Cos'è un infostealer e come difendersi

Un infostealer è un tipo di malware pensato per una cosa sola: rubare in silenzio le informazioni che trova sul tuo dispositivo. Se ti stai chiedendo cos'è un infostealer e perché ne parlano gli esperti di sicurezza, la risposta breve è che oggi è uno dei modi più comuni con cui password e account personali finiscono in mani sbagliate, spesso senza che la vittima se ne accorga. In questa guida vediamo come funziona, come arriva sul tuo PC, perché è diverso da un data breach e che cosa fare.

Informazioni generali sulla sicurezza informatica personale.

Cos'è un infostealer e che cosa ruba

Un infostealer, una volta in esecuzione su un computer, cerca e copia:

• le password salvate nel browser e i dati di compilazione automatica (indirizzi, carte salvate);
• i cookie di sessione, cioè i "gettoni" che ti tengono collegato a un sito senza richiedere la password a ogni visita;
• le informazioni del sistema (nome del computer, programmi installati, indirizzo IP);
• in molti casi anche portafogli di criptovalute, file di configurazione e app di messaggistica.

I dati raccolti vengono impacchettati in un archivio, chiamato "log", e inviati a un server controllato dagli aggressori, che li usano direttamente oppure li vendono ad altri. Famiglie note includono RedLine, Vidar e Lumma.

Perché è diverso da un data breach

Questa distinzione è la più importante da capire.

In pratica, un data breach tocca un servizio; un infostealer tocca tutti i servizi che usi dal dispositivo infetto.

Come arriva sul tuo computer

Il Rapporto sul panorama delle minacce 2025 dell'ENISA, l'agenzia dell'Unione europea per la cybersicurezza, che analizza 4.875 incidenti tra luglio 2024 e giugno 2025, descrive gli infostealer come una minaccia costante che facilita il furto di credenziali, il dirottamento delle sessioni e l'intermediazione di accessi. Il rapporto cita come canali di diffusione:

• software piratato (crack) e programmi scaricati da siti non ufficiali;
• pagine di phishing;
• repository di codice pubblici;
• falsi controlli "non sono un robot" (fake CAPTCHA) che invitano a incollare un comando o a eseguire un file per "verificare" di essere umani.

L'ENISA riferisce inoltre che, dopo lo smantellamento nell'ottobre 2024 di RedLine e META, l'uso di Lumma è aumentato di oltre il 350% tra le due metà del 2024, e che tra settembre 2024 e marzo 2025 sono state osservate in Italia ondate di infezioni Lumma. Il rapporto completo è disponibile sul sito ENISA.

Cosa significa per te: non serve essere "distratti" per essere infettati; basta un programma scaricato da un sito sbagliato o un falso avviso convincente.

Perché i cookie di sessione sono un problema

La sicurezza di un account non si ferma alla password. Quando accedi a un servizio, il sito ti dà un cookie di sessione. Se un malware lo copia, chi lo possiede può presentarsi al sito come se fosse già autenticato, in alcuni casi senza dover inserire la password né il secondo fattore. È per questo che, dopo un'infezione, rimuovere il malware non basta: bisogna anche invalidare le sessioni (uscire da tutti i dispositivi) e cambiare le credenziali.

I segnali (pochi) e il problema del silenzio

Molti infostealer sono progettati per non farsi notare: eseguono il loro lavoro in pochi secondi e spariscono o restano inattivi. Quindi la mancanza di sintomi non è una prova di sicurezza. Alcuni indizi indiretti possono essere:

• accessi o avvisi di sicurezza da luoghi e dispositivi che non riconosci;
• password cambiate che non hai modificato tu;
• email di reset di password che non hai richiesto;
• un programma installato di recente da fonte non ufficiale;
• messaggi di "verifica" strani con richiesta di incollare comandi.

Per un controllo più ampio della salute del PC leggi come capire se il PC è infetto.

Cosa fare se pensi di essere stato infettato

L'ordine conta.

