Truffa dello schermo bloccato: come funziona il malware CypherLoc

iStock

• CypherLoc è uno scareware browser-based che trasforma email di phishing in false emergenze per terrorizzare gli utenti.
• Il kit attiva schermate full-screen, avvisi falsi e suoni per impedire reazioni e indurre la chiamata a un falso supporto.
• L'obiettivo è il social engineering telefonico: chiedere credenziali, dati bancari o accesso remoto senza compromettere realmente il sistema.

Una semplice e-mail può trasformarsi in una finta emergenza informatica costruita per terrorizzare l’utente e spingerlo a chiamare un numero di assistenza fraudolento. È questo il meccanismo alla base di CypherLoc, un nuovo scareware browser-based analizzato da Barracuda Research e già collegato a circa 2,8 milioni di attacchi osservati dall’inizio del 2026.

La particolarità della minaccia è che non punta a installare malware tradizionali né a cifrare i file della vittima. CypherLoc sfrutta soprattutto la pressione psicologica e tecniche avanzate di evasione per convincere l’utente che il proprio computer sia stato compromesso.

• Come funziona CypherLoc?
• La falsa schermata di sicurezza punta tutto sulla paura
• Il vero obiettivo è la chiamata al falso supporto tecnico
• Come riconoscere la truffa dello schermo bloccato

Come funziona CypherLoc?

L’attacco inizia generalmente con un’e-mail di phishing contenente un link malevolo oppure un allegato infetto. Dopo il click, la vittima viene reindirizzata verso una pagina apparentemente innocua. La componente realmente dannosa resta nascosta nel codice del sito e si attiva soltanto in presenza di condizioni specifiche.

Barracuda spiega che CypherLoc utilizza payload cifrati e controlli di integrità per eludere scanner automatici e ambienti di test. Se il sistema rileva strumenti di analisi o parametri non corretti, il contenuto malevolo non viene eseguito e la pagina può persino apparire vuota.

Quando invece il meccanismo entra in funzione, il browser cambia improvvisamente comportamento. La finestra passa in modalità schermo intero, i menu vengono disabilitati, il cursore può sparire e lo schermo viene invaso da messaggi di sicurezza costruiti per sembrare autentici.

La falsa schermata di sicurezza punta tutto sulla paura

Il kit utilizza una serie di elementi progettati per aumentare il senso di panico e impedire alla vittima di reagire con lucidità.

Ogni click può attivare suoni di allarme, mentre il browser può rallentare e diventare instabile. Secondo i ricercatori, questi comportamenti servono anche a ostacolare l’analisi tecnica della pagina.

Uno degli aspetti più inquietanti è la visualizzazione dell’indirizzo IP pubblico della vittima direttamente sullo schermo. Non si tratta di una reale compromissione del sistema, ma di una tecnica psicologica pensata per far credere all’utente di essere stato identificato o monitorato.

In alcuni casi compaiono anche falsi moduli di login. Le credenziali inserite non vengono necessariamente elaborate: la funzione principale di queste schermate è aumentare la credibilità della truffa e trattenere la vittima sulla pagina il più a lungo possibile.

Il vero obiettivo è la chiamata al falso supporto tecnico

Durante tutta l’operazione viene mostrato un numero telefonico presentato come assistenza ufficiale. È questo il vero centro della truffa.

Quando la vittima chiama, dall’altra parte rispondono operatori che si spacciano per tecnici Microsoft o personale di supporto informatico. Da quel momento l’attacco prosegue tramite tecniche di social engineering, con tentativi di ottenere password, dati bancari, informazioni personali o accesso remoto al computer.

Come riconoscere la truffa dello schermo bloccato

I veri avvisi di sicurezza non bloccano il browser, non mostrano numeri di telefono da chiamare e non chiedono interventi immediati attraverso pop-up aggressivi.

Per questo motivo, la prudenza resta fondamentale, soprattutto davanti a e-mail che spingono ad agire rapidamente o cercano di creare un senso di urgenza, elementi comuni a molte delle truffe digitali più diffuse. Barracuda consiglia inoltre protezioni anti-phishing e sistemi capaci di rilevare comportamenti anomali degli script web.

CypherLoc dimostra come molte campagne moderne non abbiano bisogno di compromettere realmente un dispositivo. In molti casi è sufficiente convincere l’utente che il problema esista davvero.