Basta una ricerca su Bing fatta in buona fede per finire su una pagina falsa che imita un portale di supporto, un software antivirus o un servizio di attivazione. Secondo una nuova analisi pubblicata l’8 settembre 2026, una campagna chiamata BengalSEO sta manipolando i risultati del motore di ricerca per portare gli utenti verso malware o finte assistenze tecniche. Per un’azienda il rischio non è teorico: un dipendente che cerca istruzioni, download o accesso a un servizio può trasformare una semplice navigazione in un incidente informatico.
Che cosa è successo
I ricercatori del DFIR Report hanno descritto una vasta operazione di SEO poisoning, cioè di manipolazione dei risultati dei motori di ricerca, identificata a marzo 2026 e battezzata BengalSEO. La campagna sarebbe attiva almeno dal 2015 e opererebbe dallo stato indiano del Rajasthan.
Nell’analisi vengono citati due fornitori di servizi IT: WeConnect Solutions LLC, in precedenza nota come iConnect Soft Solutions LLC, e Garage2Global. Quest’ultima si presenta come azienda di web design, SEO e marketing digitale, ma i ricercatori affermano di aver trovato elementi che la collegherebbero allo sviluppo di infrastrutture web malevole usate in queste campagne.
L’obiettivo è economico e duplice: da una parte infettare i sistemi con malware, dall’altra convincere le vittime a contattare falsi call center di supporto tecnico. La porta d’ingresso è il motore di ricerca, in particolare Microsoft Bing, dove le pagine esca vengono spinte in alto con tecniche aggressive di Black Hat SEO.
Come funziona la trappola
Il meccanismo è più sofisticato di quanto sembri. Le pagine malevole non si limitano a imitare un sito noto: sono progettate per comparire tra i primi risultati quando l’utente cerca frasi molto specifiche, per esempio login, configurazioni, codici di attivazione o download di software diffusi.
Tra i contenuti usati come esca ci sono:
- finti portali di supporto tecnico;
- false pagine di attivazione per servizi di streaming;
- download contraffatti di antivirus, software di gioco e utility fiscali;
- istruzioni per attivare carte di credito, gift card o servizi sanitari.
Un esempio citato nell’analisi riguarda una ricerca come “bitdefender central how to login”, che può mostrare un link fraudolento ospitato su una piattaforma apparentemente affidabile come readthedocs.io. Questo è un punto importante: non sempre il dominio, visto di fretta, appare chiaramente sospetto agli occhi di un utente non tecnico.
Una volta aperta la pagina, il visitatore trova pulsanti come “Get Started” o “Download for Windows”. Da lì parte una catena di reindirizzamenti che serve a capire chi sta visitando il sito, filtrare il traffico e decidere se mostrare il malware, una truffa di supporto tecnico o una pagina apparentemente innocua.
Le tecniche usate per salire nei risultati di ricerca
Il cuore della campagna è la manipolazione del ranking sui motori di ricerca. BengalSEO, secondo il DFIR Report, combina più tecniche.
La prima è la creazione massiccia di backlink tramite spam su forum e sezioni commenti. In pratica, vengono disseminati ovunque collegamenti alle pagine esca, spesso con messaggi che sembrano consigli utili lasciati da utenti reali. Nell’analisi si cita un sito-esca per la configurazione di smart TV con 2.000 backlink e 167 domini esterni unici che rimandano alla pagina.
La seconda tecnica è il keyword stuffing, cioè il riempimento artificiale delle pagine con termini di ricerca utili a intercettare query popolari.
La terza è il cosiddetto DOM shuffling: il codice della pagina riordina dinamicamente gli elementi HTML con JavaScript per far sembrare diverse, agli occhi dei crawler, pagine che in realtà sono quasi identiche. Questo aiuta a eludere i filtri antispam e a distribuire le stesse esche su centinaia di domini.
I ricercatori citano anche il DOM injection, altra tecnica utile a modificare dinamicamente il contenuto delle pagine e adattarlo alle necessità della campagna.
Dal clic al malware: dove porta il reindirizzamento
Dietro le quinte, la campagna usa un TDS, acronimo di Traffic Distribution System. In termini semplici, è un sistema che smista i visitatori verso destinazioni diverse in base a vari fattori: browser, provenienza, comportamento o probabilità che si tratti di un utente reale.
Prima di mostrare la pagina finale, alcuni domini di reindirizzamento presentano una verifica come Cloudflare Turnstile o hCaptcha. Non serve a proteggere l’utente: serve agli attaccanti per bloccare scanner automatici, crawler e strumenti di analisi.
Le pagine esca e di destinazione includono anche script di tracciamento. Il report menziona l’uso di Matomo, piattaforma legittima di analytics, sfruttata qui per profilare il browser della vittima e raccogliere informazioni lato client. Il dominio “stats.us3[.]org” risultava associato a 1.112 risultati su urlscan.io al momento della pubblicazione, in calo rispetto ai 1.190 osservati durante l’analisi.
Su alcune piattaforme di hosting come github.io e pages.dev verrebbero impiegati anche strumenti come Google Tag Manager. Questo dimostra un aspetto che le aziende spesso sottovalutano: servizi nati per usi legittimi possono essere sfruttati anche in campagne malevole, rendendo più difficile distinguere il traffico buono da quello pericoloso.
