I link di Claude possono nascondere malware

La campagna sfrutta account Google Ads compromessi e pagine false che imitano chat di Claude

Ieri, un rapporto di BleepingComputer ha documentato una campagna malvertising in cui gli attaccanti abusano di Google Ads e di chat condivise legittime di Claude.ai per distribuire malware su Mac. La campagna, soprannominata “Claude Fraud” in un’analisi di 7ai.com, sfrutta la fiducia che gli sviluppatori ripongono nei link generati dall’intelligenza artificiale. Il malware non è generico: prima di rilasciare il payload, lo script raccoglie l’IP esterno, l’hostname, la versione del sistema operativo e l’impostazione della lingua della tastiera della vittima, trasmettendo tutto all’attaccante. Una profilazione in tempo reale che trasforma un gesto di condivisione in un’infezione su misura.

Il paradosso del link condiviso

L’attacco inizia con un annuncio sponsorizzato su Google per query macOS comuni – Homebrew, strumenti DNS, analisi dello spazio su disco – acquistato da account Google Ads legittimi compromessi, come spiega il report di Anvilogic sulla campagna. Cliccando sull’inserzione si approda a una pagina falsa che imita l’interfaccia di una chat condivisa di Claude. All’utente viene chiesto di eseguire un comando Shell per “risolvere” un finto problema – un classico esempio della tecnica ClickFix. La richiesta appare come un normale passaggio di verifica o di installazione, ma in realtà il comando scarica ed esegue un infostealer. Il paradosso è evidente: lo stesso strumento che gli sviluppatori usano per aumentare la produttività diventa il cavallo di Troia.

La campagna è attivamente mantenuta. Quando il vettore originale – l’artefatto condiviso su claude.ai – è stato rimosso, gli operatori hanno immediatamente distribuito una pagina falsa ospitata su Squarespace all’interno della stessa campagna pubblicitaria. Una resilienza che mostra come gli attaccanti siano in grado di adattarsi in tempo reale, cambiando infrastruttura senza interrompere la distribuzione del malware.

ClickFix e la fiducia tradita

La tecnica ClickFix non è nuova, ma la sua diffusione sta accelerando. Secondo una ricerca della Cloud Security Alliance, le rilevazioni di ClickFix sono aumentate di oltre il 500% tra il 2024 e il 2025. La tecnica – che induce gli utenti a eseguire comandi shell malevoli mascherandoli da contenuti tecnici legittimi, come guide di installazione, verifica CAPTCHA o documentazione generata dall’IA – si è rivelata particolarmente efficace contro chi usa strumenti di AI coding. Tra novembre 2025 e febbraio 2026, tre campagne documentate hanno distribuito l’infostealer MacSync impersonando OpenAI Atlas, ChatGPT e Anthropic Claude Code. L’ironia è amara: gli sviluppatori che adottano strumenti di produttività basati sull’IA diventano il bersaglio privilegiato di attacchi che sfruttano proprio quei brand.

La campagna Claude Fraud non si ferma alla pubblicità ingannevole: utilizza molteplici vettori, tra cui annunci Google, pagine di destinazione false ed estensioni VS Code trojanizzate. La fiducia nei confronti di un account pubblicitario popolare o di un’estensione con molti download non è un indicatore affidabile di sicurezza. Il vero problema, per chi deve allocare budget e valutare rischi, è che le metriche tradizionali di engagement – impression, click, download – non catturano la malevolenza di una catena di distribuzione.

La domanda che resta: cosa misuriamo?

Dietro la tecnica si nasconde un problema di misurazione. I numeri di download di un’estensione VS Code o la popolarità di un account pubblicitario su Google dicono poco sulla loro affidabilità. In questa campagna, gli attaccanti hanno compromesso account Google Ads legittimi – probabilmente con una buona cronologia di spesa e punteggi di qualità elevati – per acquistare annunci. Le metriche di performance pubblicitaria (CTR, tasso di conversione) non avrebbero segnalato nulla di anomalo fino al momento del click. Anche dopo, la pagina di destinazione sembrava autentica. La profilazione in tempo reale del malware aggiunge un ulteriore livello di opacità: l’attaccante decide se rilasciare o meno il payload in base ai dati raccolti, rendendo l’infezione ancora più difficile da rilevare a posteriori.

Per chi opera nella misurazione del marketing o nella valutazione del rischio tecnologico, la domanda è aperta: quali metriche possono anticipare una minaccia che si annida nella fiducia tra sviluppatori e strumenti AI? I modelli di attribuzione tradizionali – last-click, multi-touch – non sono progettati per discriminare un annuncio legittimo da uno malevolo. I test geo e gli holdout possono aiutare a isolare l’incrementalità, ma non a rilevare l’intento malevolo. Forse serve un cambio di paradigma: non più solo misurare l’engagement, ma tracciare la filiera di fiducia – da chi pubblica un annuncio a chi ospita una pagina, fino a chi distribuisce un’estensione. E, come in ogni buona misurazione, essere onesti sui limiti: i dati disponibili oggi non permettono ancora di rispondere pienamente a questa domanda.

Il vero pericolo della campagna Claude Fraud non è solo il malware che consegna, ma la nostra incapacità di misurare l’affidabilità delle catene di distribuzione basate sulla fiducia. Fino a quando le metriche di engagement continueranno a essere il principale indicatore di qualità, la porta d’ingresso per attacchi come questo resterà spalancata.