Finti colloqui online: 3.000 siti rubano accessi

Una campagna di phishing globale scoperta da CTM360 ha usato oltre 3.000 URL malevoli, in soli due mesi, per fingere processi di selezione del personale e rubare credenziali Google e Facebook. Il punto più insidioso è che non si limita a chiedere username e password: nei casi più evoluti intercetta in tempo reale anche i passaggi di autenticazione a più fattori.

Per un’azienda italiana il rischio è concreto perché il bersaglio non è solo chi sta cercando lavoro. Gli attaccanti puntano soprattutto a identità aziendali di valore — in particolare profili marketing, account social, strumenti pubblicitari, posta elettronica e servizi cloud — cioè accessi che possono tradursi rapidamente in danni operativi, economici e reputazionali.

Come funziona la truffa dei finti colloqui

Secondo il report pubblicato da CTM360 e ripreso da The Hacker News il 14 agosto 2026, l’attacco parte da un messaggio non richiesto: una mail o un invito a una riunione che sembra arrivare da un recruiter di un’azienda riconoscibile. Il contenuto è costruito per sembrare plausibile: richiama il profilo professionale della vittima e propone di fissare un colloquio o una call conoscitiva.

Da lì la persona viene indirizzata su uno di due percorsi:

• una falsa pagina di pianificazione appuntamenti in stile Calendly;
• un portale di recruiting creato ad hoc con il marchio dell’azienda impersonata.

In entrambi i casi, il passaggio finale è sempre lo stesso: il sito invita a proseguire con il login tramite Google o Facebook. Ed è qui che entra in gioco la tecnica più pericolosa.

Cos’è il Browser-in-the-Browser e perché inganna così bene

La campagna usa una tecnica nota come Browser-in-the-Browser, spesso abbreviata in BitB. In pratica, invece di aprire una vera finestra di autenticazione del provider, il sito mostra una finestra falsa disegnata dentro la pagina stessa.

A colpo d’occhio sembra autentica: include una barra dell’indirizzo, il lucchetto, i pulsanti tipici del browser e l’aspetto grafico familiare di Google o Facebook. Su smartphone può addirittura apparire come una schermata a pieno schermo, rendendo ancora più difficile accorgersi dell’inganno.

Il problema è che l’utente crede di stare inserendo le credenziali nella pagina ufficiale del provider, mentre in realtà sta scrivendo tutto dentro un modulo controllato dagli attaccanti.

Questo tipo di attacco è particolarmente efficace perché sfrutta un’abitudine diffusa: fidarsi dell’aspetto visivo del login senza verificare davvero il dominio. Per chi lavora in ufficio, gestisce molti strumenti online e riceve spesso inviti esterni, è un tranello molto credibile.

Non è un semplice sito falso: dietro c’è un sistema in tempo reale

L’analisi tecnica di CTM360 descrive un meccanismo più sofisticato del classico phishing statico. Una delle pagine osservate si comportava come una sorta di macchina a stati: guidava la vittima attraverso schermate successive per CAPTCHA, nome utente, password e diversi metodi di verifica a due fattori.

Tra i metodi supportati risultavano:

• OTP;
• conferme via telefono;
• verifiche basate su corrispondenze o suffissi.

Il backend, mantenendo una comunicazione continua con il browser della vittima, decideva quale schermata mostrare in ogni momento. In sostanza, gli attaccanti non si limitavano a raccogliere i dati: li usavano subito per tentare l’accesso reale al servizio legittimo. Quando compariva la richiesta MFA autentica, la pagina fasulla mostrava alla vittima lo stesso passaggio e inoltrava il codice o la conferma agli attaccanti.

Se tutto andava a buon fine, questi ottenevano una sessione autenticata valida. Per ridurre i sospetti, in alcuni casi la vittima veniva poi reindirizzata a una vera pagina Calendly.

È un salto di qualità importante: non più solo furto di password, ma sottrazione dell’intera sessione di accesso con superamento delle difese più comuni.

Chi viene preso di mira

CTM360 ha rilevato più di 3.000 URL di phishing in due mesi. La campagna ha impersonato processi di recruiting associati a oltre 50 organizzazioni distribuite in 14 settori.

La maggior parte dei bersagli osservati apparteneva all’area marketing. Non è un dettaglio marginale. Un account marketing compromesso può aprire l’accesso a:

• piattaforme pubblicitarie;
• profili social aziendali;
• dati clienti;
• caselle email;
• servizi critici per vendite e comunicazione.

In altri termini, un singolo accesso rubato può trasformarsi in campagne fraudolente, furto di contatti, invio di email malevole dal dominio aziendale, spese pubblicitarie non autorizzate o danni all’immagine del marchio.

Tra i settori più impersonati risultano recruitment, tecnologia, beni di lusso e viaggi, che insieme rappresentano circa il 58% dei brand usati come esca.

I numeri dell’infrastruttura: una campagna industriale

I dati tecnici mostrano che non si tratta di episodi isolati. Circa il 96% delle pagine individuate usava un tema simile a Calendly. Il portale di recruiting brandizzato è stato osservato su 116 host unici.

CTM360 ha inoltre rilevato che:

• il 93,1% degli host era dedicato o registrato;
• il 50,9% era ospitato su indirizzi e intervalli AWS EC2;
• su 813 domini registrati deduplicati, il TLD più comune era .cfd con il 40%, seguito da .com con il 25,1%, .info con il 15,1%, .works con il 10,5% e .work con il 6,3%.

