Tutti conosciamo cos’è un Captcha, nelle sue varie forme, test o strumento più o meno elaborato che compare quando si richiede l’accesso a un servizio o si registra un account, per dimostrare che si è un essere umano e non un bot. Lo scopo dei captcha (l’acronimo sta per Completely Automated Public Turing test to tell Computers and Humans Apart) è quindi verificare che chi sta interagendo con una pagina è una persona e non uno script automatizzato: si tratta pertanto di strumenti di sicurezza volti a proteggere i siti web da spam e dalla creazione di falsi account. I cybercriminali ricorrono quindi all’impiego di falsi Captcha per sottrarre dati e indurre gli utenti a scaricare malware, sfruttando proprio la fiducia che questi accordano a quello che viene abitualmente accettato come un test di verifica legittimo. Si tratta di una tecnica particolarmente efficace, perché sfrutta una fiducia già consolidata, trasformando uno strumento di difesa in un vettore di attacco. È inoltre poco costosa per gli hacker: realizzare questo tipo di truffe non richiede infatti competenze tecniche particolarmente avanzate. Grazie alla disponibilità di kit di Malware-as-a-Service, gli attori malevoli possono acquistare facilmente script già pronti e servizi di hosting, così da mettere in atto l’attacco con un investimento contenuto.
E’ però possibile distinguere un Captcha autentico da un falso Captcha. I Captcha normalmente richiedono di eseguire azioni molto semplici, come digitare una serie di caratteri distorti o risolvere semplici task, come cliccare su una griglia di immagini dove compaiono biciclette, semafori o strisce pedonali. Task che a volte diventano irritanti o tediosi, per cui esiste anche una forma evoluta chiamata reCaptcha, sviluppata da Google e che appare come una semplice casella di controllo da flaggare, con la dicitura ‘Non sono un robot’. Questo sistema analizza in pratica in maniera discreta le abitudini di navigazione dell’utente, riuscendo a determinare se si tratta di una persona o di un bot. Ebbene, i falsi Captcha possono essere facilmente riconosciuti in quanto richiedono l’esecuzione di istruzioni insolite, che devono fare insospettire l’utente, chiedendo ad esempio di scaricare un file per completare l’azione di verifica, oppure di aprire strumenti di sistema e inserire comandi, che possono in questo modo scaricare e avviare malware a insaputa dell’utente. I falsi Captcha possono inoltre comparire all’interno di finestre pop-up sospette, modalità che non è normalmente impiegata con i normali Captcha, solitamente integrati nelle pagine web. In questo modo gli hacker possono raccogliere dati, rubare password e credenziali di accesso, installare programmi per il controllo remoto e software dannoso, progettato per spiare l’utente o prendere il controllo del sistema. Questi strumenti permettono agli attaccanti di esplorare i file o creare delle backdoor, instaurando forme di permanenza per compromettere la postazione di lavoro e in seguito (potenzialmente) anche l’intera rete aziendale.
Muoversi online con prudenza è quindi la prima misura di sicurezza da adottare per difendersi con consapevolezza dai falsi Captcha: insospettirsi in caso di richieste insolite con istruzioni che includono azioni come l’apertura di strumenti di sistema, download di file ed esecuzione di comandi. In tal caso, controllare e verificare l’indirizzo del sito, e diffidare nel caso il Captcha compaia in una finestra pop-up. E’ poi possibile difendersi impiegando una varietà di strumenti di sicurezza che proteggono i dispositivi: protezioni tecniche che includono antivirus / anti malware / EDR aggiornati, strumenti di sicurezza in grado di analizzare le pagine alla ricerca di script sospetti, mentre alcuni browser offrono già una protezione integrata contro il codice dannoso. Ulteriori misure di sicurezza informatica che è opportuno implementare includono quindi il monitoraggio degli accessi e la limitazione dei privilegi, così come ad esempio disabilitare la finestra di dialogo Esegui di Windows su PC condivisi, impedendo così agli aggressori di sfruttarla in maniera illecita.
Qualora si sia invece caduti nella trappola di un falso Captcha, e quindi nell’esecuzione di comandi sospetti, è importante avviare tempestivamente una serie di azioni, agendo rapidamente per bloccare un’infezione prima che questa si diffonda, o comunque limitare i danni nel caso il malware sia già stato avviato. Occorre pertanto chiudere immediatamente la scheda del browser e disconnettere il dispositivo da Internet, informando immediatamente il team di sicurezza. Eseguire quindi una scansione completa con un software antivirus o anti-malware, e se il falso Captcha ha richiesto lo scaricamento di un file, eliminarlo immediatamente, svuotando anche il cestino per rimuoverlo in via definitiva. Quindi, pulire il browser eliminando cache e cookie, rimuovendo eventuali estensioni sconosciute. Una volta che il sistema è stato opportunamente ripulito, procedere alla modifica delle password degli account più sensibili, utilizzando un altro dispositivo sicuro. Infine, monitorare continuamente gli account nelle settimane successive, controllando accessi sospetti e attività insolite.