Indice
Se negli ultimi mesi avete cercato su Google come installare Claude AI, avete corso un rischio concreto senza nemmeno saperlo. Dal marzo 2026, una campagna malware attiva e documentata da più società di sicurezza — tra cui Gen/Norton, Bitdefender, Malwarebytes e 7AI — sta sfruttando la popolarità esplosiva di Claude per distribuire software malevolo attraverso annunci pubblicitari fasulli, pagine di download contraffatte e persino le funzioni native di condivisione contenuti del dominio ufficiale claude.ai. Un’operazione multi-vettore che, a oggi, ha documentato oltre 15.600 vittime.
Perché Claude è un bersaglio così appetibile
La risposta è nei numeri: Claude registra quasi 290 milioni di visite web al mese. Quando un servizio raggiunge queste dimensioni, diventa automaticamente un’esca perfetta per chi costruisce truffe basate sulla fiducia del marchio. L’utente medio che cerca istruzioni per installare Claude o per usare Claude Code — lo strumento pensato per sviluppatori — non si aspetta di finire su una pagina malevola, soprattutto se quella pagina imita alla perfezione l’estetica ufficiale di Anthropic.
Il meccanismo psicologico è semplice quanto efficace: più uno strumento è percepito come legittimo e tecnico, meno l’utente alza la guardia. Gli sviluppatori, in particolare, sono abituati a eseguire comandi nel terminale o a installare estensioni nell’IDE senza interrogarsi troppo. Ed è esattamente lì che i criminali hanno infilato il coltello.
I due vettori principali del malware Claude AI
La campagna non è monolitica: 7AI ha identificato almeno due vettori di attacco confermati, con tre incidenti verificati come veri positivi — uno su macOS e due su Windows.
Il primo vettore è quello che colpisce gli utenti macOS. Un annuncio Google Ads porta l’utente su una pagina di download fasulla che utilizza la tecnica ClickFix: invece di offrire un file eseguibile tradizionale, la pagina mostra istruzioni apparentemente innocue che invitano a incollare un comando nel terminale. Quel comando installa il MacSync infostealer, un malware progettato per raccogliere credenziali, dati di sessione e altre informazioni sensibili dalla macchina della vittima. Il tutto avviene in pochi secondi, spesso senza che l’utente si renda conto di aver fatto qualcosa di sbagliato.
Il secondo vettore prende di mira chi lavora su Windows e usa Visual Studio Code. I criminali hanno distribuito estensioni VS Code trojanizzate che, una volta installate, eseguono script PowerShell in background. Per uno sviluppatore abituato a installare plugin dall’extension marketplace, il gesto è quasi automatico — e questo è esattamente il punto di forza dell’attacco.
Quando il dominio ufficiale diventa complice involontario
Uno degli aspetti più insidiosi di questa campagna riguarda l’uso delle funzioni di content sharing di claude.ai. I criminali hanno sfruttato la possibilità di ospitare e condividere contenuti tramite il dominio ufficiale per rendere le loro pagine di phishing ancora più credibili. Un link che punta a claude.ai non viene bloccato dai filtri antiphishing standard, perché tecnicamente il dominio è autentico. È un’arma a doppio taglio: la stessa apertura che rende Claude utile per condividere conversazioni e progetti diventa un vettore di distribuzione per contenuti malevoli.
→ Leggi anche: Google potenzia Android con 5 nuove difese anti-truffa: ecco come Gemini cambia la sicurezza
Il problema è stato segnalato direttamente sul repository GitHub ufficiale di Anthropic per Claude Code, dove diversi sviluppatori hanno documentato casi di campagne malware che si spacciavano per guide di installazione legittime.
La svolta del 9 ottobre: cloaking multi-strato su Bing
La campagna ha subito un’evoluzione significativa. Il 9 ottobre 2026, Push Security ha reso pubblica una nuova variante della campagna di malvertising, questa volta con bing.com come dominio di atterraggio e un sistema di cloaking multi-strato. In pratica, la pagina malevola si comporta in modo diverso a seconda di chi la visita: mostra contenuti innocui ai bot e agli scanner di sicurezza, mentre riserva il payload reale agli utenti umani che arrivano da determinate ricerche.
Questa tecnica rende il rilevamento automatico molto più difficile e spiega perché la campagna sia rimasta attiva per così tanti mesi senza essere neutralizzata del tutto. NSFOCUS ha documentato il caso in dettaglio, confermando che si tratta di un’operazione sofisticata e in continua evoluzione.
L’impianto fileless: il malware che non lascia tracce sul disco
Un’altra variante tecnica della campagna merita attenzione separata. Il falso installer di Claude Code — quello che si presenta come una guida all’installazione dello strumento per sviluppatori — rilascia un impianto fileless tramite deserializzazione .NET. Cosa significa in pratica? Che il malware non scrive file eseguibili sul disco rigido nel modo tradizionale, ma si inietta direttamente nella memoria del processo. Questo lo rende quasi invisibile agli antivirus tradizionali che basano il rilevamento sulla scansione dei file.
Per un utente comune, la conseguenza è che potrebbe avere un sistema compromesso senza che nessun software di sicurezza abbia mai alzato un allarme. Per uno sviluppatore, il rischio è ancora più grave: le macchine di sviluppo spesso contengono chiavi API, token di accesso a repository privati e credenziali di servizi cloud.
Come proteggersi concretamente
La buona notizia è che le contromisure esistono e sono alla portata di tutti. Prima di tutto, non installate mai software o strumenti AI cliccando su annunci Google: andate sempre direttamente al sito ufficiale digitando l’indirizzo nella barra del browser. Per Claude, l’unico punto di riferimento è claude.ai e la documentazione ufficiale di Anthropic.
Se siete sviluppatori e usate VS Code, verificate sempre l’identità dell’editore di un’estensione prima di installarla: controllate il numero di download, le recensioni e soprattutto il link al repository sorgente. Un’estensione con pochi download e nessuna storia pubblica è un campanello d’allarme.
Infine, diffidate di qualsiasi istruzione che vi chieda di incollare comandi nel terminale come parte di un processo di installazione trovato online — specialmente se quella pagina vi è arrivata tramite un annuncio pubblicitario. La tecnica ClickFix fa leva proprio sull’abitudine degli utenti tecnici a fidarsi del terminale come strumento neutro. Non lo è, se il comando viene da una fonte non verificata. Con una campagna così longeva e documentata ancora attiva, la soglia di attenzione va tenuta alta.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
