Il file si chiama gta6_installer.exe e pesa 1,1 MB. Un gioco open world AAA non può ovviamente stare in un megabyte e mezzo, ma l’etichetta “installer” e il logo di Rockstar stampato sulla pagina fanno il resto: il fan clicca, il file si esegue e il browser si svuota di password, cookie e sessioni attive. È la campagna descritta da Malwarebytes: una rete di siti che impersonano lo studio e pubblicizzano una demo giocabile di GTA 6 che, ad oggi, non esiste.
La data di lancio è fissata al 19 novembre 2026 per PlayStation 5 e Xbox Series X|S. Rockstar non ha annunciato una versione PC e non ha rilasciato alcuna demo. Il teaser ufficiale, intitolato An Extended Look, è andatpo in onda su Netflix ieri, il 27 agosto 2026: si tratta di un video, non di un download. Eppure è proprio questa confusione tra “guarda il trailer” e “scarica il gioco” che i siti falsi cavalcano, copiando la promozione ufficiale e aggiungendo un bottone Play Now-.
Perché il malware della demo di GTA 6 è più pericoloso di un classico trojan
L’eseguibile appartiene alla famiglia Vidar, un infostealer venduto come servizio (modello Malware-as-a-Service) che esiste dal 2018. Non è un ransomware: non blocca il PC, non mostra finestre, non si installa in avvio, ma cerca le credenziali che il browser ha già salvato in memoria per sotttrarle. GridinSoft lo descrive come capace di raccogliere dati da browser e wallet digitali e Malwarebytes ha contato 19 browser presi di mira, da Chrome a Edge, Firefox, Brave, Opera e Vivaldi, più Thunderbird e il browser Comet di Perplexity.
Qui sta il punto che cambia la percezione del rischio, perchè un infostealer, oltre alle password, sottrae anche i cookie di sessione. Quando accedi a un sito, il server ti rilascia un token che dice “questo browser è già autenticato”: per questo non riscrivi la password a ogni pagina. Se l’attaccante ottiene quel token, può riusarlo senza passare di nuovo dal login.
La MFA protegge il momento dell’accesso, non la sessione già aperta: a seconda del servizio, un token rubato può bastare per entrare come te, senza password e senza codice. Cambiare password dopo l’infezione, da solo, non invalida tutte le sessioni esistenti: serve anche revocare i dispositivi attivi e i token, opzione che la maggior parte dei servizi mette nei propri pannelli di sicurezza.
Quanto consuma l’attesa di 10 anni: il contesto dei leak di GTA 6
La campagna non nasce nel vuoto. Il 18 agosto 2026 un gruppo che si firma Cyberleek ha pubblicato online clip di gameplay e quello che sembrava la mappa completa di Leonida, l’ambientazione di GTA 6. Rockstar e Take-Two hanno risposto con takedown e DMCA subpoena a Microsoft e Discord per risalire alla fonte. Il malware è apparso il 19 agosto, un giorno dopo: non è una coincidenza. I leak veri e falsi, le clip riciclate, i token crypto promossi dal leaker e le AI che generano footage “nuovo” creano un ambiente in cui il fan non sa più cosa sia autentico ed è esattamente il terreno che un operatore di malware cerca.
Come riconoscere la demo falsa di GTA 6 e cosa fare se l’hai eseguita
Il primo segnale è il peso: un eseguibile da 1,1 MB non contiene un gioco moderno. Il secondo è la fonte: se non è Steam, Epic Games Store, PlayStation Store, Xbox o il sito ufficiale di Rockstar, non è una demo ufficiale. La terza verifica è il comportamento: Vidar in questa campagna non lascia meccanismi di persistenza, niente entry in avvio, niente task schedulati, niente servizi installati. Il malware fa il suo lavoro e se ne va, e il danno resta: le credenziali rubate continuano a funzionare anche dopo che l’eseguibile è stato rimosso.
Se hai eseguito il file, il passaggio pratico è questo: scansiona il PC con un tool di sicurezza affidabile, come MalwareBytes Antimalware, oppure Combofix; poi da un dispositivo pulito cambia le password degli account critici, partendo dalla mail principale, e revoca le sessioni attive su ogni servizio dove avevi effettuato login. Se usi un password manager con credenziali uniche, il danno diretto è contenuto: il punto debole resta il browser, che conserva cookie e sessioni anche se le password sono altrove.
Per il contesto più ampio su come le campagne di furto di credenziali si stiano industrializzando, vedi la nostra analisi su come l’AI è coinvolta nel 60% delle truffe crypto, e per un esempio di vulnerabilità software non ancora risolte, le tre falle di Windows Defender che i ricercatori hanno appena reso pubbliche.
Il caso GTA 6 è la dimostrazione che il target più vulnerabile di una campagna di malware non è il sistema operativo, ma l’aspettativa. Finché il gioco più atteso del decennio non è uscito, ogni settimana è una settimana in cui un sito falso può sembrare quello giusto.
