Browser «antidetect» abbinati all’intelligenza artificiale aiutano i pirati informatici a impossessarsi di account con cookie di sessione rubati, secondo un rapporto di Check Point Research ripreso il 22 ottobre 2026. Una questione che riguarda la frode online in Svizzera, dove l’Ufficio federale della cibersicurezza segnala attacchi contro account TWINT e di e-banking.

Il rapporto di Check Point Research (CPR), riassunto da TechRadar Pro, descrive strumenti commerciali sfruttati in modo illecito da truffatori. Servono a mascherare un dispositivo, a prendere il controllo di account e a creare migliaia di profili falsi. I ricercatori segnalano in particolare attività provenienti da Russia, Iran e Cina.

Che cos’è un browser «antidetect»?

Un browser tradizionale lascia un’impronta digitale a ogni connessione. Questa comprende la risoluzione dello schermo, il sistema operativo o i caratteri installati. Spesso questi dettagli bastano a riconoscere un dispositivo da una sessione all’altra.

Un browser «antidetect», invece, crea profili isolati, ognuno con la propria impronta. Più account sembrano così provenire da dispositivi completamente diversi. Senza questo strumento, un’agenzia che gestisce più account da un solo browser può far scattare un allarme di sicurezza.

Questi software non sono malevoli per natura. Le agenzie di marketing digitale e gli specialisti dell’affiliazione li usano per gestire reti sociali, campagne pubblicitarie o negozi online. I più noti si chiamano Kameleo, AdsPower, Multilogin, GoLogin e Dolphin Anty.

La presa di controllo di account è l’uso principale rilevato da CPR sui forum clandestini. Le discussioni osservate provengono da attori russofoni, iraniani e cinesi. Riguardano soprattutto Kameleo, AdsPower e Multilogin.

Il procedimento si basa sul cookie di sessione, il piccolo file che mantiene un utente connesso. Il pirata inserisce il cookie rubato in un nuovo profilo del browser. Prende così il controllo dell’account corrispondente, senza attirare l’attenzione. I conti bancari e i portafogli di criptovalute figurano tra i bersagli privilegiati.

I ricercatori descrivono altri usi fraudolenti di questi browser:

  • testare credenziali di pagamento su siti di commercio online senza far scattare allarmi;
  • chiedere prestiti con false identità;
  • superare i controlli di conoscenza del cliente (KYC, per «know your customer»);
  • creare in massa account fittizi, poi sfruttati per generare entrate pubblicitarie fraudolente.

Questo aggiramento prende di mira direttamente i controlli di identificazione online praticati dalle banche e dalle piattaforme di criptovalute.

Che cosa cambia l’IA nella cibercriminalità

Secondo CPR, l’intelligenza artificiale (IA) porta queste frodi su un’altra scala. AdsPower propone ad esempio un’integrazione con i grandi modelli linguistici (LLM) tramite un server Model Context Protocol (MCP). Processi automatizzati guidati dall’IA possono così agire su diversi profili del browser.

Il software offre anche modelli pronti all’uso per pubblicare commenti, distribuire «Mi piace» o inviare messaggi da più account. Con contenuti generati dall’IA, una campagna coordinata richiede quindi pochissimo intervento umano. I truffatori possono anche creare account falsi e poi farli vivere progressivamente, affinché sembrino legittimi al momento della truffa.

I ricercatori riassumono la loro constatazione in una dichiarazione senza mezzi termini: «L’ecosistema dei browser antidetect rappresenta un’infrastruttura sofisticata, commercialmente matura e sempre più guidata dall’IA, che ha notevolmente abbassato gli ostacoli alla messa in atto di truffe». Secondo loro, questi strumenti dispongono di team di assistenza, esistono in decine di lingue e sono ormai collegati a LLM, «che permettono di eliminare l’operatore umano dalla fase di esecuzione».

Frode online in Svizzera: che cosa segnala l’UFCS

In Svizzera, anche l’Ufficio federale della cibersicurezza (UFCS) osserva prese di controllo di account. Il 20 ottobre 2026 ha descritto una nuova variante di phishing legata alle prenotazioni alberghiere. Queste truffe miravano soprattutto alle carte di credito. Nei casi recenti, i truffatori tentano anche di impossessarsi di account TWINT e di e-banking.

