Infostealer in azienda: cosa fare se un PC è infettato

In una piccola impresa basta un computer infetto per mettere a rischio tutto: la posta, il gestionale, l'home banking, il cloud. Gli infostealer sono programmi che rubano in silenzio le password salvate nel browser e i cookie di sessione, e quando colpiscono un PC aziendale il danno può estendersi ai sistemi dell'attività. Questa guida spiega perché è un problema, come accorgersene, cosa fare in ordine se un PC risulta infetto e come ridurre il rischio. Se vuoi prima le basi, leggi cos'è un infostealer.

Informazioni generali sulla sicurezza informatica, non costituiscono parere legale o tecnico. Per incidenti gravi rivolgiti a un tecnico di fiducia e alle forze dell'ordine.

Infostealer in azienda: perché un solo PC è un rischio per tutti

Un infostealer ruba ciò che trova sul dispositivo: password e dati di accesso salvati nel browser, cookie di sessione, dati di compilazione automatica. In un PC di lavoro questo significa credenziali di:

• posta aziendale, da cui si resettano gli altri account;
• gestionale e software di fatturazione;
• banca e pagamenti;
• cloud, portali dei fornitori, area riservata dell'agenzia delle entrate o di altri enti;
• pannelli di amministrazione del sito web o del dominio.

Il rapporto ENISA sul panorama delle minacce 2025 (4.875 incidenti analizzati tra luglio 2024 e giugno 2025) descrive gli infostealer come una minaccia costante, usati per furto di credenziali, dirottamento delle sessioni e intermediazione di accessi, e indica come canali di diffusione software piratato, pagine di phishing, repository di codice pubblici e falsi controlli "CAPTCHA". Il rapporto cita anche ondate di infezioni Lumma osservate in Italia tra settembre 2024 e marzo 2025. Trovi la fonte sul sito ENISA.

Come arrivano su un PC aziendale

I percorsi tipici in una piccola impresa:

1. Programmi scaricati da siti non ufficiali (versioni "gratuite" di software a pagamento, crack, generatori di licenze).
2. Allegati e link in email che sembrano fatture, multe o avvisi di consegna.
3. Falsi aggiornamenti o falsi controlli "non sono un robot" che chiedono di eseguire un comando o un file.
4. Chiavette USB e dispositivi personali collegati alla rete aziendale.
5. Uso promiscuo del PC per lavoro e svago (giochi, streaming, siti poco affidabili).

Il punto è che non serve una distrazione grave: basta un clic nel momento sbagliato.

Come accorgersene

Di solito non si nota nulla: è il punto di questi malware. Alcuni indizi indiretti:

• accessi o avvisi di sicurezza da luoghi e dispositivi sconosciuti sugli account di lavoro;
• password cambiate o reset non richiesti;
• messaggi inviati dalla posta che il dipendente non ha scritto;
• movimenti bancari o modifiche all'IBAN non riconosciuti;
• un programma installato da fonte non ufficiale pochi giorni prima;
• se utilizzi un controllo periodico, una nuova infezione segnalata per un indirizzo aziendale.

Cosa fare se sospetti un PC infetto: in ordine

1. Non cambiare le password da quel PC. Se il PC è infetto, le nuove password verrebbero rubate a loro volta.
2. Scollega il PC dalla rete (cavo o Wi-Fi), senza spegnere in modo brusco se pensi a un ransomware, per limitare i danni.
3. Da un dispositivo pulito, cambia le password di quella persona partendo da posta, banca e gestionale; attiva la verifica in due passaggi.
4. Chiudi tutte le sessioni attive dei servizi usati su quel PC: il furto dei cookie può bastare ad aggirare password e a volte anche il secondo fattore.
5. Controlla la posta: regole di inoltro, filtri, messaggi inviati. Controlla la banca: bonifici, IBAN, limiti.
6. Fai pulire o reinstallare il PC da un tecnico di fiducia. In caso di dubbio, la reinstallazione pulita è la scelta più sicura. Prima salva solo i file personali e ricontrollali.
7. Cambia anche le credenziali condivise a cui quel PC aveva accesso (account amministrativi, pannelli del sito, chiavi di accesso).
8. Segnala alle forze dell'ordine se ci sono frodi o danni (Polizia Postale, commissariatodips.it; urgenze 112/113).
9. Valuta gli obblighi privacy: se sono coinvolti dati personali di clienti o dipendenti, il GDPR prevede la notifica al Garante entro 72 ore quando possibile (art. 33). Coinvolgi subito il tuo professionista di fiducia. Se la tua attività rientra nell'ambito della NIS2, ci possono essere obblighi di notifica degli incidenti significativi a CSIRT Italia: verifica sul sito dell'ACN.

