In Svizzera, su una normale linea di casa, c’è un disco di rete a due dischi. Sembra quello di una famiglia. Nel risultato salvato dal motore di ricerca si leggono i nomi delle cartelle, senza che il disco abbia chiesto una password: «Public», una con il nome di una persona, e una che si chiama TimeMachineBackup. Il nome fa pensare al backup di un Mac.
Non ho aperto niente.
Cosa ho trovato, in Svizzera e in Italia?
Migliaia di apparecchi con la condivisione dei file raggiungibile da chiunque, e centinaia senza password. Anni fa, facendo una ricerca con gli strumenti che uso per lavoro, avevo trovato un sacco di dischi di rete con le cartelle esposte e raggiungibili addirittura senza password. Ora ho rifatto il conto su un motore che cataloga gli apparecchi collegati a Internet.
| Svizzera | Italia | |
|---|---|---|
| Condivisione di file (quella di Windows, che usano anche i dischi di rete e i Mac) raggiungibile da Internet | 4’157 | 11’764 |
| … che mostra le cartelle senza password | 437 | 1’857 |
| Server FTP (un vecchio modo di scambiare file) che lasciano entrare chiunque come «anonimo» | 209 | 806 |
In proporzione agli abitanti la Svizzera ha più del doppio delle condivisioni raggiungibili dell’Italia, e una volta e mezza quelle senza password. Una parte di questi apparecchi sono server noleggiati dalle aziende, ma molti stanno su normali linee di casa e d’ufficio. Fra i server FTP aperti a chiunque, uno era di uno studio di commercialisti in Italia. E l’FTP non cifra niente: quello che entra ed esce viaggia come una cartolina.
Poi ho fatto lo stesso conto per tutta l’Europa. Fra i 35 paesi con più di un milione di abitanti (Cipro, Malta e i più piccoli sono nella mappa, ma fuori classifica), per cartelle senza password in proporzione alla popolazione la Svizzera è settima e l’Italia sedicesima. In testa ci sono Portogallo, Finlandia e Svezia.
Cosa rischi: Chiunque apre le cartelle e si copia foto, documenti e contratti, senza dover indovinare niente. Se le cartelle si possono anche modificare, può cancellare tutto o cifrarlo per chiederti un riscatto.
Tocca un paese per vedere i numeri.
più chiaro = meno, più rosso = di più
I numeri in tabella
In ordine alfabetico. Tocca il titolo di una colonna per ordinare: la prima volta dal valore più alto, la seconda al contrario.
| Albania | 23 | 157 | 11 | 198 | 2’044 | 0 | 9,6 |
|---|---|---|---|---|---|---|---|
| Andorra | 11 | 92 | 1 | 53 | 230 | 5 | 138 |
| Austria | 200 | 1’526 | 142 | 2’587 | 4’117 | 216 | 22 |
| Belgio | 80 | 1’139 | 104 | 2’594 | 8’121 | 91 | 6,8 |
| Bielorussia | 16 | 204 | 45 | 995 | 4’426 | 25 | 1,8 |
| Bosnia ed Erzegovina | 71 | 244 | 8 | 405 | 3’309 | 13 | 22 |
| Bulgaria | 297 | 1’850 | 201 | 3’342 | 41’024 | 322 | 46 |
| Cechia | 382 | 3’850 | 403 | 6’169 | 17’545 | 161 | 35 |
| Cipro | 145 | 445 | 19 | 316 | 1’796 | 2 | 150 |
| Croazia | 74 | 640 | 30 | 1’235 | 3’288 | 16 | 19 |
| Danimarca | 148 | 1’262 | 82 | 2’198 | 4’158 | 39 | 25 |
| Estonia | 51 | 653 | 33 | 1’016 | 4’838 | 8 | 37 |
| Finlandia | 1’034 | 9’776 | 489 | 11’241 | 2’158 | 36 | 185 |
| Francia | 2’410 | 29’397 | 2’166 | 37’699 | 25’672 | 355 | 35 |
| Germania | 3’502 | 56’253 | 6’457 | 113’785 | 27’767 | 1’381 | 42 |
| Grecia | 87 | 979 | 82 | 1’830 | 10’339 | 105 | 8,4 |
| Irlanda | 270 | 1’606 | 32 | 5’251 | 6’744 | 26 | 50 |
| Islanda | 15 | 148 | 11 | 186 | 343 | 1 | 39 |
| Italia | 1’857 | 11’764 | 806 | 12’437 | 52’373 | 885 | 32 |