Molti siti usavano Cloudflare per nascondere i server reali. La presenza di host ricorrenti e infrastrutture riutilizzate indica un impianto condiviso, probabilmente pensato per creare e ricreare rapidamente nuove campagne cambiando solo logo, nome del recruiter, slogan e azienda imitata.

Per le imprese questo significa una cosa semplice: bloccare un singolo dominio non basta. Il problema va affrontato come rischio organizzativo, non come eccezione tecnica.

Come riconoscere una falsa finestra di login

Non esiste un segnale unico, ma ci sono indizi molto utili.

Un login Google autentico deve avvenire su accounts.google.com, oppure su un’origine verificata e attesa del provider. Nelle trappole BitB, invece, la barra dell’indirizzo e il lucchetto fanno parte del disegno della pagina: non sono elementi reali del browser.

Altri segnali da osservare:

• la finestra non può essere trascinata fuori dalla scheda del browser;
• pulsanti e controlli sembrano veri ma sono solo decorativi;
• i link di privacy o supporto non si comportano come dovrebbero;
• il password manager non riconosce il sito e non compila automaticamente le credenziali previste.

Quest’ultimo punto è molto pratico: se il gestore password, che normalmente funziona sul dominio corretto, improvvisamente non propone il login salvato, è opportuno fermarsi subito.

Cosa significa per la tua azienda

Per una PMI italiana la lezione è chiara: oggi il phishing non prende di mira solo l’amministrazione o il reparto IT. Colpisce anche commerciale, marketing, HR, direzione e chiunque lavori con strumenti cloud e identità digitali aziendali.

Le misure più utili non richiedono per forza grandi progetti, ma disciplina e priorità corrette.

Primo: definite una regola interna semplice. Qualsiasi invito a colloquio, meeting o collaborazione non richiesto va verificato passando da un canale indipendente: sito ufficiale dell’azienda, numero pubblico, profilo LinkedIn verificabile, contatto già noto. Mai fidarsi del link contenuto nel messaggio.

Secondo: proteggete gli account più esposti con metodi di autenticazione resistenti al phishing, come passkey o WebAuthn con supporto hardware, quando disponibili. La sola MFA basata su codici resta utile, ma campagne come questa dimostrano che può essere aggirata se l’utente viene manipolato in tempo reale.

Terzo: monitorate con attenzione gli accessi anomali agli strumenti critici — email, social, advertising, CRM, piattaforme collaborative — e correlate gli eventi sospetti con messaggi di recruiting o richieste inattese. È il tipo di controllo che rientra in una buona strategia di /servizi/sicurezza-informatica/.

Quarto: formate il personale con esempi realistici, non solo con raccomandazioni generiche. Oggi un finto colloquio è più credibile di una classica email sulla fattura non pagata, soprattutto per figure commerciali e marketing.

Quinto: preparate una procedura di risposta immediata. Se un dipendente inserisce credenziali o un codice MFA su una pagina sospetta, bisogna agire subito:

• cambiare la password dell’account coinvolto;
• revocare sessioni e token attivi;
• controllare l’attività di accesso;
• verificare eventuali regole anomale in posta elettronica;
• rivedere i permessi OAuth concessi;
• avvisare il referente IT o il fornitore esterno.

Sesto: assicuratevi di avere copie affidabili dei dati e dei servizi più importanti. Un accesso rubato può essere il primo passo verso frodi, cancellazioni o compromissioni più ampie; per questo una strategia di /soluzioni/remote-backup/ aiuta a contenere l’impatto operativo.

Infine, se la vostra azienda esternalizza la gestione IT, è utile chiarire nel contratto come vengono gestiti monitoraggio, risposta agli incidenti e supporto agli utenti in caso di phishing. È un tema che trova spazio anche nei /soluzioni/contratti-assistenza-informatica/.

Cosa fare se pensi di essere caduto nella trappola

La velocità conta più della vergogna. Molti attacchi riescono proprio perché la vittima aspetta, sperando che non sia successo nulla.

Se c’è il dubbio di aver usato una pagina sospetta:

• interrompi subito la sessione;
• cambia la password da un dispositivo affidabile e accedendo al sito ufficiale digitato manualmente;
• revoca le sessioni aperte;
• controlla se sono comparsi nuovi dispositivi, nuovi accessi o nuove autorizzazioni;
• verifica se dalla casella email sono state impostate regole automatiche di inoltro o cancellazione;
• informa subito chi gestisce la sicurezza informatica in azienda.

Nelle realtà più piccole, dove non esiste un SOC interno, è fondamentale che qualcuno abbia responsabilità chiare su questi passaggi. Anche un protocollo di una pagina può fare la differenza.

Domande frequenti

Se ho la MFA sono al sicuro da questo attacco?

Non del tutto. In questa campagna gli attaccanti tentano di usare in tempo reale anche i passaggi MFA richiesti dal servizio reale, quindi la sola presenza della doppia verifica non garantisce protezione assoluta.

Perché vengono presi di mira soprattutto i profili marketing?

Perché spesso danno accesso a social aziendali, advertising, database clienti, email e strumenti cloud molto utili per frodi, furto dati e danni reputazionali.

Qual è il controllo più semplice da fare prima di inserire le credenziali?

Verificare il dominio reale della pagina di accesso e fermarsi subito se il password manager non riconosce il sito o se la finestra di login appare “disegnata” dentro la pagina.