Browser bloccato e falso virus: la truffa che sfrutta Google Ads

Una pubblicità apparentemente normale può trasformarsi in un falso allarme antivirus capace di far sembrare inutilizzabile un computer.

La campagna analizzata da Netskope Threat Labs sfrutta annunci Google per indirizzare gli utenti verso una pagina che simula un’infezione su Windows o macOS e li invita a chiamare un numero di assistenza.

L’operazione è un esempio di tech support scam: non punta necessariamente a installare un programma, ma a convincere la vittima che il dispositivo sia compromesso. La tecnica combina interfacce contraffatte, codice cifrato e controlli pensati per distinguere una persona da strumenti automatici di analisi. Il risultato è una truffa costruita per sfruttare paura, urgenza e scarsa familiarità con il funzionamento del browser.

Come funziona il falso blocco del browser

La sequenza osservata da Netskope inizia con una pagina di caricamento che conduce a un falso negozio online. La parte fraudolenta entra in funzione soltanto dopo un movimento del mouse, una condizione che può ostacolare crawler e sistemi automatici incapaci di simulare l’interazione. A quel punto il codice esegue due fasi di decrittazione AES: la prima recupera l’indirizzo del server di comando e controllo, la seconda decifra il contenuto destinato al dispositivo.

Il payload non viene presentato come un normale file scaricato. Viene ricostruito direttamente nella memoria del browser e adattato al sistema operativo rilevato. Su Windows la schermata imita Microsoft Defender; su macOS riproduce invece elementi grafici associati ad Apple. La pagina utilizza quindi requestFullscreen() per occupare lo schermo, nasconde il cursore e intercetta alcune scorciatoie della tastiera. Anche il rallentamento artificiale del browser e i suoni di allarme contribuiscono a rendere credibile l’ipotesi di un guasto.

La schermata non blocca realmente il computer. Il suo scopo è creare una situazione nella quale l’utente ritenga necessario seguire le istruzioni mostrate. Il numero telefonico porta infatti verso il presunto supporto tecnico, dove i truffatori possono chiedere denaro, accesso remoto o raccogliere informazioni personali e finanziarie. La differenza rispetto a un’infezione tradizionale è sostanziale: il componente più importante dell’attacco è la manipolazione della percezione della vittima.

La pubblicità amplia la portata della campagna

Netskope ha osservato la distribuzione tra il 31 agosto e il 14 settembre 2026, con più di 250 identificativi di campagne Google Ads collegati ad almeno 284 siti legittimi. Tra questi figuravano servizi dedicati a mappe, meteo, immobili, documenti e sport; i siti editoriali coinvolti non risultavano compromessi, perché il contenuto fraudolento arrivava attraverso la normale infrastruttura pubblicitaria.

La distribuzione geografica rilevata assegna agli Stati Uniti circa il 62% delle organizzazioni osservate, mentre Giappone e Australia rappresentano rispettivamente il 16% e il 14%. Questi numeri descrivono la visibilità della rete Netskope e non il totale degli utenti esposti sul Web. Google ha dichiarato di avere tolleranza zero verso le truffe e di stare indagando sulle campagne, senza spiegare quali controlli abbiano consentito agli annunci di superare i propri sistemi di rilevamento.

Per chi incontra una schermata di questo tipo, il segnale più importante è la richiesta di telefonare a un numero per risolvere una presunta infezione. Non bisogna seguire l’indicazione né concedere accesso remoto.

Se il browser sembra bloccato, tenere premuto Esc può consentire di uscire dalla modalità a schermo intero; in alternativa si può chiudere il browser tramite gli strumenti del sistema operativo. La vicenda evidenzia un problema più ampio: la sicurezza della navigazione dipende anche dalla capacità di distinguere un’interfaccia autentica da una simulazione costruita con codice perfettamente funzionante.