Infostealer: come capire se le credenziali della tua azienda sono state rubate

Molti attacchi non iniziano con una tecnica sofisticata, ma con una password vera: rubata settimane prima da un infostealer e venduta a chi la usa per entrare. Nel rapporto di settembre 2026 l'ACN indica le credenziali valide già compromesse tra le tre principali porte d'ingresso degli attacchi in Italia. In questo articolo spiego cosa sono gli infostealer, come arrivano sui computer aziendali, quali segnali osservare e quali passi riducono davvero il rischio.

Cosa sono gli infostealer

Un infostealer è un malware progettato per raccogliere informazioni dal computer infetto e inviarle all'attaccante in pochi minuti. I bersagli tipici sono:

• password salvate nei browser e nei programmi di posta;
• cookie e token di sessione, cioè le «chiavi» che tengono aperto un accesso già autenticato;
• dati di moduli compilati, carte di pagamento salvate, portafogli di criptovalute;
• informazioni sul sistema, utili per scegliere il passo successivo.

Il risultato finisce in archivi venduti nei mercati criminali. Chi li compra non deve forzare nulla: entra con le credenziali giuste.

Quanto è diffuso il problema

Nel rapporto mensile di settembre 2026 dell'ACN il CSIRT Italia ha individuato e allertato 253 account istituzionali compromessi, emersi proprio da dati raccolti da infostealer. Lo stesso rapporto conta 29 intrusioni avvenute con credenziali valide nel solo mese di settembre.

Anche l'analisi annuale del CERT-AGID conferma la tendenza: secondo la sintesi del report 2025 pubblicata da Cybersecurity360, il malware più diffuso in Italia nel 2025 è stato FormBook, seguito da Remcos e AgentTesla, famiglie che includono il furto di credenziali tra le loro funzioni principali.

Come arriva un infostealer

Nella mia esperienza le vie d'ingresso più frequenti sono quattro:

1. Allegati e link email, compresi quelli via PEC, che imitano fatture, ordini o avvisi.
2. Software scaricato da fonti non ufficiali: versioni «gratuite» di programmi a pagamento, plugin, estensioni del browser.
3. Finte verifiche nelle pagine web, che chiedono di incollare un comando per dimostrare di non essere un robot.
4. Dispositivi personali usati per lavoro: il PC di casa con la password della posta aziendale salvata nel browser è uno dei casi più comuni.

L'ultimo punto è il più insidioso. L'infezione può avvenire su un computer che l'azienda non gestisce e non vede, mentre le credenziali rubate sono quelle aziendali.

Perché l'autenticazione a più fattori non basta da sola

L'autenticazione a più fattori resta la misura più efficace contro le password rubate e va attivata ovunque. Gli infostealer, però, rubano anche i cookie di sessione: con quelli un attaccante può riprendere una sessione già autenticata senza dover superare di nuovo il secondo fattore, finché la sessione resta valida.

Per questo servono anche sessioni con durata limitata, la revoca delle sessioni attive quando si sospetta un furto e, dove possibile, metodi di autenticazione resistenti al phishing come le chiavi di sicurezza o le passkey.

I segnali da osservare con gli infostealer

Cosa fare se un account risulta compromesso

1. Cambia la password da un dispositivo sicuro e verifica che non sia riutilizzata altrove.
2. Revoca tutte le sessioni attive dell'account e i token delle applicazioni collegate.
3. Controlla regole di posta, deleghe e accessi creati di recente.
4. Identifica il dispositivo infetto, isolalo e ripristinalo: cambiare la password su un PC ancora infetto non serve.
5. Valuta l'impatto su dati e sistemi raggiunti con quell'account; per i soggetti NIS2 verifica se l'evento va notificato, seguendo i tempi descritti in incidente informatico, cosa fare nelle prime 24 ore.

Il caso dei dispositivi personali

Il punto più delicato è il lavoro da dispositivi che l'azienda non gestisce. Vietarli del tutto è spesso irrealistico, soprattutto per chi lavora in mobilità; lasciarli senza regole è un rischio evidente. Una via intermedia funziona bene nelle PMI: accesso ai servizi aziendali solo dal browser, senza salvare password, con sessioni brevi e autenticazione a più fattori, e accesso ai dati più delicati solo da dispositivi aziendali gestiti. Così un'infezione sul PC di casa ha un impatto limitato e rilevabile.

La prevenzione in sei regole

• Niente password aziendali salvate nei browser dei dispositivi personali.
• Un gestore di password aziendale al posto del salvataggio nel browser.
• Installazione di software solo da fonti approvate, con diritti di amministratore limitati.
• Autenticazione a più fattori su posta, VPN, gestionale e servizi cloud.
• Sessioni con scadenza ragionevole e revoca centralizzata.
• Monitoraggio degli accessi anomali, almeno sulla posta e sugli account amministrativi.

Cosa fare adesso

Parti da una domanda semplice: quante persone accedono alla posta aziendale da dispositivi che l'azienda non gestisce? La risposta dice quanto sei esposto agli infostealer. Poi attiva l'autenticazione a più fattori dove manca e stabilisci chi controlla gli accessi anomali. Se vuoi un responsabile della sicurezza che imposti queste regole senza assumere un dirigente, trovi il mio approccio nella pagina sul fractional CISO; per una verifica rapida puoi usare l'autovalutazione NIS2.