In sette giorni i ricercatori di NordVPN hanno individuato 196 indirizzi di phishing attivi contro gli utenti di Roblox. L’esca, emersa a fine settembre, è quasi sempre un’offerta di Robux gratis rilanciata su YouTube, TikTok e Discord. Dietro le pagine false lavora una filiera organizzata, che vende kit pronti, hosting e strumenti per verificare le credenziali rubate.
In breve
- 196 indirizzi di phishing contro gli utenti Roblox individuati da NordVPN in una settimana
- Alcune pagine false chiedono password, codice 2FA a sei cifre, codici di recupero e PIN
- 123 domini con refusi e suffissi nazionali hanno raccolto oltre 105.000 visite
- La richiesta di recupero all’assistenza Roblox va inviata entro 30 giorni dalla compromissione
Sommario
Quasi 200 siti trappola in una settimana
I domini fraudolenti copiano quello ufficiale e aggiungono un suffisso nazionale: tra gli esempi figurano roblox[.]com[.]ug, roblox[.]com[.]py e roblox[.]com[.]kz, legati a Uganda, Paraguay e Kazakistan. Secondo SpazioGames, i ricercatori hanno testato quasi 4.000 combinazioni di errori di battitura e codici di Paese. Ne sono emersi 123 indirizzi truffaldini con più di 105.000 visite complessive. Un gruppo separato conta almeno 521 domini dai nomi studiati per rassicurare, come “login-roblox” e “roblox-verify”.
I siti clone riproducono schermate di accesso, pagine dei giochi e profili utente, con caratteri e impaginazione fedeli all’originale. Su un campione ricontrollato a mano, 22 indirizzi su 24 risultavano attivi e credibili. Le copie imitano titoli molto seguiti dai più giovani:
- Steal a Brainrot
- Grow a Garden
- Blox Fruits
- PLS DONATE
Altre pagine si spacciano per RoVer, il bot che collega gli account Roblox ai server Discord.
Dal video con i Robux gratis al furto dell’account
Il percorso parte da un video su YouTube o TikTok, da una chat Discord o da un messaggio diretto che promette Robux gratis con una scadenza ravvicinata. La fretta serve a togliere tempo per qualsiasi verifica. Il link porta a una copia del login di Roblox. Alcune versioni chiedono la password, il codice a sei cifre dell’autenticazione a due fattori, i codici di recupero e il PIN dell’account, cioè tutto ciò che serve per prendere il controllo del profilo.
Come riporta Fanpage il 27 settembre 2026, attribuendo al Guardian il primo racconto della truffa, il sito falso rimanda la vittima sul vero Roblox subito dopo l’inserimento dei dati. Il giocatore ritrova la piattaforma che conosce e continua a giocare senza segnali d’allarme. Con le credenziali sottratte, i truffatori svuotano il profilo della valuta virtuale, la spostano su altri account o rivendono l’accesso. Una password riutilizzata altrove estende il furto dell’account a caselle e-mail e servizi esterni.
Un mercato di kit pronti per truffare chiunque
Un unico negozio online vendeva pagine di accesso contraffatte, siti di riserva e collegamenti mascherati, insieme all’hosting e a strumenti che controllano se le credenziali rubate funzionano ancora. I pagamenti passavano dalle criptovalute. Marijus Briedis, responsabile tecnologico di NordVPN, ha spiegato che queste truffe possono essere create e diffuse praticamente da chiunque. Alcuni kit di phishing circolano anche sul dark web.
I numeri sulla clientela provengono dai contatori dei servizi stessi e non hanno una verifica indipendente:
| Servizio | Iscritti dichiarati | Crescita osservata | Durata del monitoraggio |
|---|---|---|---|
| Negozio principale | oltre 239.000 | +547 | 42 ore |
| Concorrente | non indicato | +400 | 4 giorni |
Il negozio principale sostiene inoltre di aver elaborato oltre 6 milioni di record con nomi utente e password sottratti.
Come proteggere l’account e cosa fare se è stato violato
La prima difesa è l’autenticazione a due fattori, rafforzata dall’opzione di protezione avanzata di Roblox, che richiede una chiave di sicurezza fisica o una passkey sullo smartphone. Le verifiche facciali dell’età, obbligatorie per la chat in tutto il mondo da gennaio 2026, non fermano i link fraudolenti diffusi su piattaforme esterne.
Il tema della sicurezza dei minori pesa su una piattaforma con oltre 110 milioni di utenti attivi ogni giorno, in larga parte bambini. Nell’agosto 2025 il procuratore generale della Louisiana, Liz Murrill, ha citato in giudizio Roblox per controlli sull’età ritenuti insufficienti; l’azienda ha respinto le accuse. Ad aprile 2026 Roblox ha chiuso con lo Stato dell’Alabama un accordo da 12,2 milioni di dollari in una causa sulla tutela dei minori.
Le misure da adottare subito:
- attivare la 2FA e non comunicare mai a nessuno codici, PIN o codici di recupero;
- usare password diverse per Roblox, e-mail e altri servizi;
- dopo una violazione, rimuovere download ed estensioni sospetti e reimpostare la password;
- aprire una richiesta all’assistenza entro 30 giorni: il recupero di oggetti o Robux avviene solo in casi limitati.
Il fronte da seguire riguarda YouTube, TikTok e Discord, da cui partono le esche che i controlli interni di Roblox non intercettano. Per chi gestisce l’account di un figlio, il passo immediato è aprire le impostazioni di sicurezza e attivare la protezione avanzata con passkey.
