Abbiamo appena ritirato un nuovo PC in ufficio, ci serve un programma per ritoccare le foto o un’utilità di compressione e la prima cosa che facciamo è digitare il nome del software in un motore di ricerca. Il link che compare in cima ai risultati non è sempre quello del produttore.
A volte si tratta di una copia quasi perfetta del sito ufficiale, ospitata su un dominio acquistato il giorno prima, che distribuisce un programma di installazione modificato contenente malware. Scaricare e installare un software in sicurezza comincia da un semplice gesto: verificare l’indirizzo prima di fare clic.
Verificare la fonte del file prima di scaricarlo
Lo scenario classico è questo: cerchiamo «VLC download» e facciamo clic sul primo risultato sponsorizzato. Il sito sembra quello vero, il pulsante di download è identico, ma l’URL non corrisponde al dominio ufficiale del produttore del software. Questo tipo di trappola si basa su nomi di dominio simili (una lettera in più, un trattino aggiunto, un’estensione diversa).
Prima di avviare un download, verifichiamo due cose. Innanzitutto, che l’URL nella barra degli indirizzi corrisponda al sito ufficiale del produttore del software. Poi, che la connessione sia crittografata (il lucchetto nel browser). Un sito senza HTTPS che propone un file eseguibile da scaricare è un chiaro campanello d’allarme.
Le piattaforme di distribuzione affidabili (Microsoft Store, il sito del produttore, repository come GitHub per i progetti open source) restano le fonti più sicure. Come spiega il sito Information Influx, verificare la fonte del download confrontandola con il sito ufficiale del produttore è un’abitudine che permette di evitare la maggior parte dei programmi di installazione manomessi.
Un dettaglio che spesso passa inosservato: i risultati sponsorizzati nei motori di ricerca non sono soggetti agli stessi filtri dei risultati organici. Preferire i risultati organici riduce il rischio di finire su un sito falso.
File scaricato: i controlli da fare prima dell’installazione
Una volta salvato il file sul disco, non facciamo subito doppio clic. Il primo controllo utile consiste nel verificare l’impronta del file (hash SHA-256). Molti produttori pubblicano questa impronta nella pagina di download. La confrontiamo con quella del file scaricato usando un’utilità integrata nel sistema (certutil su Windows, shasum su macOS o Linux). Se le due impronte non corrispondono, il file è stato modificato durante il trasferimento.
Il secondo controllo riguarda la firma digitale del programma di installazione. Su Windows, facendo clic con il tasto destro sul file .exe e selezionando «Proprietà» e poi la scheda «Firme digitali», è possibile verificare se il produttore ha firmato il programma. Un programma di installazione non firmato proveniente da un produttore commerciale è sospetto.
Scansionare il file con un antivirus prima di eseguirlo
Anche se l’antivirus è attivo in background, avviare una scansione manuale del file scaricato prima di aprirlo aggiunge un ulteriore livello di verifica. Alcuni antivirus intercettano le minacce solo al momento dell’esecuzione, non durante il download. La scansione manuale consente di esaminare a fondo il file mentre è inattivo.
Per i file sospetti, servizi online come VirusTotal permettono di inviare un file e farlo analizzare contemporaneamente da decine di motori antivirus. Se un file viene segnalato da più motori, va eliminato senza esitazione.
Software gratuiti e programmi indesiderati: leggere ogni schermata di installazione
I software gratuiti finanziati dalla pubblicità includono spesso programmi aggiuntivi nel programma di installazione. A volte vengono chiamati «bundleware»: barre degli strumenti per il browser, utilità di ottimizzazione del sistema o modifiche al motore di ricerca predefinito. Queste aggiunte non sono virus in senso stretto, ma appesantiscono il sistema e raccolgono dati di navigazione.
La trappola si nasconde nelle schermate di installazione che la maggior parte degli utenti conferma facendo clic su «Avanti» senza leggere. Le opzioni «installazione consigliata» o «installazione rapida» includono quasi sempre questi componenti aggiuntivi. Ecco alcune buone abitudini da adottare a ogni installazione:
- Scegliere sempre l’opzione «installazione personalizzata» o «avanzata», anche per un software affidabile, per visualizzare l’elenco completo dei componenti proposti
- Deselezionare tutte le caselle già spuntate relative a programmi di terze parti, modifiche alla pagina iniziale del browser o «partner» del produttore
- Leggere fino in fondo ogni schermata di installazione prima di fare clic su «Avanti», comprese le note in caratteri piccoli nella parte inferiore della finestra
- Se un software richiede l’installazione di un componente di terze parti senza offrire la possibilità di rifiutare, valutare un’alternativa open source che non imponga componenti aggiuntivi
Aggiornamenti di sicurezza: un software installato non è mai «finito»
Un software installato e funzionante non è una questione chiusa. Le vulnerabilità di sicurezza possono emergere dopo il rilascio di una versione e vengono corrette tramite aggiornamenti. Un software non aggiornato diventa una porta d’accesso per gli attacchi, anche se inizialmente è stato scaricato da una fonte affidabile.
Il regolamento europeo sulla ciberresilienza (Cyber Resilience Act), entrato in vigore a dicembre 2024, impone gradualmente ai produttori di software di gestire le vulnerabilità e di fornire aggiornamenti correttivi per tutta la durata di vita del prodotto. I principali obblighi si applicheranno a partire dall’11 dicembre 2027, con una scadenza intermedia fissata all’11 settembre 2026 per la segnalazione delle vulnerabilità attivamente sfruttate.
Scegliere un software ancora aggiornato regolarmente
Prima di installare un programma, possiamo verificare la data dell’ultimo aggiornamento sul sito del produttore o nel suo repository di codice. Un software la cui ultima versione risale a diversi anni fa e per il quale non sono indicati aggiornamenti di sicurezza presenta un problema concreto: le vulnerabilità scoperte nel frattempo non verranno mai corrette.
Per il sistema operativo, attivare gli aggiornamenti automatici resta il metodo più affidabile per correggere le vulnerabilità del sistema e dei componenti integrati (browser, lettore PDF, ambiente Java o .NET). Alcuni software di terze parti dispongono di un proprio meccanismo di aggiornamento automatico. In caso contrario, nella maggior parte delle situazioni è sufficiente controllare manualmente una volta al mese.
In definitiva, per scaricare e installare un software in sicurezza bastano poche semplici verifiche: controllare la fonte, esaminare il file, leggere le schermate di installazione e mantenere il software aggiornato. Sono abitudini che richiedono pochi secondi ciascuna, ma possono evitare ore di lavoro per ripulire il sistema dopo un’infezione.
