Un finto controllo di sicurezza può trasformarsi nel furto completo di password, cookie, portafogli digitali e dati personali salvati sul Mac. È quello che fa ClickLock Stealer, un nuovo malware scoperto dai ricercatori di Group-IB e già in circolazione in decine di Paesi e che per noi Italiani è particolarmente: il nostro paese è il più colpito al mondo.
La particolarità dell’attacco è che non sfrutta falle sofisticate di macOS ma l’ingegneria sociale. Il malware non ha bisogno di prendere il controllo del Mac attraverso una vulnerabilità: sfrutta soprattutto la fiducia dell’utente e la pressione psicologica. È questo a renderlo particolarmente pericoloso.
Come abbiamo spiegato nella nostra guida dedicata agli antivirus e alla sicurezza del Mac, in molti casi la prima protezione è proprio l’attenzione dell’utente davanti a richieste insolite di password, autorizzazioni o installazioni.
Tutto comincia quando l’utente viene convinto a copiare un comando da una pagina web e a incollarlo nel Terminale del Mac.
Il falso controllo Cloudflare
La trappola può comparire sotto forma di una finta verifica del browser o di un controllo Cloudflare. La pagina invita l’utente ad aprire il Terminale, incollare un comando e avviarlo per dimostrare di non essere un robot.
In realtà, quel comando scarica il malware. Sullo schermo compare persino una falsa barra di caricamento che imita una normale verifica di sicurezza, mentre in sottofondo vengono installati i componenti necessari per rubare i dati.
Group-IB ritiene che la diffusione avvenga proprio attraverso pagine costruite per sembrare controlli legittimi, anche se il percorso esatto con cui le vittime vengono attirate non è stato ancora ricostruito.
Proprio per contrastare questa tecnica, macOS 26.4 mostra un avviso quando si tenta di incollare nel Terminale un comando potenzialmente pericoloso, soprattutto quando proviene da un sito web, da una chat o da un messaggio.
Se non date la password, il Mac diventa inutilizzabile
Dopo l’avvio compare una richiesta della password del Mac. Se l’utente rifiuta, ClickLock passa alle maniere forti: chiude continuamente le applicazioni aperte e impedisce di usare normalmente il computer.
Il risultato è un Mac praticamente bloccato, con la finestra della password sempre in primo piano. Il malware prova così a sfinire la vittima e a convincerla a cedere.
Una volta ottenuta la password, compare anche una vera richiesta di macOS per accedere al Portachiavi. Se l’utente autorizza l’operazione, gli aggressori possono recuperare la chiave usata da Chrome per proteggere password e cookie salvati.
Cosa può rubare ClickLock
Una volta entrato in azione, il malware cerca praticamente tutto ciò che può avere valore:
- password salvate nei browser;
- dati del Portachiavi di macOS;
- cookie e sessioni già aperte;
- dati dei password manager;
- portafogli di criptovalute;
- cronologia dei comandi e credenziali FTP.
I dati vengono poi raccolti e inviati agli aggressori attraverso Telegram. E, come se questo non bastasse, ClickLock installa anche una backdoor nascosta, camuffata da processo di iCloud, che consente di mantenere l’accesso al Mac anche in seguito.
Secondo Group-IB, la campagna sarebbe attiva da maggio 2026 e avrebbe già colpito almeno 100 persone in 33 Paesi. Più della metà delle vittime individuate si trova in Europa, a conferma di come il Vecchio Continente sia uno dei principali bersagli dell’operazione.
Il dato più preoccupante per noi è però quello relativo all’Italia, che guida la classifica dei Paesi più colpiti con una quota vicina al 20% dei casi osservati. Significa che quasi una vittima su cinque tra quelle identificate dai ricercatori è italiana. Seguono gli Stati Uniti, con poco più del 14%, mentre Giordania e Regno Unito si fermano intorno al 12%. Più distaccata la Spagna, poco sotto il 10%.
La distribuzione geografica suggerisce una campagna organizzata su larga scala e non un attacco limitato a una singola area o a un gruppo ristretto di utenti. La forte presenza di vittime italiane rende quindi ClickLock una minaccia particolarmente concreta anche per chi usa il Mac nel nostro Paese.
ClickLock non è l’unica minaccia pensata per i computer Apple. Negli ultimi anni sono state scoperte nuove varianti di malware capaci di colpire anche macOS, ma in questo caso l’attacco è particolarmente subdolo perché è l’utente stesso ad avviare il comando dannoso.
La regola da ricordare
Nessun sito legittimo chiede di copiare e incollare un comando nel Terminale per verificare l’identità dell’utente. Cloudflare, Google e gli altri servizi effettuano i controlli direttamente nel browser.
Se una pagina chiede di aprire il Terminale, incollare un comando o concedere permessi insoliti, la cosa più sicura da fare è chiuderla immediatamente.
Chi pensa di essere caduto nella trappola dovrebbe cambiare subito tutte le password salvate, disconnettere le sessioni aperte nei browser e considerare compromessi anche cookie, wallet e password manager.
Group-IB consiglia inoltre di non inserire la password se il Mac inizia improvvisamente a chiudere tutte le applicazioni e mostra richieste mai avviate dall’utente. In quel caso è preferibile spegnere forzatamente il computer e riavviarlo in modalità sicura per effettuare i controlli necessari.
