Un’email che arriva davvero da Google, firmata da Google e capace di superare i controlli di autenticazione, ma che contiene il testo scritto da un truffatore. È il meccanismo che tra il 31 ottobre e il 1° novembre 2026 ha fatto il giro di X, dove diversi utenti hanno descritto un nuovo modo di usare i veri avvisi di sicurezza di Google per costruire una truffa. L’ingrediente è una funzione legittima dell’account, le password per le app, trasformata in un megafono per messaggi di phishing.
Il caso è esploso con un post dell’utente Trevor Campbell, che il 31 ottobre ha scritto di aver ricevuto un messaggio di phishing che Gmail aveva autenticato come proveniente da Google, con i controlli DKIM e DMARC superati. Secondo quanto riportato nel suo post, il truffatore inserisce la propria esca nel nome di una password per le app e fa partire così un vero avviso di sicurezza. Il post, consultato il 1° novembre, aveva superato le 460.000 visualizzazioni. Il tema è stato rilanciato poche ore dopo dall’account verificato di Coin Bureau, con oltre 145.000 visualizzazioni, e nelle ore successive da molti altri utenti, compresi alcuni professionisti della sicurezza.
Per capire il meccanismo bisogna partire da ciò che Google stesso scrive nella sua guida: una password per l’app è un codice di 16 cifre che autorizza un’app o un dispositivo meno sicuri ad accedere all’account, utilizzabile soltanto se è attiva la verifica in due passaggi (la guida di Google precisa che queste password non sono consigliate e nella maggior parte dei casi non sono necessarie). Chi ne crea una deve darle un nome. È su questo campo di testo libero che si concentra l’abuso. Secondo la descrizione fatta da vari utenti su X, il truffatore apre un account Google proprio, genera una password per le app e come nome scrive una frase del tipo «fattura McAfee da 399 dollari, chiama questo numero». Google, quando segnala la creazione della password, riporta quel nome nell’avviso, e il messaggio che ne risulta è autentico dal punto di vista tecnico.
Resta da capire come l’avviso arrivi alla vittima. Alcuni utenti su X sostengono che il truffatore imposti l’indirizzo della vittima come email di recupero del proprio account, altri parlano di un semplice inoltro del messaggio: si tratta di ricostruzioni di singoli utenti, non di una conferma di Google. Un riscontro più solido arriva dall’Università del Michigan, che il 6 ottobre 2026 ha pubblicato una scheda di allerta su un caso del genere. Secondo la scheda dell’ateneo, l’attaccante aveva usato una falsa fattura McAfee da 399 dollari con un numero di telefono come etichetta della password per le app; Google ha inviato l’avviso al dominio di recupero scelto dal truffatore, che lo ha fatto passare attraverso il tenant Microsoft 365 di una scuola superiore compromessa, con inoltro automatico verso gli utenti dell’università. Le firme valide di Google e di Microsoft, scrive l’ateneo, hanno permesso al messaggio di superare tutti i controlli dei gateway di posta. Il caso mostra che la tecnica circolava già prima dell’ondata di post di fine ottobre.
L’obiettivo, secondo la stessa scheda, è far credere al destinatario che il suo account sia stato violato, quando in realtà non è successo nulla, e indurlo a telefonare al numero indicato. I pulsanti dell’avviso sono veri e portano alla pagina di sicurezza dell’utente, che però risulta pulita: un vicolo cieco voluto, che lascia come unica via d’uscita apparente la chiamata al falso supporto. La stessa dinamica è descritta, il 1° novembre, dal sito Hokanews, che però si limita a riprendere quanto già segnalato da Coin Bureau e dall’Università del Michigan e va quindi considerato una fonte secondaria.
Un punto va chiarito, perché in alcune sintesi circolate online il racconto è stato spinto oltre ciò che le fonti sostengono. Nei post pubblici e negli articoli consultati non risulta alcun resoconto verificabile che indichi i creator come bersaglio specifico di questa campagna, né che l’inganno serva a bloccare l’accesso di chi lo riceve a Gmail o a YouTube. Il rischio documentato è quello di una frode telefonica: la vittima viene spinta a chiamare un numero e a pagare o cedere dati, non a perdere l’account. Esiste una variante diversa, riportata dal blog di MEGA il 6 ottobre sulla base di un singolo post in francese su X: un avviso di password per le app creata per un indirizzo Gmail sconosciuto, con un link a una pagina su sites.google.com che chiedeva di accedere con le credenziali. Secondo MEGA, chi avesse digitato la password potrebbe vedersi prendere di mira gli account Google e YouTube, ma la stessa MEGA precisa di non poter confermare che si tratti della stessa tecnica né dello stesso gruppo. Si tratta quindi di un’ipotesi basata su una sola testimonianza.
