Negli ultimi anni i password manager sono diventati strumenti quasi indispensabili: ci sollevano dall’onere di ricordare decine (se non centinaia) di credenziali, generano password complesse e aiutano a mantenere al sicuro dati sensibili come carte di credito o codici 2FA. Tuttavia, una recente scoperta del ricercatore di sicurezza Marek Tóth ha sollevato un campanello d’allarme: alcuni popolari plugin per browser, utilizzati proprio per gestire le password, sono vulnerabili a tecniche di clickjacking.

Questo significa che un utente potrebbe, senza rendersene conto, venire ingannato e consegnare le proprie credenziali agli attaccanti.

Vulnerabilità nei Password Manager: il rischio del Clickjacking

Cos’è il clickjacking e come funziona

Il clickjacking è una tecnica di attacco informatico non nuova, ma ancora oggi molto efficace. In pratica, il cybercriminale crea una pagina web con elementi invisibili o camuffati, sovrapposti a pulsanti o link reali. Quando l’utente pensa di cliccare su un pulsante innocuo (per esempio “Guarda il video” o “Scarica ora”), in realtà sta interagendo con un elemento nascosto, magari un pulsante che autorizza l’accesso a un’app o permette di condividere dati sensibili.

Nel caso dei password manager, il rischio è ancora più alto: se il clickjacking riesce a interagire con l’interfaccia del plugin, può indurre l’utente a rilasciare:

• credenziali di accesso a siti e servizi,

• codici di autenticazione a due fattori (2FA),

• dettagli di carte di pagamento salvati all’interno del gestore.

Il ruolo del DOM nelle vulnerabilità scoperte

La ricerca di Tóth ha mostrato che queste vulnerabilità derivano dall’uso di estensioni del DOM (Document Object Model) da parte dei plugin dei password manager. In parole semplici, il DOM è la struttura logica che rappresenta una pagina web e ne permette la manipolazione dinamica tramite script.

Se un’estensione del browser non gestisce correttamente queste interazioni, può diventare un punto di ingresso per l’attaccante, che sfrutta finestre nascoste o livelli sovrapposti per catturare i click dell’utente e trasformarli in azioni pericolose.

Perché questa scoperta è rilevante

Il problema non riguarda un software di nicchia, ma strumenti diffusi e usati quotidianamente da milioni di persone. Con la crescita della digitalizzazione (in Italia, ma non solo), sempre più utenti e aziende si affidano ai password manager per semplificare e proteggere la gestione delle credenziali.

Proprio per questo una vulnerabilità del genere ha un impatto enorme:

• Gli utenti privati rischiano di vedere compromessi i loro account social, email e persino conti bancari.

• Le aziende potrebbero trovarsi esposte a data breach o accessi non autorizzati alle proprie infrastrutture interne.

• Gli attaccanti potrebbero usare queste credenziali rubate per campagne di phishing mirato o per rivenderle nel dark web.

Come difendersi dal clickjacking sui password manager

La buona notizia è che non tutto è perduto: ci sono diverse contromisure che riducono drasticamente il rischio di cadere vittima di questo tipo di attacco.

1. Aggiornare regolarmente i password manager: gli sviluppatori rilasciano patch non appena vengono scoperte vulnerabilità. Rimandare l’update significa restare scoperti.

2. Attivare sempre l’autenticazione a più fattori (MFA/2FA): anche se le credenziali vengono compromesse, l’accesso non autorizzato può essere bloccato.

3. Usare password uniche e complesse: mai riciclare la stessa password tra più servizi.

4. Diffidare di siti sospetti e allegati non richiesti: spesso il clickjacking arriva tramite campagne di phishing o siti clone.

5. Browser sicuri e aggiornati: alcuni moderni browser integrano già protezioni contro il clickjacking (per esempio tramite intestazioni come X-Frame-Options o Content-Security-Policy).

6. Consapevolezza: sapere che questa minaccia esiste aiuta a prestare maggiore attenzione durante la navigazione.

Un rischio che riguarda tutti

In Italia il tema è particolarmente rilevante. Con la spinta alla digitalizzazione della Pubblica Amministrazione e la crescita dei servizi bancari e sanitari online, milioni di cittadini sono ogni giorno potenzialmente esposti.

Ecco perché non basta installare un password manager e sentirsi al sicuro: come ogni altro software, anche questi strumenti devono essere gestiti con attenzione, aggiornati e usati con consapevolezza.

Vulnerabilità nei Password Manager: il rischio del Clickjacking

Il caso delle vulnerabilità scoperte da Marek Tóth nei plugin dei password manager dimostra ancora una volta che la cybersicurezza è un processo continuo, non un risultato statico. Strumenti progettati per proteggere la nostra vita digitale possono diventare, se trascurati, un punto debole sfruttabile dagli hacker.

Il messaggio chiave è semplice: usare password manager è fondamentale, ma va fatto con responsabilità. Aggiornamenti costanti, buone pratiche di navigazione e la consapevolezza dei rischi come il clickjacking sono oggi più che mai indispensabili per mantenere i nostri dati al sicuro.

Leggi anche: Sicurezza Informatica

Leggi anche: Password Manager