L'accesso remoto non autorizzato—sia da malware (RAT), credenziali compromesse o minaccia interna—lascia tracce. Ecco come rilevare e rispondere.
Bandiere Rosse (Indicatori di Compromesso)
| Categoria | Segni |
|---|
| Comportamento Sistema | Mouse si muove da solo; finestre si aprono/chiudono; testo si digita; impostazioni cambiano (sfondi, home page browser, firewall disattivato) |
| Prestazioni | Picchi improvvisi CPU/RAM/disco (Task Manager: processo sconosciuto > 20% CPU); ventola gira forte a vuoto; batteria si scarica velocemente |
| Rete | Alto traffico in upload a vuoto (Monitor Risorse → Rete); connessioni a IP sconosciuti (specialmente esteri); VPN/proxy non avviati da te |
| Account | Email reset password non richieste; email inviate non scritte da te; nuovi dispositivi nei log di sicurezza Google/Apple/Microsoft |
| File | Nuovi file/cartelle (temp, script, log); file mancanti/criptati (ransomware); timestamp modificati |
| Software | TeamViewer, AnyDesk, Chrome Remote Desktop, RDP, VNC, ScreenConnect in esecuzione senza tua conoscenza; nuove estensioni browser |
Checklist Risposta Immediata
- Disconnetti rete: Stacca Ethernet / disattiva Wi-Fi / attiva Modalità Aereo. Blocca esfiltrazione dati e controllo remoto.
- Cambia password su un **dispositivo pulito**: Email, home banking, Apple/Google/Microsoft, password manager, SaaS critici. Attiva 2FA (app TOTP > SMS).
- Esegui scansione antivirus completa: Windows Defender (scansione offline), Malwarebytes Free, HitmanPro, o ESET Online Scanner. Metti in quarantena/rimuovi i rilevamenti.
- Controlla strumenti accesso remoto: Disinstalla TeamViewer, AnyDesk, ecc. se non necessari. Se necessari, imposta accesso non presenziato SPENTO; richiedi conferma per sessione.
- Controlla avvio e servizi: Task Manager → scheda Avvio; `services.msc` → cerca voci sconosciute/avvio automatico.
- Rivedi regole firewall: `wf.msc` → Regole in uscita → disabilita regole consenti sospette.
- Aggiorna OS e app: Applica patch per vulnerabilità sfruttate.
- Considera reinstallazione pulita OS se: rootkit sospettato, meccanismi di persistenza trovati, o bersaglio di alto valore (crypto, dati aziendali).
Indurimento Proattivo
- Account utente standard (non Amministratore) per uso quotidiano.
- Password manager + password uniche 16+ caratteri + 2FA ovunque.
- EDR/AV con rilevamento comportamentale (Defender for Endpoint, CrowdStrike, SentinelOne).
- Monitoraggio rete: GlassWire, Little Snitch (Mac), log DNS Pi-hole.
- Backup offline regolari (regola 3-2-1).
Quando Coinvolgere Professionisti
- Dispositivo aziendale → team IT/sicurezza immediatamente.
- Frode finanziaria / furto d'identità → banca, FTC (identitytheft.gov), denuncia alla polizia.
- Attacco sofisticato (firmware, bootkit, supply chain) → azienda di response agli incidenti.
La maggior parte degli "allarmi accesso remoto" sono in realtà: aggiornamenti in background, sincronizzazione cloud, o strumenti remoti legittimi lasciati attivi. Verifica prima di andare nel panico—ma se più indicatori coincidono, trattalo seriamente.
