Chrome segnala i siti sospetti prima che siano giudicati pericolosi

Immaginate una pagina web che imita il sito della vostra banca o di un servizio di cui vi fidate e vi chiede di compiere un'operazione insolita. Nelle prime ore di vita, i sistemi di sicurezza non hanno ancora raccolto prove sufficienti per classificarla come pericolosa. È in questa zona grigia che interviene il nuovo sistema di allerta di Chrome, il browser di Google: avvertire l'utente prima, distinguendo il sospetto dalla minaccia accertata. La funzione riguarda chi usa la modalità Enhanced Protection, chiamata Protezione avanzata nell'interfaccia italiana.

Google ha presentato la strategia il 20 ottobre 2026, ma il lavoro era già in corso: la documentazione di Chromium, il progetto open source su cui si basa Chrome, indicava per il terzo trimestre 2026 l'avvio del rilascio degli avvisi per siti sospetti. Le varie componenti arrivano quindi in modo progressivo. Il comunicato lascia aperto il dettaglio delle versioni minime e del calendario per ciascuna piattaforma, Italia compresa.

Un avviso diverso per i sospetti

La novità più visibile riguarda il linguaggio degli avvisi. Le pagine dal comportamento ingannevole ricevono una segnalazione specifica, che si distingue per colori, icone e testo dalla schermata rossa riservata ai siti riconosciuti come malevoli. Il browser comunica così anche il grado di certezza della propria valutazione. Per l'utente un sospetto resta un motivo per fermarsi; per chi gestisce un sito legittimo, la distinzione rende meno categorica una segnalazione magari errata.

La portata dipenderà dall'adozione. A settembre 2026 Chrome rappresentava circa il 60% delle visualizzazioni di pagina misurate in Europa da Statcounter, società che raccoglie statistiche sul traffico web. Si tratta di una quota di traffico, diversa dal numero di persone o di installazioni. Nel 2025 Google aveva inoltre dichiarato che oltre un miliardo di utenti Chrome aveva attivato la Protezione avanzata. Con dimensioni simili, anche una modifica apparentemente circoscritta all'interfaccia diventa rilevante.

Su computer, in italiano, il percorso per attivare la modalità è Impostazioni, Privacy e sicurezza, Sicurezza e quindi Protezione avanzata. La Protezione standard resta quella predefinita, perciò aggiornare Chrome e scegliere il livello avanzato sono due operazioni distinte. Per controllare gli aggiornamenti si apre Guida, poi Informazioni su Google Chrome, riavviando se richiesto. La documentazione consente in genere di proseguire verso un sito segnalato: superare l'avviso significa accettare il rischio indicato dal browser.

L'analisi si sposta sui server

Dietro l'interfaccia cambia anche il modo di esaminare le pagine. Gemini, il modello di intelligenza artificiale usato da Chrome, interpreta contenuti, marchio rappresentato e finalità della pagina. Safe Browsing, il servizio di Google che raccoglie valutazioni sui siti pericolosi, combina questi segnali con la reputazione del dominio. L'elaborazione passa a un modello sui server, più potente, e la copertura della Protezione avanzata si estende oltre i dispositivi compatibili con la precedente soluzione locale.

Google sposta sui propri server l'interpretazione del contenuto delle pagine sospette

Il precedente aiuta a capire quale confine venga spostato. Nel maggio 2025 Chrome aveva descritto un sistema basato su Gemini Nano, versione compatta di Gemini che lavora direttamente sul dispositivo. Quando emergevano segnali tipici delle truffe di falso supporto tecnico, il modello esaminava la pagina e ne ricavava informazioni come l'intento. Questi elementi venivano poi inviati a Safe Browsing per il verdetto finale. Anche allora esisteva dunque una comunicazione con Google; oggi sul server si sposta l'interpretazione del contenuto.