MayaBot e le finte assistenze tecniche
Uno dei carichi distribuiti dalla campagna è MayaBot, un malware personalizzato che, secondo i ricercatori, il gruppo usa dal 2022. Le sue funzioni includono comunicazione con i server di comando e controllo, monitoraggio del sistema e installazione di XMRig, un software usato per il cryptomining illecito.
In uno scenario descritto dal report, il pulsante di download scarica un archivio ZIP. All’interno c’è un dropper JavaScript che si presenta come se fosse il programma richiesto dall’utente. Quando viene eseguito, usa wscript.exe per avviare l’infezione di MayaBot.
Non sempre però il fine è il malware. In altri casi, la catena conduce a pagine pensate per spingere l’utente a telefonare a un falso supporto tecnico. Per un’azienda questo è un rischio concreto: un dipendente sotto pressione, convinto di avere un problema con antivirus, streaming aziendale, carte o software, può chiamare un numero truffaldino e concedere accesso remoto al PC o condividere dati sensibili.
Perché questa vicenda riguarda anche le PMI italiane
Molte piccole e medie imprese investono sulla protezione del perimetro: firewall, antivirus, backup. Tutto corretto, ma campagne come BengalSEO ricordano che il punto d’attacco più comune resta il comportamento quotidiano degli utenti. Il dipendente non sta aprendo un allegato strano arrivato via e-mail: sta cercando su un motore di ricerca una soluzione di lavoro apparentemente normale.
Il rischio aumenta in contesti come questi:
- PC usati da più persone senza procedure standard di download;
- utenti locali con privilegi amministrativi;
- assenza di filtri web o DNS;
- mancanza di formazione periodica contro phishing e truffe online;
- uso di motori di ricerca e siti non validati per scaricare software, driver o utility fiscali.
In pratica, una ricerca frettolosa come “download antivirus”, “accesso portale”, “codice attivazione”, “software tasse” o “guida configurazione TV” può bastare per entrare in una catena di compromissione.
Cosa significa per la tua azienda
La contromisura principale non è “vietare Bing”, ma ridurre la dipendenza dall’improvvisazione degli utenti e rafforzare i controlli sui download.
Ecco le azioni più utili, in ordine pratico.
Primo: crea un elenco interno di link ufficiali ai servizi usati in azienda. Portali bancari, software fiscali, antivirus, servizi cloud, fornitori e assistenze devono essere raggiunti da segnalibri aziendali o da un portale interno, non da ricerche manuali fatte ogni volta.
Secondo: blocca o almeno monitora l’esecuzione di script e file scaricati da fonti non approvate. In questo caso il report descrive l’uso di JavaScript eseguito tramite wscript.exe: è un comportamento che può e deve essere controllato sugli endpoint.
Terzo: adotta una gestione centralizzata dei PC, con criteri coerenti su privilegi, installazioni e aggiornamenti. Se l’azienda non ha ancora standard chiari, una soluzione di desktop IT management aiuta a ridurre il margine di errore operativo.
Quarto: affianca all’antivirus una strategia concreta di prevenzione e risposta, con filtraggio web, protezione endpoint, verifica dei log e procedure per l’isolamento rapido delle macchine. È il terreno tipico dei servizi di sicurezza informatica.
Quinto: verifica che il backup sia davvero utilizzabile in caso di incidente. Se un malware installa ulteriori componenti o compromette dati locali e condivisioni, avere copie protette e separate può fare la differenza tra un fermo di ore e uno di giorni. Un sistema di remote backup ben configurato riduce il rischio operativo.
Sesto: forma il personale su un concetto semplice ma decisivo: “primo risultato” non significa “sito ufficiale”. Vale soprattutto per ricerche su supporto tecnico, attivazioni, software di sicurezza, utility fiscali e accesso a servizi.
Infine, definisci una regola aziendale chiara: nessun dipendente deve chiamare numeri di supporto trovati casualmente sul web o concedere accesso remoto al proprio PC senza validazione interna del reparto IT o del fornitore.
Un segnale da non sottovalutare
BengalSEO mostra un’evoluzione precisa delle frodi online: non si punta solo a inviare link malevoli, ma a costruire un ecosistema completo fatto di pagine esca, spam distribuito, analytics, filtri anti-analisi e reindirizzamenti intelligenti. È un modello industriale, non artigianale.
Per le imprese questo cambia la prospettiva. Non basta chiedersi se l’utente saprà riconoscere una e-mail sospetta; bisogna chiedersi se l’azienda ha predisposto canali sicuri per cercare, scaricare e usare gli strumenti di lavoro quotidiani. Quando questi percorsi non sono standardizzati, i motori di ricerca diventano un punto cieco della sicurezza.
Domande frequenti
Basta non usare Bing per evitare il problema?
No. La campagna descritta colpisce in particolare Bing, ma il problema generale è il SEO poisoning: manipolare i risultati di ricerca per attirare traffico verso siti malevoli. La difesa deve concentrarsi su procedure, controlli e formazione.
Un antivirus aggiornato è sufficiente?
Non sempre. Se l’utente scarica file da siti truffaldini o contatta un falso supporto tecnico, il danno può avvenire anche senza un’infezione immediata. Servono anche filtri web, gestione degli endpoint e regole operative.
Qual è il primo intervento utile per una PMI?
Creare un elenco ufficiale di portali e download autorizzati, distribuirlo a tutti e impedire per quanto possibile installazioni e script non approvati. È una misura semplice, poco costosa e molto efficace.