C’è un dato dell’ultimo rapporto dell’Osservatorio Cyber di CRIF, relativo al primo semestre 2026, che merita più attenzione di quanta ne abbia ricevuta: per numero di account rubati tramite infostealer l’Italia è terza al mondo, dopo Stati Uniti e Francia. Siamo sesti per coppie email e password finite in circolazione e, nel complesso, i dati univoci che girano sul dark web hanno raggiunto quota 2,5 miliardi.
Il terzo posto non dipende dal fatto che gli italiani usino password più deboli di altri. Dipende da un tipo di malware molto specifico, che negli ultimi due anni è diventato il modo più economico per entrare negli account delle persone. Vale la pena capire come funziona, perché cambia parecchio le regole su come difendersi.
Cos’è un infostealer, in pratica
Un infostealer è un programma che, una volta eseguito sul computer, fa una cosa sola e la fa in pochi secondi: raccoglie tutto ciò che il browser e alcune app conservano e lo spedisce a un server dei criminali. Nel pacchetto finiscono di solito:
- le password salvate nei browser;
- i cookie di sessione, cioè i “gettoni” che ti tengono connesso ai siti senza dover rifare l’accesso;
- i dati di compilazione automatica, carte di pagamento comprese;
- le sessioni di app come Telegram e Discord e gli eventuali portafogli di criptovalute;
- a volte i file del desktop e della cartella Documenti.
Spesso il programma si cancella da solo subito dopo. Non rallenta il PC, non mostra finestre e non chiede riscatti: per questo molte vittime non si accorgono di nulla per settimane.
Perché la verifica in due passaggi non basta
Qui sta la parte che sorprende di più. Se il criminale ruba la tua password, il codice via SMS o app lo blocca. Ma se ruba il cookie di sessione, per il sito è come se fossi tu, con il tuo browser, che hai già superato la verifica. Non serve né la password né il secondo fattore: basta “incollare” la sessione nel proprio browser.
Ecco perché, nei casi di infostealer, si vedono account social e caselle email violati anche con la verifica in due passaggi attiva. Il rapporto CRIF conferma la tendenza: i dati rubati in questo modo sono in crescita costante, anche grazie al modello “stealer-as-a-service”, in cui il malware si noleggia a mese come un qualsiasi abbonamento e non richiede alcuna competenza tecnica.
Come arriva sul computer
Quasi mai da sola. Le strade più frequenti sono:
- software pirata e “crack”: programmi a pagamento scaricati gratis, attivatori di Office, trucchi per videogiochi. È la porta d’ingresso classica, e il motivo per cui tra le vittime ci sono tanti ragazzi;
- pubblicità ingannevoli nei motori di ricerca: cerchi un programma famoso e il primo risultato, sponsorizzato, porta a un sito clonato;
- finti controlli “Non sono un robot”: una pagina ti chiede di premere Win + R, incollare un testo e premere Invio per “verificare” che sei umano. In realtà stai eseguendo tu stesso un comando che scarica il malware. Nessun sito legittimo ti chiederà mai una cosa del genere;
- allegati e link di phishing, spesso finte fatture o finti preventivi in archivi compressi protetti da password, che sfuggono ai controlli dell’antivirus della posta.
I segnali che qualcosa non va
Non esiste un sintomo certo, ma alcuni campanelli d’allarme vanno presi sul serio:
- avvisi di accesso da un nuovo dispositivo o da un altro Paese, soprattutto se arrivano per più servizi nello stesso periodo;
- amici che ricevono da te messaggi che non hai mai scritto;
- impostazioni dell’email cambiate, per esempio una regola di inoltro che non hai creato;
- un avviso del tipo “la tua password è comparsa in una violazione di dati” dal browser o dal gestore di password. Secondo CRIF, in Italia il 32,3% degli utenti del loro servizio di monitoraggio ha ricevuto almeno un avviso nel semestre.
Cosa fare se sospetti un infostealer
L’ordine delle operazioni conta. Se cambi le password dallo stesso PC infetto, rischi di consegnare anche quelle nuove.
- Usa un dispositivo pulito, per esempio lo smartphone, per tutto quello che segue.
- Parti dalla casella email principale: da lì si recuperano tutti gli altri account. Cambia la password e, subito dopo, disconnetti tutte le sessioni attive. Su Google lo trovi in Gestisci il tuo account > Sicurezza > I tuoi dispositivi; su Facebook e Instagram in Centro gestione account > Password e sicurezza > Dove hai effettuato l’accesso. È questo passaggio a rendere inutili i cookie rubati, non il cambio di password da solo.
- Prosegui con banca, social e account di lavoro, sempre cambiando la password e chiudendo le sessioni.
- Sistema il computer. Una scansione con l’antivirus è il minimo, ma con un malware che si cancella da solo non dà garanzie. La soluzione davvero sicura è salvare i documenti e reinstallare Windows da zero.
- Avvisa la banca se nel browser avevi salvato i dati di una carta, e chiedi se è il caso di sostituirla.
Come ridurre il rischio da qui in avanti
Tre abitudini fanno la differenza. Primo: niente software scaricato da fonti non ufficiali, nemmeno “solo per provare”. Secondo: preferisci un gestore di password dedicato, con il blocco automatico, invece del salvataggio nel browser. Terzo: dove disponibili, passa alle passkey, che non possono essere copiate e riutilizzate come una password. Ne abbiamo parlato nella guida su password, passkey e verifica in due passaggi.
Le passkey non risolvono il problema dei cookie rubati, ma chiudono la porta più usata. E prendere l’abitudine di uscire dagli account che usi di rado, invece di lasciarli sempre connessi, riduce il valore di quello che un infostealer può portarsi via.
Fonte: Teleborsa, dati dell’Osservatorio Cyber di CRIF (primo semestre 2026).