Il compromesso riguarda capacità di analisi, requisiti hardware e dati trasmessi. Google dichiara che il nuovo controllo del testo si attiva soltanto in presenza di forti indicatori di truffa e che i contenuti inviati vengono elaborati temporaneamente, senza registrazione, conservazione o utilizzo per addestrare modelli. Queste garanzie valgono per il trattamento descritto per tale funzione. La Protezione avanzata, più in generale, prevede già l'invio di indirizzi web, campioni di contenuti e altri segnali di sicurezza; la guida precisa che i dati servono a fini di sicurezza e descrive l'associazione all'account quando l'utente ha effettuato l'accesso.

L'elaborazione locale resta una strada praticabile. Nel gennaio 2025 Microsoft presentava per Edge uno Scareware blocker, capace di riconoscere visivamente sul computer le pagine truffaldine a schermo intero, senza inviare le immagini al cloud durante l'analisi. Il sistema affiancava SmartScreen, il servizio di reputazione e protezione del browser. Le architetture osservano segnali differenti: un confronto credibile richiederebbe gli stessi attacchi, dispositivi comparabili e la misura dei falsi positivi, cioè dei siti legittimi segnalati per errore.

ClickFix, la truffa del copia e incolla

La difesa contro ClickFix riguarda un passaggio particolarmente delicato, quello dal browser al sistema operativo. Un falso errore o una finta verifica umana, simile ai test CAPTCHA, convince la vittima a copiare un comando e a eseguirlo sul proprio computer. Il comando può richiamare strumenti legittimi, come PowerShell, l'interprete di comandi di Windows, per scaricare software dannoso. L'utente viene così guidato a compiere personalmente l'operazione che rende possibile l'infezione.

Il fenomeno aveva già mostrato un'accelerazione prima dell'aggiornamento. Nel rapporto ESET relativo a dicembre 2024–maggio 2025, le rilevazioni ClickFix/FakeCaptcha crescevano del 517% rispetto al semestre precedente. Il dato riguarda la telemetria dell'azienda di sicurezza, cioè le rilevazioni dei suoi programmi, senza coprire l'intero mercato. Lo stesso rapporto documentava l'impiego della tecnica da parte del ransomware Interlock, un programma che blocca i dati per chiedere un riscatto, attraverso falsi strumenti informatici e comandi capaci di installare ulteriori componenti malevoli. La conseguenza può quindi estendersi dal furto di informazioni al blocco dei dati.

Chrome interviene quando riconosce la copia di comandi sospetti: rimuove le informazioni personali dal contenuto da analizzare, lo invia a Safe Browsing e mostra un avviso se il verdetto indica pericolo. È un controllo su un solo passaggio della catena, con limiti rispetto alla successiva esecuzione. Davanti a una richiesta di incollare comandi per riparare il browser o completare una verifica, la scelta prudente resta interrompere l'operazione e verificare il problema attraverso i canali ufficiali.

Quanto ci si fida degli avvisi

Resta la questione della fiducia. Lo studio storico Alice in Warningland, di Devdatta Akhawe e Adrienne Porter Felt, osservò nel 2013 che gli utenti superavano circa un quarto degli avvisi di Chrome relativi a malware e phishing, cioè ai tentativi di rubare dati fingendosi un servizio affidabile, con comportamenti molto diversi davanti ad altre segnalazioni. Sono risultati datati, utili soprattutto per ricordare quanto il design possa influenzare le decisioni. Con avvisi più frequenti diventa importante misurare anche l'eventuale assuefazione.

Il design degli avvisi influenza le decisioni di chi naviga in rete

La stessa cautela serve per leggere il vantaggio di dieci volte dichiarato da Google per la Protezione avanzata: il confronto deriva dal numero medio di avvisi mostrati rispetto alla modalità standard. Da questa metrica, da sola, resta impossibile ricavare una riduzione equivalente delle frodi riuscite. La verifica più interessante riguarderà ciò che accade dopo la segnalazione: quante persone abbandonano la pagina, quante proseguono e quali compromissioni vengono effettivamente evitate.