Dopo la pulizia, tutte le credenziali che erano su quel PC vanno considerate "bruciate". Vedi anche come capire se il PC è infetto.

Prevenzione: cinque abitudini che funzionano

1. Nessun software piratato, mai. Installazioni solo da fonti ufficiali, e solo da chi è autorizzato.
2. Utenti senza privilegi di amministratore per il lavoro quotidiano.
3. Aggiornamenti automatici di sistema, browser e programmi.
4. Gestore di password aziendale invece del salvataggio nel browser, per le credenziali più delicate: vedi password salvate nel browser e password manager gratis.
5. Formazione: spiega a tutti che nessuna pagina web serve a "verificare di essere umani" chiedendo di incollare comandi.

Aggiungi una regola sui dispositivi personali: se un PC privato accede ai sistemi aziendali, le stesse regole valgono per quel dispositivo.

Un esempio per capire l'effetto domino

Immagina un'attività di tre persone. Il PC dell'amministrazione ha il browser con le password della posta, del gestionale e della banca salvate. Un software "gratuito" scaricato da un sito non ufficiale installa un infostealer. Per giorni nessuno nota nulla. Poi un cliente riceve una mail con un IBAN diverso, inviata dalla casella vera. Il problema non era la banca né il gestionale: era un solo computer.

Per verificare le password in uso puoi usare il controllo password, e per l'igiene del dominio di posta lo strumento controllo del dominio.

Un controllo mensile per accorgersene prima

Le credenziali rubate da un infostealer vengono spesso raccolte in "log" che circolano e che alcune fonti pubbliche di ricerca censiscono. Per un primo controllo la scansione gratuita ti dice se un indirizzo risulta tra i casi noti.

Il piano mensile di VINDICIS per le attività (14,99 € al mese) ricontrolla ogni mese fino a 10 indirizzi email aziendali verificati rispetto ai registri degli infostealer e ai data breach noti: se compare una nuova infezione ti avvisa subito, senza attendere il report. Quando hai pulito il dispositivo e cambiato le password da un dispositivo pulito, segni l'infezione come risolta e il punteggio scende. È un software di autovalutazione: non rileva il malware sul PC e non garantisce che non subirai attacchi. La pagina per PMI e partite IVA spiega nel dettaglio cosa controlla.

Domande frequenti

Un antivirus basta a proteggere i PC dell'azienda?

Aiuta, ma non è sufficiente. Servono anche aggiornamenti, utenti senza privilegi di amministratore, niente software piratato, 2FA e formazione.

Se il PC viene pulito, posso riutilizzare le stesse password?

No. Le password salvate su un PC infetto vanno considerate compromesse: cambiale tutte da un dispositivo pulito e invalida le sessioni aperte.

Come faccio a sapere se un dipendente è stato colpito?

Non sempre lo scopri da sintomi. Indizi sono accessi anomali, reset non richiesti o messaggi strani. Un controllo periodico degli indirizzi aziendali può segnalare un'infezione registrata nelle fonti pubbliche, ma non sostituisce l'analisi tecnica del PC.

Devo denunciare l'incidente?

Se ci sono frodi o danni, sì: segnala alla Polizia Postale. Se sono coinvolti dati personali, valuta con un professionista la notifica al Garante entro 72 ore. In presenza di obblighi NIS2, verifica quelli di notifica a CSIRT Italia.

Posso evitare di cambiare tutte le password?

È sconsigliato. Se il dispositivo era compromesso, tutte le credenziali presenti potrebbero essere state copiate. Dai priorità a posta, banca e gestionale, poi alle altre.