Lo schermo sembra semplicemente bloccato e invece sei già nella truffa: così ti svuotano il conto in un attimo. Non è un’iperbole, è la sequenza esatta che milioni di utenti hanno vissuto senza capire cosa stesse accadendo, perché l’attacco è progettato per sembrare un guasto tecnico ordinario fino al momento in cui è troppo tardi. Capire il meccanismo è il primo passo per non caderne vittima.
Da gennaio 2026 i ricercatori di Barracuda hanno contato circa 2,8 milioni di attacchi riconducibili a un singolo kit, battezzato CypherLoc. Non è un virus nel senso tradizionale: non installa nulla, non lascia file sul disco, non tocca il sistema. Vive interamente dentro la pagina web aperta nel browser, e questo è esattamente il punto che lo rende difficile da intercettare.
Tutto parte da una mail di phishing con un link, nel corpo del messaggio o in un allegato. Il collegamento porta a una pagina che a prima vista sembra normale.
Come funziona la truffa: lo schermo si blocca e il conto è già a rischio
Il meccanismo centrale di questa frode è tanto semplice quanto efficace: lo schermo sembra semplicemente bloccato, ma in realtà l’utente è già entrato nella trappola. Il codice malevolo è lì, ma resta inerte: si decifra solo se sono soddisfatte condizioni precise, tra cui la presenza di un determinato frammento hash nell’URL e il superamento di una serie di controlli crittografici di integrità. Se ad aprire la pagina è uno scanner di sicurezza, una sandbox o un ambiente di analisi automatica, il payload non si attiva e la schermata si limita a reindirizzare a una pagina vuota. La truffa, semplicemente, non si mostra.
Il malware che blocca lo schermo e si insinua nel dispositivo
Quando le condizioni sono giuste, accade una cosa curiosa: la pagina iniziale si cancella da sola e viene sostituita da una nuova pagina costruita su misura. Questo azzeramento resetta gli script e interrompe l’ispezione dal vivo, rendendo l’ambiente instabile proprio mentre l’utente cerca di capire cosa stia succedendo. Da qui scatta il blocco a tutto schermo: menu contestuali disabilitati, cursore nascosto, overlay che coprono tutto. Ogni tentativo di riprendere il controllo fa scattare un immediato “riblocco” della pagina, e si crea la sensazione di essere intrappolati.
Il dettaglio più rivelatore riguarda chi prova a difendersi con strumenti tecnici. Aprire i Developer Tools del browser, in particolare la scheda Network, non disinnesca l’attacco: lo aggrava. Gli asset si ricaricano, le pipeline multimediali ripartono, i ricalcoli del layout si ripetono di continuo. Il rumore generato satura gli strumenti di analisi e finisce per mandare in crash il browser, facendo comparire finestre di errore di sistema. In altre parole, il gesto dell’utente esperto viene trasformato in un’ulteriore prova del finto guasto.
Compaiono suoni di allarme a ogni clic, messaggi ripetuti, l’indirizzo IP della vittima mostrato come se fosse la firma di un’intrusione in corso, e moduli di login fasulli. Questi ultimi non raccolgono dati: servono solo ad accrescere il panico, perché le credenziali inserite non risolvono nulla. L’unica via d’uscita apparente è il numero di telefono ben visibile sullo schermo.
Dalla schermata bloccata al conto svuotato: la fase telefonica della truffa
Chi chiama trova un operatore che si spaccia per assistenza Microsoft. È lì, al telefono, che parte la fase vera della frode: richieste di password, dati bancari, accesso remoto al dispositivo. Il codice non ruba niente da solo. A consegnare le chiavi è la persona. Lo schema è studiato per comprimere il tempo di reazione: la vittima è sotto stress visivo e sonoro, convinta di avere il conto già compromesso, e agisce d’impulso seguendo le istruzioni dell’operatore. In pochi minuti, i dati necessari a svuotare il conto corrente sono nelle mani dei truffatori.
I veri avvisi di sicurezza non bloccano il browser, non mostrano numeri da chiamare e non chiedono interventi immediati con pop-up aggressivi. Vale la pena ricordarlo, visto che CypherLoc è venduto come kit: chi lo usa non deve saper scrivere una riga di codice. La soglia di accesso a questo tipo di attacco è bassissima, il che spiega la rapidità con cui si diffonde.
Come difendersi: cosa fare quando lo schermo si blocca
Riconoscere la truffa in tempo permette di interrompere la catena prima che i danni diventino irreversibili. Le contromisure pratiche sono poche ma decisive:
- Non chiamare mai il numero visualizzato sullo schermo bloccato. Nessuna azienda tecnologica legittima comunica emergenze di sicurezza attraverso pop-up con numeri telefonici.
- Forzare la chiusura del browser tramite il Task Manager (Windows) o il menu Forza Chiusura (macOS/iOS) senza interagire con la pagina.
- Non inserire credenziali o dati bancari in moduli comparsi in seguito a un blocco improvviso dello schermo.
- Segnalare l’episodio alla Polizia Postale e, se si sospetta che i dati siano stati già trasmessi, contattare immediatamente la propria banca per bloccare le operazioni in corso.
- Aggiornare le password degli account potenzialmente esposti e attivare l’autenticazione a due fattori.
Sul piano legale, chi subisce una frode di questo tipo può presentare denuncia-querela per truffa aggravata (art. 640 c.p.) e, ove ricorra l’accesso abusivo al sistema informatico (art. 615-ter c.p.), anche per questo reato. La banca, dal canto suo, è tenuta a valutare il rimborso delle somme sottratte in base alla normativa PSD2 e alle disposizioni della Banca d’Italia in materia di operazioni non autorizzate, salvo che non ricorra la colpa grave dell’utente.
FAQ: domande frequenti sulla truffa dello schermo bloccato
Lo schermo bloccato significa che il mio dispositivo è stato hackerato?
No. Il blocco è simulato interamente nel browser tramite codice JavaScript. Il dispositivo non è compromesso: basta chiudere forzatamente il browser per riprendere il controllo. Il pericolo reale nasce solo se si chiama il numero indicato o si forniscono dati personali.
Posso recuperare i soldi se sono stato truffato?
Dipende dalla rapidità della segnalazione. Contattare la banca entro poche ore dall’evento aumenta significativamente le possibilità di bloccare o stornare le transazioni. La normativa europea sulle operazioni non autorizzate prevede obblighi di rimborso a carico degli istituti di credito, ma la valutazione del caso concreto è sempre necessaria.
Perché i miei strumenti antivirus non hanno rilevato nulla?
Perché CypherLoc non installa file e non modifica il sistema operativo. Opera esclusivamente nel contesto del browser, sfruttando funzionalità JavaScript legittime. Gli antivirus tradizionali analizzano file e processi di sistema, non il comportamento dinamico delle pagine web in tempo reale.
Cosa devo fare se ho già fornito i miei dati bancari?
Agire immediatamente: chiamare il numero antifrode della propria banca, bloccare carte e accessi online, presentare denuncia alla Polizia Postale e conservare ogni prova (screenshot, email, numeri chiamati). Prima si agisce, maggiori sono le possibilità di limitare il danno.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
