Apri il CRM aziendale come ogni mattina. La pagina di login è quella giusta — logo, colori, tutto al suo posto — ma prima di entrare compare una verifica: dimostra che non sei un robot. Le istruzioni sono insolite ma dettagliate: premi due tasti, incolla quello che è già negli appunti, dai invio. Lo fai in tre secondi. In quei tre secondi hai installato tu stesso il malware sul computer aziendale.
È il meccanismo di DOUBLECUP, un servizio criminale venduto in abbonamento ad altri criminali, analizzato dai ricercatori di SOCRadar e ripreso il 3 e 4 agosto da BleepingComputer e The Hacker News. Le campagne documentate imitano le pagine di accesso di Salesforce, HubSpot, Odoo e NetSuite: cioè gli strumenti dove una piccola impresa tiene l’anagrafica clienti, le trattative aperte e spesso la contabilità.
Perché l’antivirus non vede niente
Il punto che rende questa truffa diversa dalle altre è che non viene scaricato nessun file sospetto. Quando visiti il sito-esca, la pagina fa scaricare al browser un’immagine PNG apparentemente innocua, che finisce nella cache come qualunque logo o fotografia. Dentro quell’immagine è nascosto il codice.
Il comando che ti viene fatto incollare non va a prendere niente su internet: cerca quell’immagine già presente sul tuo computer e ne estrae il contenuto nascosto usando utility legittime di Windows, quelle che ogni sistema ha di serie. Da fuori, per un antivirus, sembra il computer che parla con sé stesso. Il passaggio successivo lavora direttamente in memoria, senza scrivere file sul disco, e costruisce la chiave di decifratura a partire dall’indirizzo IP pubblico della vittima — così lo stesso attacco analizzato altrove non si apre.
1) Il sito-esca fa mettere in cache al browser una PNG che contiene il codice: nessun download sospetto. 2) Il finto captcha ti fa incollare un comando gia' copiato negli appunti. 3) Il comando estrae il codice dall'immagine usando utility di sistema legittime. 4) Il secondo stadio lavora in memoria, senza file sul disco. In tutta la catena l'unica azione anomala l'hai fatta tu.
Alla fine della catena arrivano due cose: CountLoader, che raccoglie informazioni sul sistema, cerca portafogli di criptovalute e si assicura di ripartire a ogni riavvio, e DeviceManager, uno strumento di controllo remoto finora mai documentato, che maschera l’indirizzo del proprio server di comando appoggiandosi alla blockchain. Tradotto: qualcuno ha accesso al computer e sa come non farsi trovare.
Non è un attacco “da grandi aziende”
La tentazione è archiviarlo come roba per multinazionali. È vero il contrario. DOUBLECUP è venduto come servizio in abbonamento, con tanto di licenza e di strumento pronto per generare le campagne: significa che a usarlo non è un gruppo sofisticato con obiettivi selezionati, ma chiunque paghi la quota. E chi paga una quota punta al bersaglio più facile, non a quello più prestigioso.
Sono le pagine di login riprodotte nelle campagne documentate dai ricercatori, ma l'elenco puo' allargarsi: il servizio e' venduto in abbonamento e ogni cliente costruisce le proprie esche. Il servizio risulta operativo dall'inizio di giugno 2026.
Fonte: SOCRadar Threat Research Unit — agosto 2026
C’è anche un motivo pratico per cui il bersaglio CRM funziona bene: chi apre il gestionale clienti la mattina lo fa in fretta, spesso da un link in una email di notifica, e un passaggio di verifica in più non stupisce nessuno.
La regola, una sola, da dare a tutti
La buona notizia è che tutta questa ingegneria si ferma davanti a una frase, che non costa niente e che vale per l’intera famiglia di attacchi — quella che gli addetti chiamano ClickFix e che si presenta anche come finto aggiornamento di Windows o del browser:
Attorno a quella regola, tre abitudini che chiudono la porta prima ancora che si presenti. Il CRM si apre dal segnalibro, mai da un link ricevuto via email o chat: è la contromisura più efficace contro le finte pagine di login, perché il segnalibro non sbaglia dominio. L’autenticazione a più fattori va attiva su tutti gli account del gestionale, anche quelli dei collaboratori occasionali. E se in azienda nessuno usa PowerShell per lavorare, vale la pena chiedere al proprio consulente informatico di limitarne l’uso agli utenti normali: è una restrizione che quasi nessuna PMI nota, e che qui interrompe la catena al primo passo.
Una nota finale sul tono da tenere in ufficio. Chi cade in questa truffa non è distratto: sta facendo esattamente quello che la pagina gli dice di fare, su un sito che sembra il suo. Per questo la regola va data prima, scritta e condivisa, non dopo come rimprovero — altrimenti chi sbaglia non lo dice, e il tempo perso è la cosa che costa di più.
In breve
Un servizio criminale in abbonamento chiamato DOUBLECUP costruisce finte pagine di login di Salesforce, HubSpot, Odoo e NetSuite dove un falso captcha invita a incollare un comando: quel comando estrae il malware da un’immagine che il browser ha già messo in cache, usando strumenti legittimi di Windows, così l’antivirus non intercetta alcun download. Alla fine della catena arrivano un raccoglitore di dati e uno strumento di controllo remoto. Poiché l’attacco fa leva sul gesto della vittima, si neutralizza con una regola comportamentale a costo zero: nessun sito serio chiede mai di incollare un comando in Esegui o in PowerShell. Aggiungi l’accesso al gestionale solo dal segnalibro, l’autenticazione a più fattori su tutti gli account e, se in azienda non serve, la limitazione di PowerShell per gli utenti comuni.