Come scaricare file da Internet in sicurezza: checklist di 15 punti

Il malware si nasconde in eseguibili, documenti, ISO, persino immagini. Questa checklist minimizza il rischio:

Autorità fonte: Sito ufficiale vendor, GitHub releases, Microsoft Store, Mac App Store, F-Droid, Flathub. Evita mirror di terze parti, siti "crack", spam SEO.
HTTPS + Certificato valido: Icona lucchetto. Controlla ortografia dominio (micros0ft.com).
Estensione file ≠ Contenuto: .pdf.exe, .jpg.scr, .zip contenente .exe. Mostra estensioni (Win: Visualizza → Estensioni nomi file).

Verifica hash (SHA-256): Vendor pubblica hash. Verifica:

# Windows CertUtil -hashfile file.exe SHA256 # macOS/Linux shasum -a 256 file.exe

Scansione prima di aprire: Tasto destro → "Scansiona con Windows Defender" / VirusTotal (carica file o URL).
Sandbox prima: Windows Sandbox (Pro/Enterprise), ANY.RUN, Hybrid Analysis, VM VirtualBox con snapshot.
Leggi permessi/prompt installazione: "Diritti admin," "estensione browser," "voce avvio" — nega a meno che non previsto.
Aggiorna prima di installare: OS, browser, definizioni AV, driver. Vulnerabilità corrette = superficie attacco minore.
Usa un password manager: Bitwarden, 1Password, KeePassXC. Password uniche 20+ char. Nessun riutilizzo. Previene furto credenziali da infostealer.
Blocco annunci/tracker: uBlock Origin (Firefox/Chrome/Edge) — blocca malvertising, script download drive-by.
Non cliccare link email/SMS: Phishing → login falso → raccolta credenziali → malware. Naviga manualmente.
VPN su Wi-Fi pubblico: Mullvad, IVPN, Proton — cifratura traffico, nasconde IP. Non scansiona file.
Metti in pausa download non sorvegliati: Se ti allontani, metti in pausa. Il malware può eseguire al completamento (alcuni downloader).
Limita software "gratuito": Adware in bundle (OpenCandy, InstallCore), telemetria, updater automatici. Scegli "Installazione personalizzata" → deseleziona extra.
Verifica permessi app: Posizione, microfono, fotocamera, contatti, file — concede solo quando attivamente usata (controlli per-app iOS/Android).
Rimani informato: Segui Krebs on Security, BleepingComputer, The Hacker News.

Regola d'oro: Se non lo hai cercato tu, non eseguirlo.