più difficile il rilevamento e la rimozione. Le vittime visualizzano una falsa schermata di verifica Google, simile a quelle utilizzate per confermare di non essere un robot.

Seguendo le istruzioni, installano inconsapevolmente un malware in grado di rubare password, dati personali e informazioni conservate nei portafogli di criptovalute. Le conseguenze possono essere significative: oltre al furto di credenziali e dati sensibili, gli attaccanti possono assumere il controllo remoto del dispositivo compromesso e utilizzarlo per ulteriori attività criminali.

Come proteggersi

Le campagne analizzate non prendono necessariamente di mira un settore o una categoria specifica di organizzazioni. Tuttavia, le tecniche utilizzate possono essere facilmente adattate per colpire aziende, enti pubblici e utenti comuni.

“La lezione non è che bisogna diffidare di Google”, sottolinea Ghizzoni. “Oggi il fatto che un servizio sia affidabile non basta più a garantire che una richiesta sia sicura. È importante verificare che l’azione richiesta sia coerente con il contesto e con il normale utilizzo di quel servizio”.

Per ridurre i rischi, Cisco Talos raccomanda alle organizzazioni di monitorare con attenzione attività insolite legate ai servizi cloud e di verificare regolarmente i componenti e le estensioni utilizzati nei browser e nei siti web aziendali. Anche la consapevolezza degli utenti resta fondamentale. Una regola semplice può aiutare a prevenire molti di questi attacchi: nessun servizio legittimo dovrebbe chiedere di copiare e avviare un comando sul proprio computer per dimostrare di non essere un robot.