Login Google o Microsoft falso? Come riconoscere una finestra Browser-in-the-Browser

Creato con AI. Immagine generata o modificata mediante intelligenza artificiale.

Una finestra di accesso può sembrare autentica anche quando si trova dentro una pagina costruita per rubare password. Il Browser-in-the-Browser, abbreviato in BitB, riproduce sullo schermo una falsa finestra di login con bordi, pulsanti e barra dell'indirizzo. La vittima vede un dominio credibile, inserisce le credenziali e può consegnare all'attaccante anche il codice temporaneo.

La tecnica riguarda account Google, Microsoft e altri servizi che usano finestre di autenticazione. Non indica una violazione di quei servizi e non richiede una vulnerabilità del browser: l'attaccante disegna l'intera finestra nella propria pagina. Questa guida spiega i controlli più affidabili e cosa fare se hai già inserito i dati.

Che cos'è l'attacco Browser-in-the-Browser

Il ricercatore mr.d0x ha descritto pubblicamente la tecnica nel 2022. Una pagina malevola può usare HTML, CSS e JavaScript per imitare una finestra di autenticazione esterna. Anche l'indirizzo mostrato nella falsa barra viene scelto dall'attaccante, perché non appartiene all'interfaccia reale del browser.

Nel marzo 2026 Kaspersky ha documentato l'impiego del metodo in campagne reali. Un esempio iniziava con un messaggio relativo a una presunta violazione del copyright su Facebook, proseguiva con un CAPTCHA falso e mostrava poi una finestra di accesso simulata. Il percorso cambia da una campagna all'altra, ma conserva due elementi: urgenza e richiesta di autenticazione.

Un esempio pratico: il falso login Microsoft o Google

1. Ricevi un'email, un messaggio o un avviso che parla di documento condiviso, account bloccato, fattura o violazione.
2. Apri il collegamento e arrivi su una pagina curata, che non mostra subito il modulo per la password.
3. Premi Accedi con Microsoft o Accedi con Google.
4. La pagina disegna un riquadro che assomiglia a una nuova finestra e mostra un indirizzo ufficiale.
5. Il modulo invia password e codice OTP al sito dell'attaccante.

Il lucchetto e il dominio visibili nel riquadro non provano nulla, perché fanno parte dell'immagine interattiva. Il dominio della scheda principale e il modo con cui hai raggiunto il servizio contano più della grafica mostrata nel popup.

Il confronto offre indizi, non una prova basata su un solo dettaglio. Il controllo più sicuro consiste nel chiudere la pagina e aprire il servizio da un indirizzo conosciuto.

Come riconoscere una finestra di login falsa

1. Controlla la scheda principale

Guarda l'indirizzo della pagina che hai aperto prima della finestra di accesso. Un dominio estraneo, abbreviato o simile a quello originale è un segnale di rischio. Anche un sito con HTTPS può essere malevolo: il certificato protegge la connessione verso quel sito, non ne certifica le intenzioni.

2. Chiudi la pagina e raggiungi il servizio da solo

Non usare il pulsante ricevuto nel messaggio. Apri una nuova scheda, digita l'indirizzo ufficiale oppure usa un preferito già salvato. Controlla notifiche, documenti e impostazioni dopo l'accesso avviato da quel percorso.

3. Osserva il comportamento del gestore password

Un password manager associa le credenziali al dominio reale. Se di solito propone il riempimento automatico e in quella finestra resta inattivo, fermati. Non copiare la password a mano per aggirare l'avviso. Questo controllo aiuta, ma non sostituisce la verifica del dominio e del percorso.

4. Prova a spostare la finestra, ma considera il risultato un indizio

Una vera finestra del browser può uscire dai confini della pagina principale. Un riquadro BitB resta dentro quella pagina. Gli attaccanti possono però simulare il trascinamento nell'area disponibile, quindi il movimento non costituisce una prova definitiva.

5. Diffida dell'urgenza

Account in scadenza, multe, copyright, pagamenti e documenti riservati spingono a reagire senza controlli. Fermati prima di inserire password o codici. Se l'avviso è reale, lo ritroverai entrando nel servizio dal suo indirizzo ufficiale.

Password, OTP e 2FA: quali protezioni funzionano

L'autenticazione a due fattori riduce molti rischi, ma i metodi non offrono tutti la stessa resistenza al phishing. Un codice monouso può essere copiato nel falso modulo e usato dall'attaccante prima della scadenza. Anche una richiesta push approvata per distrazione può autorizzare un accesso indesiderato.

