SANS ha osservato il 22 settembre 2026 una campagna che inietta script in siti legittimi e mostra il lure solo ai visitatori macOS. La scelta selettiva cambia il quadro: chi non usa macOS non vede nulla, e il volume apparente dell’attività resta più basso di quanto sia davvero.
Il flusso usa ClickFix per far sembrare la pagina un controllo antibot. Se l’utente segue le istruzioni di verifica, il browser continua a contattare il dominio dell’attaccante mentre il malware viene recuperato dietro le quinte. Il risultato è una delivery che si confonde nel traffico HTTPS normale del sito compromesso e della macchina colpita.
Per chi gestisce siti legittimi, questo sposta il problema dalla classica phishing broad-based a una delivery di livello sito, mirata e poco rumorosa. Per il resto del parco macchine, il punto è che la selezione per sistema operativo può far sfuggire la campagna ai controlli generici e ai conteggi basati solo sulle segnalazioni degli utenti.