Per i creator il pericolo di una compromissione dell’account è comunque concreto, ma proviene da un’altra campagna. Il 15 aprile 2026 Malwarebytes ha descritto un’operazione di phishing-as-a-service contro i canali YouTube, basata su finti avvisi di violazione del copyright e su una falsa finestra di accesso a Google. Secondo l’analisi, chi cede le credenziali rischia di perdere l’intero account, Gmail compreso, e di restare escluso mentre il canale viene riutilizzato per truffe verso gli iscritti. Le fonti consultate non collegano questa operazione alle password per le app. Su attacchi alle identità e al phishing sempre più mirato si può leggere anche l’analisi sul fatto che il phishing cala ma diventa più preciso, mentre il caso della giornalista Sharri Markson e dell’account Google violato mostra che cosa comporta la perdita del controllo di una casella.
Sul piano pratico, la regola indicata da Google nella guida di Gmail è netta: se un messaggio di sicurezza che sembra provenire da Google potrebbe essere falso, bisogna andare direttamente su myaccount.google.com/notifications, con l’indirizzo scritto a mano, e verificare lì l’attività recente dell’account. Se l’evento descritto nell’email non compare, il messaggio va trattato come phishing. Google ricorda anche che i messaggi autentici non chiedono la password dell’account, e che in Gmail si può segnalare il phishing dal menu Altro accanto a Rispondi. Nel caso specifico, un avviso con un numero di telefono da chiamare è un campanello d’allarme sufficiente: l’Università del Michigan consiglia di non rispondere, non cliccare e non fornire dati personali o denaro.
Vale la pena, comunque, dare un’occhiata alle proprie password per le app. Dalla pagina myaccount.google.com/apppasswords si vede l’elenco di quelle attive e, come spiega la guida di Google, si può rimuovere quelle che non servono più o che non si riconoscono. Google ricorda che le password per le app vengono revocate quando si cambia la password dell’account e che, ove un’app lo permetta, è preferibile usare «Accedi con Google». Un avviso ricevuto per l’account di un truffatore non significa che il proprio sia stato toccato, ma la pulizia periodica riduce la superficie d’attacco.
La difesa più solida riguarda però il furto delle credenziali, non la ricezione del messaggio. Le passkey, spiega Google, non possono essere condivise, copiate o comunicate per sbaglio e offrono per questo una maggiore protezione dal phishing: si creano da myaccount.google.com/signinoptions/passkeys. Per chi ha un profilo molto esposto, come un creator o un giornalista, c’è il Programma di protezione avanzata di Google, che richiede una passkey o una chiave di sicurezza per l’accesso e, secondo la guida di Google, rende indisponibile anche l’opzione delle password per le app. Resta valida, per tutti gli altri, l’attivazione dell’autenticazione a due fattori e l’uso di una password unica per ogni servizio, come ricordano anche altri articoli del sito sul phishing che usa false email Zoom e Docusign per rubare credenziali. Chi ha già chiamato il numero o inserito la password, indicano le guide di sicurezza, dovrebbe cambiarla da myaccount.google.com e non da un link ricevuto, controllare dispositivi e attività recente, rimuovere eventuali password per le app non riconosciute e avvisare la banca se ha comunicato dati di pagamento.
Restano due punti da tenere presenti. Nelle fonti consultate non c’è una dichiarazione di Google su questa specifica ondata: MEGA ricorda che nell’aprile 2025 Google, in un caso analogo con falsi avvisi su citazioni legali, aveva dichiarato di aver introdotto protezioni contro quell’abuso, ma non è chiaro se e come intervenga sul nome delle password per le app. Inoltre i numeri di diffusione citati si riferiscono ai post su X e non misurano quante persone abbiano effettivamente ricevuto il messaggio o perso denaro.
Fonti: Post di Trevor Campbell (@TrevorCampbell_) su X, 31 ottobre 2026; Post di Coin Bureau su X, 31 ottobre 2026; Post di @pmbhatt su X, 1° novembre 2026; Università del Michigan, avviso phishing del 6 ottobre 2026; Hokanews, 1° novembre 2026; MEGA, 6 ottobre 2026; Malwarebytes, 15 aprile 2026; Guida Account Google: password per le app; Guida Gmail: evitare e segnalare il phishing; Guida Account Google: passkey; Google, Programma di protezione avanzata.