Le passkey e le chiavi di sicurezza basate su FIDO/WebAuthn associano la credenziale al dominio corretto. Microsoft e CISA le indicano come metodi resistenti al phishing: il dispositivo non presenta la credenziale a un dominio diverso. Quando il servizio le supporta, offrono una protezione più adatta contro finestre e pagine imitate.

• usa password diverse per ogni account;
• salvale in un gestore password affidabile;
• preferisci passkey o chiavi FIDO per gli account importanti;
• se usi codici OTP, non inserirli dopo essere arrivato da un messaggio inatteso.

L'antivirus può bloccare una finestra Browser-in-the-Browser?

Il filtro web del browser, del DNS o dell'antivirus può riconoscere domini già segnalati e impedire l'apertura di alcune pagine. Una campagna nuova o un dominio appena creato può però non essere ancora classificato. Il BitB sfrutta soprattutto l'inganno visivo, quindi nessun prodotto sostituisce il controllo del percorso e dell'indirizzo reale.

Per un PC Windows conviene mantenere sistema, browser e protezione aggiornati. Nel nostro store puoi consultare le soluzioni antivirus disponibili, valutandole come un livello aggiuntivo e non come garanzia contro ogni truffa.

Hai già inserito password o codice OTP? Cosa fare

1. Interrompi la pagina sospetta. Non scaricare file e non approvare altre richieste.
2. Usa un dispositivo affidabile. Apri il sito ufficiale direttamente e cambia la password. Se quella password è riutilizzata, cambiala anche sugli altri account.
3. Controlla sessioni e dispositivi. Disconnetti quelli che non riconosci e verifica eventi di sicurezza, email e telefono di recupero.
4. Esamina posta e regole automatiche. Negli account email controlla inoltri, filtri, risposte automatiche e applicazioni collegate.
5. Ripristina un metodo di accesso forte. Attiva una passkey, una chiave FIDO o il metodo MFA più sicuro disponibile.
6. Se hai scaricato o eseguito un file, isola il PC dalla rete e avvia una verifica. Evita di usare quel computer per cambiare altre password finché non hai escluso la presenza di software malevolo.

Per recuperare un account usa soltanto le procedure ufficiali del fornitore. TecnoTorino non può accedere agli account Google o Microsoft, modificare le loro verifiche o sostituire il relativo supporto. Consulta le guide ufficiali indicate nelle fonti finali.

Sicurezza delle postazioni aziendali a Torino

In un ufficio il furto di un account può coinvolgere posta, documenti condivisi, servizi cloud e contatti. La gestione richiede controllo delle postazioni, aggiornamenti, protezione endpoint, metodi di autenticazione e procedure comprensibili per chi lavora.

TecnoTorino può valutare la sicurezza dei PC aziendali e preparare un intervento su preventivo. L'attività riguarda le postazioni e l'infrastruttura del cliente; il recupero degli account resta affidato ai canali ufficiali di Google, Microsoft o del servizio interessato. Consulta i nostri servizi IT per aziende a Torino.

Scopri i servizi IT per aziende

Altre guide utili contro il phishing

Le false finestre di accesso rappresentano una delle forme possibili. Approfondisci anche le truffe che colpiscono gli account Gmail e i rischi dei link brevi che nascondono la destinazione.

In sintesi

Una finestra BitB può copiare aspetto, pulsanti e indirizzo di un login conosciuto. Chiudi le pagine raggiunte da messaggi inattesi, apri il servizio dal suo indirizzo ufficiale e considera il comportamento del password manager. Per gli account più importanti preferisci passkey o chiavi FIDO. Se hai già inserito i dati, agisci da un dispositivo affidabile e segui la procedura ufficiale del provider.

Fonti consultate

• mr.d0x: descrizione originale dell'attacco Browser-in-the-Browser
• Kaspersky: uso del Browser-in-the-Browser in campagne reali nel 2026
• Microsoft Support: passkey e resistenza al phishing
• CISA: autenticazione multifattore resistente al phishing
• Google Account Help: proteggere un account compromesso
• Microsoft Support: recuperare un account compromesso

Guida verificata il 4 agosto 2026. Le tecniche di phishing e le procedure dei fornitori possono cambiare: controlla sempre le indicazioni ufficiali aggiornate.