1. Smetti di usare quel dispositivo per accedere ad account importanti (banca, email, pagamenti).
2. Da un altro dispositivo pulito (un altro telefono o computer che sai essere sicuro), cambia le password: prima email, poi banca, poi il resto. Attiva o rinforza l'autenticazione a due fattori.
3. Esci da tutte le sessioni attive dal pannello di sicurezza di ogni servizio.
4. Pulisci il dispositivo: scansione completa con antivirus aggiornato; in caso di dubbio, reinstalla il sistema dopo aver salvato i file importanti (e ricontrollali prima di riaprirli).
5. Controlla i movimenti bancari e avvisa la banca in caso di operazioni sospette.
6. Non riusare password salvate in quel browser: considera tutte quelle credenziali "bruciate".
7. Se hai subito un danno economico, segnala alla Polizia Postale.

Come ridurre il rischio

• Scarica software solo da fonti ufficiali ed evita programmi craccati.
• Non incollare comandi che un sito ti chiede di eseguire per "dimostrare di essere umano".
• Tieni aggiornati sistema operativo e browser.
• Non salvare le password importanti nel browser senza altre protezioni: leggi le password salvate nel browser sono sicure?.
• Usa un gestore di password e l'autenticazione a due fattori, preferibilmente con passkey o app di autenticazione.

Come scoprire se sei già apparso in un log

Alcune raccolte pubbliche di ricerca censiscono infezioni da infostealer riferite a indirizzi email. La scansione gratuita di VINDICIS controlla, oltre alle violazioni note, se la tua email compare tra i casi di infezione noti, e ti dice quanti problemi risultano. Se compare un'infezione, significa che in passato un tuo dispositivo è stato compromesso: non vuol dire che sia infetto adesso, ma che le credenziali di quel periodo sono da considerare esposte.

Tre controlli rapidi da fare adesso

1. Verifica la tua email con la scansione gratuita, comprese le infezioni da infostealer.
2. Controlla le password che usi di più con il controllo password, che non invia la password a nessuno.
3. Controlla la configurazione della connessione con lo strumento controllo connessione, che lavora interamente nel browser.

Se gestisci un'attività, vale la pena guardare anche la pagina per PMI e partite IVA: il rischio che un solo computer infetto esponga posta, gestionale e banca riguarda anche le piccole imprese.

Con l'abbonamento mensile il controllo si ripete ogni mese e, se compare una nuova infezione, ricevi un avviso immediato; quando dichiari di aver pulito il dispositivo e cambiato le password, l'infezione viene segnata come risolta e il punteggio scende.

Domande frequenti

Un antivirus mi protegge dagli infostealer?

Un antivirus aggiornato riduce il rischio e può rimuovere molte varianti, ma nessuno strumento garantisce una protezione totale. Le abitudini contano: niente software piratato, niente comandi incollati da siti sconosciuti.

Se cambio la password sullo stesso PC infetto è sufficiente?

No. Se il dispositivo è ancora infetto, il malware può rubare anche la nuova password. Cambia le password da un dispositivo pulito, dopo aver ripulito quello compromesso.

L'autenticazione a due fattori mi protegge?

Aiuta molto contro il furto della sola password, ma non risolve tutto: se vengono rubati i cookie di sessione, in alcuni casi l'attaccante può evitare il secondo fattore. Per questo bisogna anche chiudere le sessioni aperte.

Posso sapere se i miei dati sono in un log infostealer?

Alcuni servizi pubblici lo permettono per singolo indirizzo email. La scansione gratuita di VINDICIS ne fa parte. Il risultato è un'indicazione, non una certezza: l'assenza di risultati non garantisce che il dispositivo non sia mai stato infettato.

Gli infostealer colpiscono anche gli smartphone?

Esistono malware per smartphone con funzioni di furto di dati, ma la minaccia più diffusa descritta nelle fonti è sui computer Windows. Valgono comunque le stesse regole: app solo dagli store ufficiali, aggiornamenti e diffidenza verso link e file.