Il recente attacco da 6,34 miliardi di dollari ai danni di Binance non è nato in un angolo remoto del web, ma da un annuncio sponsorizzato in cima ai risultati di Google. La tecnica si chiama malvertising (pubblicità malevola) e sfrutta la fiducia degli utenti nei motori di ricerca per distribuire software infetto. Il caso è emblematico: un ingegnere ha scaricato una versione manomessa di Homebrew, popolare gestore di pacchetti per macOS e Linux, dopo aver cercato su Google uno strumento di intelligenza artificiale. L'annuncio portava a una copia infetta con MacSync Stealer, malware che ruba credenziali e dati sensibili.
Perché gli annunci truccati funzionano
Homebrew non acquista spazi pubblicitari e nella sua documentazione avverte che qualsiasi risultato sponsorizzato a suo nome è fraudolento. Questo paradosso è proprio ciò che permette ai criminali di acquistare la parola chiave a basso costo e piazzare il loro annuncio sopra il sito ufficiale. Inoltre, gli annunci possono mostrare l'URL corretto (brew.sh) ma indirizzare a domini simili come brewe.sh. A febbraio, Bitdefender ha scoperto almeno 35 account Google Ads dirottati in 15 Paesi, Italia inclusa, usati per pubblicare oltre 200 annunci che imitavano software per Mac come 7-Zip, LibreOffice e lo stesso Homebrew.
La catena d'attacco è sofisticata. Nel caso di Claude per Mac, documentato da Push Security, l'annuncio mostrava il dominio bing.com e passava per una pagina compromessa di un rivenditore sudamericano prima di arrivare a una copia perfetta del sito Anthropic. Il pulsante "Copia" inseriva negli appunti un comando diverso da quello visualizzato, che eseguiva uno script malevolo tramite la tecnica ClickFix. Secondo Push, quattro attacchi ClickFix su cinque arrivano proprio dai motori di ricerca.
La risposta di Google e i limiti attuali
Google rivendica numeri elevati: nel 2025 ha bloccato o rimosso oltre 8 miliardi di annunci e sospeso circa 25 milioni di account. Tuttavia, non tutti gli annunci ingannevoli distribuiscono malware. Su Bing, una ricerca per "claude for windows download" restituisce ancora oggi risultati sponsorizzati che non appartengono ad Anthropic, ma che promettono accesso a chatbot AI senza limiti. Alcuni di questi siti, come reviewed.app e it.mobexer.com, appartengono alla stessa società irlandese e contengono solo link alle versioni mobili, senza installer per Windows. Il fenomeno resta in crescita e richiede maggiore attenzione da parte degli utenti, che devono diffidare dei risultati sponsorizzati quando cercano software noti.
