Il cofondatore di Casa Jameson Lopp ha segnalato una campagna di phishing che invia email false attraverso i sistemi di Google stessa, sfruttando l'infrastruttura dell'azienda per dare ai messaggi un aspetto autentico.

I possessori di criptovalute corrono il rischio maggiore da questo schema, che si basa su pagine di login contraffatte progettate per rubare password e altri dati sensibili.

Un'email truffaldina inviata da Google stessa

In un post su X pubblicato giovedì, Lopp ha dichiarato che la campagna è una nuova versione di una vecchia truffa attualmente in corso. Ha allegato uno screenshot dell'email fraudolenta, mostrando che era stata inviata attraverso i veri server di Google.

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) October 29, 2026

Secondo il post, chiunque clicchi sul link all'interno del messaggio viene indirizzato a una falsa pagina di login.

Non è la prima volta che Lopp segnala abusi dei sistemi di Google. A maggio ha evidenziato una truffa che sfruttava il modulo di recupero account di Google, in cui l'attaccante aveva inserito un messaggio molto lungo nel modulo, mantenendo in alto un avviso dall'aspetto autentico e collocando il link della truffa molto più in basso, dopo un ampio spazio vuoto. Anche l'avviso in questo incidente è arrivato attraverso i veri sistemi di account di Google. Nel complesso, questi episodi mostrano come gli attaccanti facciano ripetutamente transitare le truffe attraverso funzionalità legittime di Google anziché falsificare l'identità dell'azienda, il che indebolisce il metodo più comune con cui i destinatari giudicano l'autenticità di un'email.

Check Point ha documentato una campagna simile

La società di sicurezza Check Point (NASDAQ: CHKP) ha scoperto una campagna che abusava della funzione "Send Email" dello strumento Application Integration di Google Cloud. Nell'arco di due settimane a dicembre 2025, gli attaccanti hanno inviato 9.394 email a circa 3.200 organizzazioni. Poiché i messaggi provenivano da un vero indirizzo Google, noreply-application-integration@google.com, hanno superato i controlli DMARC e SPF, che normalmente indicano ai server di posta in ricezione che un messaggio è autentico. DMARC e SPF sono i protocolli standard del settore utilizzati dai provider di posta per confermare che un messaggio provenga davvero dal dominio indicato nell'indirizzo mittente, quindi un esito positivo su entrambi ha un peso significativo sia per i filtri antispam sia per i destinatari.

I destinatari che cliccavano sui link venivano prima instradati attraverso diversi indirizzi web affidabili di Google. Incontravano quindi una falsa pagina CAPTCHA progettata per fermare gli scanner di sicurezza automatici, per poi atterrare su una falsa pagina di login Microsoft (NASDAQ: MSFT) non ospitata da Microsoft.

Google (NASDAQ: GOOGL) ha riferito ai ricercatori di aver bloccato le campagne, dichiarando che il problema derivava dall'uso improprio di uno strumento di automazione e non da un'intrusione nei suoi sistemi. Secondo quanto riportato, truffe simili sono state realizzate anche attraverso Google Meet, DoubleClick, Google Analytics e altri servizi. Questo schema ricorrente significa che un messaggio può apparire legittimo sotto ogni profilo tecnico e portare comunque a una pagina ostile, anche se Google sostiene che i suoi sistemi non siano stati violati.

Perché i possessori di criptovalute sono presi di mira così spesso

Gli utenti degli exchange di criptovalute e i possessori di wallet sono considerati particolarmente esposti, perché le pagine di login false possono essere utilizzate per catturare password, dati di sessione o codici di autenticazione a due fattori. La posta in gioco è anche strutturalmente più alta rispetto alla finanza tradizionale: un trasferimento fraudolento di fondi crypto è generalmente irreversibile una volta confermato on-chain, lasciando poco margine di recupero dopo il furto delle credenziali.

L'avviso segue un incidente separato riportato da Cryptopolitan questa settimana, in cui truffatori hanno utilizzato chiavi API divulgate da Cloudflare (NYSE: NET) per inviare email dai domini stessi di Foundation. Alcuni destinatari hanno dichiarato che i messaggi ricevuti contenevano dati personali legittimi, tra cui nomi, indirizzi e acquisti passati su Passport. Foundation ha successivamente revocato le chiavi e ha assicurato che i fondi sui suoi dispositivi sono al sicuro.

Più in generale, Binance ha dichiarato di aver bloccato 22,9 milioni di tentativi di truffa e phishing nel primo trimestre del 2026, con un aumento del 54% rispetto al trimestre precedente, e di aver protetto circa 1,98 miliardi di dollari in fondi degli utenti — un ritmo che indica come il phishing rimanga uno dei vettori d'attacco più persistenti del settore, anche mentre le singole campagne vengono chiuse.