“Era la risposta alla mail che avevo mandato io la settimana scorsa: come facevo a sospettare?” È proprio questo che rendeva Emotet così efficace. Non ti scriveva uno sconosciuto: ti rispondeva qualcuno con cui stavi già parlando.
Come funzionava Emotet?
Si infilava nelle conversazioni email esistenti. Il ciclo era questo:
- un computer veniva infettato, quasi sempre aprendo un allegato con le macro;
- il programma copiava le email e i contatti di quel computer;
- rispondeva alle conversazioni vere di quella persona, citando i messaggi precedenti, con un nuovo allegato infetto;
- chi riceveva la risposta si fidava, apriva, e il ciclo ripartiva dal suo computer.
A luglio 2020 Emotet ha fatto un passo in più: usava allegati veri rubati alle vittime, mescolati a quelli infetti, per rendere i messaggi ancora più credibili. Era la novità di cui avevo scritto qui allora.
Perché era così pericoloso?
Perché apriva la porta ad altri. Emotet non era il danno finale: una volta dentro, il computer veniva “rivenduto” ad altri gruppi, che installavano programmi per rubare dati o ransomware.
Le autorità di Paesi Bassi, Germania, Stati Uniti, Regno Unito, Francia, Lituania, Canada e Ucraina, coordinate da Europol ed Eurojust, hanno preso il controllo dell’infrastruttura di Emotet. Europol lo descrive come una delle porte d’ingresso principali per i sistemi informatici a livello globale: gli accessi venivano venduti ad altri gruppi criminali per furti di dati e ransomware.
È finita?
Emotet è stato smantellato, la tecnica no. Rispondere dentro una conversazione vera, o scrivere da una casella vera ma violata, è ancora uno dei modi più efficaci per far aprire un allegato.
- In Svizzera l’UFCS ha descritto nel 2025 il phishing a catena su Microsoft 365: una casella violata scrive automaticamente a tutti i contatti, che si fidano e cadono a loro volta.
- In Italia, a settembre 2026, il CERT-AgID ha segnalato false PEC di sollecito inviate da caselle PEC vere ma violate, con un archivio ZIP infetto.
Un singolo attacco di phishing riuscito può avere conseguenze di vasta portata e compromettere numerosi altri account, perché le email partono da mittenti di cui i destinatari si fidano.
Come riconosco una risposta “infetta”?
Dal fatto che non torna con il resto della conversazione.
- Una risposta a una conversazione vecchia, ferma da settimane o mesi.
- Un testo generico (“in allegato quanto richiesto”, “vedi documento”) che non c’entra con quello di cui parlavate.
- Un allegato che nessuno aveva annunciato: archivio ZIP, documento che chiede di abilitare le macro, pagina HTML.
- Un indirizzo del mittente leggermente diverso da quello di sempre, anche se il nome visualizzato è giusto.
Il Metodo 3V applicato alla risposta inattesa
Tre domande, anche quando la conversazione è vera. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nella risposta con allegato | |
|---|---|---|
| Verifica | Chi me lo manda è davvero chi dice di essere? | Telefona al collega o al cliente: “Mi hai appena mandato un file?”. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Un allegato su una conversazione chiusa da mesi, con un testo che non c’entra? |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Urgente, vedi allegato”: la fretta in una conversazione tranquilla è un segnale. |
Cosa fare se hai aperto l’allegato
- Scollega il computer dalla rete e avvisa chi gestisce l’informatica.
- Cambia la password della posta da un altro dispositivo e attiva la verifica in due passaggi.
- Avvisa i tuoi contatti: dalla tua casella potrebbero partire altre risposte infette.
- Fai controllare il computer: come Emotet insegna, il primo programma spesso ne scarica altri.
Segnala il messaggio: in Svizzera all’Ufficio federale della cibersicurezza UFCS, in Italia alla Polizia Postale. Se hai un dubbio su un link, controllalo su sito-ok.com senza aprirlo.
Domande frequenti
Mi è arrivata una risposta a una vecchia email con un allegato: è pericolosa?
Può esserlo. È la tecnica resa famosa da Emotet: rispondere a conversazioni vere con un allegato infetto. Se la risposta arriva su una conversazione ferma da tempo, con un testo generico e un allegato inatteso, non aprirlo: chiedi al mittente con una telefonata se l'ha mandata davvero.
Emotet esiste ancora?
La sua infrastruttura è stata smantellata a gennaio 2021 da un'operazione coordinata da Europol, ma la tecnica che usava, rispondere dentro conversazioni vere o scrivere da caselle violate, è ancora molto diffusa, anche via PEC.
Come capisco se la mia casella è stata usata per mandare email infette?
Segnali tipici: contatti che ti chiedono di un allegato che non hai mandato, risposte a messaggi che non ricordi, regole di inoltro che non hai creato. Cambia subito la password, attiva la verifica in due passaggi, controlla le regole della posta e avvisa i contatti.
Cosa succede quando apri l’allegato lo mostro in allegato infetto, dietro le quinte.
