Un annuncio su Google ha installato un trojan al posto di Claude
Un annuncio Google per «claude mac» reindirizza a un falso installer di Claude che diffonde il trojan PlugX, colpendo gli utenti AI.
Catena di reindirizzamenti da annuncio Google a Bing colpisce 290 milioni di utenti mensili.
La scena è di una banalità quasi imbarazzante. Hai bisogno di Claude per Mac. Scrivi «claude mac» nella barra di ricerca. Il primo link sembra quello giusto, magari con la spunta «Sponsorizzato» accanto. Clicchi. Per una frazione di secondo pensi di essere capitato nel posto sbagliato: la pagina che si apre è Bing, non Anthropic. Poi un salto su un negozio online compromesso. E alla fine, quasi senza accorgertene, stai scaricando un installer che non c’entra nulla con Claude. È un trojan. E ti sta già guardando. Questa sequenza — che sembra un incubo da sviluppatore — è esattamente ciò che hanno ricostruito i ricercatori di Push Security in un’analisi pubblicata nei giorni scorsi.
E la domanda che resta sospesa è una sola: com’è possibile che un semplice clic su un annuncio finisca per installare uno spyware?
La catena che trasforma una ricerca in sorveglianza
La risposta è in una catena di reindirizzamenti costruita per confondere i sistemi di controllo. L’attacco parte da un annuncio Google per «claude mac» che non porta alla pagina dell’app, ma a una pagina di risultati di Bing. Il link di Bing, spiegano i ricercatori, conteneva un timestamp che una volta decodificato rimanda al 5 ottobre 2026: molto probabilmente il giorno in cui Bing lo ha generato. Da lì il percorso continua: un sito retail compromesso fa da ponte verso il falso installer di Claude. Ogni salto serve a rendere meno visibile la destinazione finale.
La portata del fenomeno è molto più ampia di un singolo episodio. Secondo i dati raccolti da Push Security, quattro attacchi ClickFix su cinque — incluse le varianti InstallFix e LLMshare — raggiungono le vittime attraverso i motori di ricerca. E non è una novità: già a marzo 2026, Bitdefender aveva documentato una campagna di malvertising su Google Ads che impersonava proprio Claude di Anthropic. Tra febbraio 2025 e marzo 2026, secondo l’analisi di Pillar Security, almeno 20 campagne malware distinte hanno preso di mira specificamente i tool di AI e di vibe coding. I bersagli coprono l’intero spettro del mondo degli strumenti per sviluppatori: editor di codice come Cursor e Claude Code, agenti AI come OpenClaw, le principali piattaforme di modelli di linguaggio — ChatGPT, DeepSeek, Grok — estensioni browser, generatori video come Luma AI e Kling AI, e strumenti business come NovaLeads AI e InVideo AI.
Il carico utile, però, è ciò che fa paura davvero. Sul sito falso che impersona Claude, l’installer scaricato non è un’app: è un veicolo per PlugX, un malware che apre un canale di accesso remoto al computer della vittima. La campagna si chiama InstallFix — o Fake Claude Installer — e secondo l’analisi di Trend Micro rappresenta un’evoluzione pericolosa nell’ingegneria sociale, perché sfrutta la fiducia nelle piattaforme AI legittime per distribuire malware di spionaggio legato a stati nazionali. Il bacino potenziale è enorme: secondo Push Security, queste campagne di finti installer di Claude consegnano malware di spionaggio a una base di circa 290 milioni di utenti mensili di Claude.
E Google? Il colosso di Mountain View non sta a guardare. Nel 2025, il report annuale sulla sicurezza degli annunci di Google racconta di oltre 8,3 miliardi di annunci bloccati o rimossi e 24,9 milioni di account sospesi, di cui 602 milioni di annunci e 4 milioni di account legati a truffe. Numeri enormi. Eppure l’attacco ricostruito da Push Security è passato lo stesso. Perché gli attaccanti, come spiega il team di cloud intelligence di Google, usano tecniche sofisticate — impersonificazione di aziende autentiche, cloaking (nascondere la pagina malevola e mostrarla solo in condizioni specifiche) e reindirizzamenti a catena — per aggirare i meccanismi di verifica e difesa. La rete è più ampia di quanto sembri: secondo Cloudflare, link incapsulati da strumenti di sicurezza venivano inviati attraverso caselle email compromesse e poi riutilizzati, facendo arrivare l’URL di phishing sul dominio di un fornitore di sicurezza. E già nel 2020, documentava Proofpoint, link su login.microsoftonline.com omettevano deliberatamente il parametro response_type per far sì che Microsoft reindirizzasse le vittime alla pagina di phishing dell’app.
La prossima ricerca potresti farla tu
Il punto scomodo è questo: non serve essere un bersaglio sensibile per finire nella rete. Basta avere bisogno di un tool per lavorare. Chi sviluppa codice, chi crea contenuti, chiunque apra ChatGPT o Cursor ogni giorno è già un potenziale bersaglio, perché gli attaccanti sanno che quelle ricerche sono frequenti, distratte e piene di fiducia nel brand.
Cosa puoi fare, in pratica? Prima di tutto: diffida del primo link, anche se sponsorizzato. Controlla l’URL prima di scaricare. Se un sito ti chiede di installare un’app che non ricordi di aver cercato, fermati. E tieni d’occhio il percorso del click: se una ricerca su Google ti fa atterrare su Bing, qualcosa non torna.
Ma la difesa non può restare solo un problema individuale. Le piattaforme pubblicitarie bloccano miliardi di annunci ogni anno, eppure la catena descritta da Push Security è riuscita a passare. Il motivo è semplice: la fiducia nel brand — Claude, Cursor, ChatGPT — è diventata il vettore d’attacco più redditizio. E finché quella fiducia non verrà protetta come si deve, toccherà a noi fare il primo filtro.
La prossima volta che cerchi un tool AI, fermati un secondo. Il link sponsorizzato potrebbe non essere quello che sembra. La difesa non può più essere solo reattiva, e la caccia a Claude, Cursor o ChatGPT è diventata il nuovo campo minato.
