16000 siti servono JavaScript malevolo: il problema è anche avvertire i proprietari

La sicurezza del Web si trova davanti a un problema che non riguarda soltanto la capacità di individuare gli attacchi informatici, ma anche quella di avvisare tempestivamente chi ne è vittima.

Scott Helme, ricercatore specializzato in sicurezza informatica e fondatore di Report URI, ha portato all’attenzione della comunità un fenomeno particolarmente preoccupante: migliaia di portali continuano a distribuire codice JavaScript dannoso senza che i rispettivi proprietari ne siano necessariamente consapevoli. La questione coinvolge attività commerciali, servizi online e visitatori ignari.

Il problema, secondo l’analisi pubblicata sul suo blog, è che gli strumenti di rilevamento stanno diventando più efficaci, mentre i meccanismi di comunicazione delle vulnerabilità non riescono a tenere il passo.

JavaScript malevolo e conseguenze per i visitatori

L’indagine condotta attraverso le funzionalità di Threat Intelligence di Report URI ha individuato 15.579 siti compromessi, con un’esposizione stimata superiore a 135 milioni di visite mensili complessive. Si tratta di una stima prudenziale, riferita ai portali per i quali gli analisti dichiarano di avere prove concrete dell’infezione. Esistono inoltre altri domini sospetti che non hanno ancora raggiunto un livello di certezza sufficiente per essere inseriti nell’elenco.

Il codice individuato può assumere forme differenti. Alcuni script sottraggono i dati delle carte di pagamento direttamente durante gli acquisti, secondo il modello degli attacchi Magecart. Altri sfruttano tecniche ClickFix, inducendo le persone a eseguire operazioni apparentemente necessarie per dimostrare di essere utenti reali, ma che in realtà possono installare malware. Sono stati individuati anche sistemi capaci di sfruttare vulnerabilità dei dispositivi per distribuire spyware, oltre a reindirizzamenti verso pagine fraudolente, falsi accessi e avvisi di sicurezza ingannevoli.

Le modalità di compromissione sono altrettanto eterogenee. Un sito può essere violato attraverso vulnerabilità di WordPress o piattaforme analoghe, oppure può incorporare inconsapevolmente uno script infetto proveniente da un fornitore esterno. Anche le falle XSS e il recupero di domini scaduti utilizzati per distribuire codice dannoso rappresentano possibili vettori d’attacco.

La difficoltà di avvisare i proprietari dei siti

La parte più complessa dell’intera vicenda riguarda la comunicazione delle compromissioni. Scott Helme spiega che il suo gruppo prova a contattare direttamente le organizzazioni responsabili dei portali considerati maggiormente esposti, ma il lavoro richiede risorse considerevoli e produce risultati limitati. Molti messaggi rimangono senza risposta e le informazioni di contatto disponibili non sono sufficienti per raggiungere con sicurezza i destinatari.

Una possibile soluzione sarebbe coinvolgere i CERT e i centri nazionali per la cybersicurezza, che potrebbero disporre di canali istituzionali più efficaci per raggiungere le organizzazioni interessate. Report URI si è dichiarata disponibile a condividere le informazioni relative ai domini compromessi con gli organismi competenti, in particolare quelli europei.

Non è stata pubblicata la lista completa dei portali coinvolti. La decisione nasce dalla volontà di non penalizzare ulteriormente le vittime, esponendole a danni reputazionali o all’inserimento automatico in elenchi di blocco. Diffondere pubblicamente i domini potrebbe inoltre offrire ai criminali informatici una raccolta di potenziali bersagli ancora vulnerabili.

Anche il ricorso ai dati WHOIS e ai provider di hosting presenta ostacoli. Le informazioni disponibili sui proprietari dei domini sono spesso insufficienti, mentre l’impiego di CDN e servizi proxy rende complicata l’identificazione dell’infrastruttura che ospita effettivamente i siti.

La questione sollevata da Helme va quindi oltre il singolo episodio di sicurezza informatica. Individuare una minaccia senza riuscire a raggiungere chi può eliminarla significa lasciare incompleto il lavoro di protezione. Servono forme di collaborazione più strutturate tra ricercatori, istituzioni e operatori tecnologici, affinché le informazioni raccolte possano trasformarsi in interventi concreti. La responsabilità della sicurezza digitale, infatti, non può fermarsi alla scoperta di un attacco: deve comprendere anche la capacità di impedire che continui a danneggiare persone e organizzazioni.