Le aziende si aspettano un aumento della cibercriminalità legata all’IA. Secondo lo studio «PMI Cibersicurezza 2026» della Mobiliare, pubblicato dall’UFCS il 22 ottobre 2026, quattro piccole e medie imprese (PMI) svizzere su cinque lo prevedono. Lo studio rileva che molte sono ben protette sul piano tecnico, ma devono fare progressi sul piano organizzativo.

Per queste aziende il rischio non è teorico. Secondo la rivista PME, citata nel nostro articolo sull’attacco informatico contro alcune casse pensioni, un terzo delle PMI elvetiche ha già subito un attacco informatico.

L’UFCS riceve le segnalazioni volontarie della popolazione, delle aziende e delle autorità. I gestori di infrastrutture critiche, invece, sono tenuti a notificargli i loro ciberincidenti dal 1° aprile 2025. Nella stessa settimana, l’ufficio ha anche lanciato un allarme sulla falla PHP PHP2Shell, che colpisce i server web.

La nostra analisi: il phishing descritto dall’UFCS e i cookie rubati descritti da CPR seguono percorsi diversi. Mirano tuttavia allo stesso risultato: un account già aperto, usato all’insaputa del suo titolare.

Come proteggere i propri account: sessioni, autenticazione a due fattori, avvisi

L’UFCS pubblica una procedura da seguire in caso di account violato. Parte da una constatazione: spesso ci si accorge del furto quando è già troppo tardi. Diversi accorgimenti aiutano a individuare prima un’intrusione e a fermarla:

  • verificare i tentativi di accesso effettuati da luoghi o in orari insoliti; Apple, Google o Microsoft inviano una notifica in questi casi;
  • diffidare dei falsi avvisi di accesso: non cliccare mai sul link di un’e-mail di questo tipo, ma digitare personalmente l’indirizzo del servizio;
  • attivare l’autenticazione a due fattori ovunque sia possibile;
  • aggiornare il sistema e le applicazioni, poi avviare una scansione antivirus, perché i pirati rubano dati anche con software malevoli;
  • per un conto bancario o un servizio finanziario, contattare immediatamente il fornitore, far bloccare le carte e verificare gli estratti conto;
  • per una casella di posta, eliminare qualsiasi regola che inoltra e-mail, poi cambiare le password dei servizi collegati;
  • sporgere denuncia presso la polizia cantonale in caso di danno finanziario.

Non tutti i metodi di accesso si equivalgono. Il 19 ottobre 2026 l’UFCS ha pubblicato una classificazione in cinque livelli, da «basso» a «elevato». Si basa sui livelli di garanzia del National Institute of Standards and Technology (NIST) statunitense. L’ufficio l’ha adattata per integrare la protezione contro il phishing in tempo reale. Non è una certificazione, ma un riferimento per scegliere una soluzione.

La nostra analisi: un cookie di sessione corrisponde a una connessione già stabilita. Chiudere le proprie sessioni dopo l’uso e sorvegliare le connessioni attive riduce quindi il tempo durante il quale un cookie rubato resta utilizzabile.

Che cosa cambia per una PMI

CPR consiglia ai team di sicurezza di non sorvegliare più soltanto il comportamento degli account. I ricercatori raccomandano di esaminare anche le infrastrutture tecniche:

  • i proxy residenziali;
  • le incoerenze nelle impronte digitali dei browser;
  • i comportamenti insoliti legati ai cookie di sessione.

Le aziende dovrebbero inoltre verificare che i loro sistemi rilevino le prese di controllo di account basate su questi cookie. La nostra analisi: per una PMI che gestisce un negozio online, il test di credenziali di pagamento descritto da CPR la riguarda direttamente, poiché sono proprio i siti di commercio online a fungere da terreno di prova per i truffatori.

Che cosa non si sa ancora

Il riassunto del rapporto pubblicato da TechRadar Pro non quantifica il numero di account violati né le perdite. Non fornisce alcun dato specifico sulla Svizzera. Nemmeno le pagine dell’UFCS consultate indicano quale quota degli account violati in Svizzera lo sia stata tramite un cookie di sessione rubato. Infine, il riassunto non indica come reagiscono gli editori di questi browser agli usi fraudolenti dei loro strumenti.

Fonti