Nel mondo della cyber security, siamo abituati a pensare all’intelligenza artificiale come a un potente alleato per la difesa aziendale.
Tuttavia, recenti indagini di Barracuda Networks hanno portato alla luce un cambio di paradigma allarmante: i criminali informatici stanno iniziando a considerare l’AI non solo come un ostacolo da aggirare, ma come un vero e proprio bersaglio da manipolare.
E, per rendere i loro attacchi ancora più efficaci, stanno trasformando in armi attive anche i vecchi strumenti di sicurezza, come i tradizionali CAPTCHA.
Indice degli argomenti
L’ascesa delle e-mail dual-target: a doppio bersaglio
Oggi ci troviamo di fronte a una nuova generazione di minacce che definiamo “dual-target”, ossia a doppio bersaglio.
Analizzando i recenti flussi di attacco, abbiamo osservato come una singola e-mail possa ormai veicolare due offensive separate e simultanee all’interno dello stesso messaggio, spesso mascherandosi dietro comunicazioni apparentemente ordinarie e provenienti da domini pubblici o affidabili per eludere i controlli di reputazione.
Il primo livello è quello visibile: sfrutta la classica ingegneria sociale per ingannare il destinatario umano, inducendolo ad aprire un allegato dannoso protetto da password, con la chiave d’accesso indicata comodamente nel testo stesso per creare un deliberato punto cieco nelle scansioni di sicurezza automatiche.
Se l’utente ignora la comunicazione, entra in gioco il secondo livello: del tutto invisibile all’occhio umano, questo vettore mira dritto agli assistenti basati sull’AI, che sempre più aziende utilizzano per leggere, riassumere, categorizzare la posta o supportare i processi decisionali.
Attraverso attacchi di prompt injection, gli aggressori nascondono istruzioni destinate ai sistemi AI utilizzando commenti HTML, font di dimensione zero, testo bianco, caratteri Unicode a larghezza zero o frammenti codificati in Base64.
Le conseguenze di questa manipolazione possono essere devastanti. Nelle nostre analisi abbiamo individuato casi in cui l’AI viene forzata ad aggiungere un falso flag di “alta priorità” a una richiesta, spingendo un dipendente ad aggiornare frettolosamente i dettagli di pagamento di un fornitore e concretizzando così una frode finanziaria.
Altri abusi degli assistenti AI
In altri scenari, queste istruzioni occulte ingannano i sistemi di screening automatico dei curriculum, obbligandoli ad assegnare il massimo dei voti a candidati non qualificati e a raccomandarli per un colloquio, prendono di mira i chatbot aziendali simulando falsi comandi di manutenzione per estrarre configurazioni e dati riservati, o arrivano a istruire gli assistenti di programmazione affinché inseriscano occultamente stringhe di codice per il furto di credenziali ogniqualvolta generano funzioni di autenticazione.
Mentre gli assistenti AI diventano parte integrante dell’operatività quotidiana, emerge dunque una nuova urgenza: non possiamo più limitarci a proteggere le caselle di posta degli utenti, ma dobbiamo blindare i sistemi AI stessi che consumano ed elaborano i dati aziendali, assicurando il principio fondamentale per cui qualsiasi input esterno deve rimanere un dato passivo e non trasformarsi mai in un’istruzione esecutiva.
Il paradosso dei CAPTCHA trasformati in esche
Se da un lato i cybercriminali guardano al futuro prendendo di mira l’AI, dall’altro stanno reinventando gli strumenti del passato.
Il CAPTCHA, nato per distinguere gli umani dai bot e da sempre associato a un senso di affidabilità, si sta evolvendo in una vera e propria trappola. Secondo i dati Barracuda, nel corso del 2025 ben il 43% degli attacchi basati su kit di phishing ha abusato di questi sistemi di verifica.
Oggi i finti CAPTCHA non servono più solo a bloccare gli scanner di sicurezza o gli ambienti sandbox automatizzati – che non sono in grado di risolvere la sfida visiva – ma diventano lo strumento per abilitare direttamente l’infezione o imbastire catene di fiducia multi-brand (simulando ambienti familiari come Adobe e Microsoft 365), con pagine dinamiche che possono persino autodistruggersi o scadere dopo la visualizzazione per ostacolare l’analisi forense.
Stiamo assistendo a una preoccupante impennata di attacchi ClickFix, in cui il falso CAPTCHA diventa interattivo e malevolo.
A un utente può essere richiesto di cliccare su una casella di verifica che, in modo occulto, copia un comando dannoso negli appunti del dispositivo.
La pagina, spesso simulando falsi errori del browser, anteprime di documenti non riuscite, problemi con le riunioni o finti avvisi di aggiornamento software, guida poi la vittima ad aprire uno strumento di sistema (come la finestra “Esegui” di Windows), incollare il contenuto e premere Invio.
Creando un problema e fornendo la presunta soluzione, è la vittima stessa ad avviare inconsapevolmente l’infezione, aggirando le difese perimetrali.
In alcune delle varianti più aggressive che abbiamo isolato, basta un semplice movimento del mouse sulla pagina per far copiare il codice nascosto.
Ripensare le difese
Le finte pagine di verifica stanno diventando graficamente ineccepibili, spesso sviluppate con strumenti no-code, ma la regola d’oro per riconoscerle rimane sempre valida.
Un CAPTCHA legittimo, infatti, non chiederà mai a un utente di eseguire comandi di sistema, installare software, abilitare notifiche del browser o fornire password e codici monouso.
Per far fronte a un panorama in cui le minacce colpiscono simultaneamente l’intelligenza umana e quella artificiale, la strada più efficace è un approccio di sicurezza a più livelli.
Le organizzazioni devono investire nella formazione continua del personale per renderlo capace di cogliere le anomalie e mantenere procedure di approvazione umana imprescindibili per le transazioni finanziarie.
Sul piano tecnologico, occorre affiancare all’autenticazione a più fattori (MFA) difese specifiche per l’AI – come la sanificazione degli input, il sandboxing dei modelli e il rilevamento preventivo delle prompt injection – insieme a una protezione email in grado di analizzare in profondità gli URL e avvalersi di threat intelligence in tempo reale per rilevare le invisibili infrastrutture di attacco nascoste dietro a un’email apparentemente innocua.
Partecipa alla community