L’ecosistema Apple continua a essere nel mirino dei criminali informatici. Una nuova campagna malware, denominata ClickLock Stealer, sta prendendo di mira gli utenti Mac attraverso una sofisticata tecnica di ingegneria sociale, senza sfruttare vulnerabilità di macOS. Secondo le analisi dei ricercatori di Group-IB, l’Italia è attualmente il Paese con il maggior numero di vittime identificate, rendendo la minaccia particolarmente rilevante anche per chi utilizza un Mac nel nostro Paese.
Come funziona ClickLock Stealer
A differenza dei malware tradizionali, ClickLock Stealer non si basa su falle del sistema operativo, ma punta sulla fiducia dell’utente. L’attacco convince infatti la vittima a eseguire volontariamente un comando nel Terminale di macOS, facendo credere che si tratti di una normale procedura di verifica della sicurezza.
Proprio questo approccio rende il malware particolarmente insidioso: il sistema non viene violato attraverso exploit tecnici, ma tramite manipolazione psicologica e richieste apparentemente legittime.
Il falso controllo Cloudflare che inganna gli utenti
Una verifica di sicurezza solo in apparenza
La trappola si presenta generalmente sotto forma di una falsa verifica del browser o di un presunto controllo Cloudflare. La pagina invita l’utente ad aprire il Terminale, incollare un comando e avviarlo per dimostrare di non essere un robot.
In realtà, il comando scarica e installa il malware sul computer. Durante l’operazione viene mostrata anche una falsa barra di caricamento che simula una normale verifica di sicurezza, mentre in background vengono installati i componenti necessari per sottrarre dati sensibili.
Secondo Group-IB, la campagna sfrutta pagine web progettate per apparire autentiche, anche se non è stato ancora ricostruito con precisione il percorso che porta le vittime a raggiungerle.
Per limitare questo tipo di attacchi, macOS 26.4 introduce un avviso di sicurezza quando un utente tenta di incollare nel Terminale un comando proveniente da un sito web, da una chat o da un messaggio e potenzialmente pericoloso.
Cosa succede se si rifiuta di inserire la password
Dopo l’esecuzione del comando compare una richiesta della password di macOS.
Se l’utente decide di non inserirla, ClickLock Stealer mette in atto una forma di pressione psicologica: chiude ripetutamente le applicazioni aperte e impedisce il normale utilizzo del computer.
Il risultato è un Mac quasi inutilizzabile, con la finestra della richiesta della password costantemente in primo piano, nel tentativo di convincere la vittima a cedere.
Una volta ottenuta la password, viene visualizzata anche una richiesta autentica di macOS per consentire l’accesso al Portachiavi. Se l’utente concede l’autorizzazione, gli aggressori possono recuperare la chiave utilizzata da Google Chrome per proteggere password e cookie memorizzati.
Quali dati può sottrarre il malware
Password, wallet e dati personali tra gli obiettivi
Una volta installato, ClickLock Stealer cerca di raccogliere numerose informazioni sensibili, tra cui:
- password salvate nei browser;
- dati archiviati nel Portachiavi di macOS;
- cookie e sessioni di navigazione già attive;
- credenziali conservate nei password manager;
- portafogli di criptovalute;
- cronologia dei comandi del Terminale;
- credenziali FTP.
I dati raccolti vengono successivamente inviati agli aggressori attraverso Telegram.
Il malware installa inoltre una backdoor nascosta, mascherata da processo di iCloud, che consente agli autori dell’attacco di mantenere l’accesso al Mac anche dopo il furto iniziale delle informazioni.
L’Italia è il Paese più colpito
Secondo Group-IB, la campagna è attiva almeno da maggio 2026 e ha già compromesso almeno 100 utenti distribuiti in 33 Paesi.
Oltre la metà delle vittime individuate si trova in Europa, confermando come il continente rappresenti uno dei principali obiettivi della campagna.
Il dato che desta maggiore preoccupazione riguarda però l’Italia, che registra circa il 20% dei casi osservati. In pratica, quasi una vittima su cinque tra quelle identificate dai ricercatori è italiana.
Seguono gli Stati Uniti con poco più del 14% dei casi, mentre Giordania e Regno Unito si attestano intorno al 12%. La Spagna si colloca poco al di sotto del 10%.
La distribuzione geografica suggerisce un’operazione organizzata su larga scala e non limitata a una singola area geografica, rendendo il rischio concreto anche per gli utenti italiani.
Come proteggersi da ClickLock Stealer
La regola fondamentale da ricordare
Gli esperti di sicurezza ribadiscono un principio semplice ma fondamentale: nessun servizio legittimo chiede di copiare e incollare comandi nel Terminale per verificare l’identità dell’utente.
Piattaforme come Cloudflare, Google e altri servizi effettuano infatti le verifiche direttamente all’interno del browser, senza richiedere operazioni manuali nel Terminale.
Se una pagina web invita ad aprire il Terminale, eseguire un comando o concedere autorizzazioni insolite, è consigliabile chiuderla immediatamente senza procedere.
Chi sospetta di essere stato compromesso dovrebbe cambiare tempestivamente tutte le password salvate, disconnettere le sessioni aperte nei browser e considerare compromessi anche cookie, wallet digitali e password manager.
Group-IB raccomanda inoltre di non inserire la password qualora il Mac inizi improvvisamente a chiudere tutte le applicazioni e mostri richieste inattese. In queste circostanze è preferibile spegnere forzatamente il computer, riavviarlo in modalità sicura ed eseguire le verifiche necessarie prima di tornare a utilizzare il sistema.
Conclusione
ClickLock Stealer dimostra come le moderne campagne malware facciano sempre più leva sull’errore umano anziché su vulnerabilità tecniche. Con l’Italia al primo posto tra i Paesi maggiormente colpiti, prestare attenzione a richieste insolite, soprattutto quelle che invitano a utilizzare il Terminale, rappresenta oggi una delle misure di difesa più efficaci per proteggere dati personali e dispositivi Apple.
Elena Ferrante scrive per SanSevero.TV occupandosi di attualità, politica, economia, tecnologia, sport, intrattenimento e lifestyle. Si dedica a offrire informazioni chiare e utili, raccontando eventi e temi di interesse con un approccio accessibile, equilibrato e orientato ai lettori.