| Kosovo | 11 | 79 | 2 | 103 | 443 | 2 | 6,9 |
| Lettonia | 118 | 1’040 | 37 | 1’007 | 4’321 | 18 | 63 |
| Liechtenstein | 0 | 7 | 0 | 11 | 11 | 2 | 0 |
| Lituania | 173 | 2’413 | 63 | 2’619 | 11’753 | 25 | 60 |
| Lussemburgo | 27 | 293 | 16 | 317 | 323 | 10 | 40 |
| Macedonia del Nord | 60 | 502 | 30 | 426 | 1’693 | 12 | 33 |
| Malta | 23 | 134 | 1 | 127 | 1’533 | 6 | 41 |
| Moldavia | 29 | 685 | 40 | 1’393 | 8’955 | 909 | 12 |
| Monaco | 4 | 32 | 0 | 30 | 23 | 1 | 100 |
| Montenegro | 1 | 59 | 1 | 69 | 380 | 1 | 1,6 |
| Norvegia | 131 | 935 | 46 | 1’292 | 1’326 | 94 | 23 |
| Paesi Bassi | 787 | 16’442 | 842 | 40’795 | 24’886 | 182 | 44 |
| Polonia | 713 | 6’125 | 487 | 7’922 | 30’451 | 137 | 20 |
| Portogallo | 3’569 | 5’487 | 136 | 2’202 | 20’609 | 84 | 337 |
| Regno Unito | 1’763 | 42’405 | 1’018 | 56’478 | 75’011 | 247 | 26 |
| Romania | 296 | 3’064 | 434 | 3’517 | 43’049 | 307 | 16 |
| San Marino | 2 | 10 | 0 | 8 | 51 | 0 | 67 |
| Serbia | 149 | 941 | 84 | 1’522 | 5’781 | 25 | 23 |
| Slovacchia | 133 | 1’093 | 47 | 1’466 | 6’090 | 45 | 25 |
| Slovenia | 45 | 257 | 60 | 745 | 2’561 | 19 | 21 |
| Spagna | 1’207 | 9’275 | 459 | 17’358 | 39’136 | 287 | 25 |
| Svezia | 687 | 4’525 | 218 | 5’457 | 5’056 | 85 | 65 |
| Svizzera | 437 | 4’157 | 209 | 5’589 | 3’236 | 130 | 49 |
| Ucraina | 327 | 5’336 | 510 | 9’567 | 34’463 | 128 | 8,8 |
| Ungheria | 424 | 4’050 | 223 | 3’328 | 11’854 | 89 | 44 |
Conteggi fatti da me su un motore che cataloga gli apparecchi collegati a Internet: solo i totali, nessun indirizzo. Una parte sono server noleggiati dalle aziende, molti sono su linee di casa e d'ufficio. «Senza password» vuol dire che l'apparecchio mostra l'elenco delle cartelle senza chiedere credenziali. Le telecamere «che si vedono» sono quelle di cui il motore ha salvato un'immagine: sono solo una parte di quelle aperte, e qualcuna è una webcam pubblica voluta. Il luogo è indicativo: il motore lo ricava dall'indirizzo Internet. Nei paesi molto piccoli, come Monaco o San Marino, bastano pochi apparecchi per far salire il valore ogni milione di abitanti. Confini dei paesi: Natural Earth.
Nella mappa ho messo anche due cose che non sono cartelle, ma si aprono allo stesso modo. Il desktop remoto, che serve a usare un computer da lontano come se fossi seduto davanti: in Svizzera è raggiungibile da Internet su 5’589 computer, in Italia su 12’437. E le telecamere: il 10 novembre 3’236 telecamere e videoregistratori rispondevano da fuori in Svizzera e 52’373 in Italia, e di almeno 130 e 885 il motore aveva salvato perfino un’immagine, senza nessuna password. Alle telecamere ho dedicato un articolo a parte.
Non è una sorpresa. Nel 2020 la rivista tedesca c’t aveva fatto la stessa cosa e trovato circa 1’500 server che elencavano le loro condivisioni senza chiedere niente, molti dei quali dischi di rete, e numerosi backup completi di computer Apple. Su parecchi, scriveva, non erano stati i primi visitatori: era già passato un ransomware.
Chi le ha aperte, quelle porte?
Spesso il disco di rete stesso, chiedendolo al router. Molti router hanno una funzione che si chiama UPnP. Serve a far funzionare le cose senza configurarle: un apparecchio di casa chiede al router di aprirgli una porta verso Internet, e il router la apre. Senza chiedere niente a te. I dischi di rete più diffusi hanno proprio un’opzione così, per vedere i file da fuori casa, e Synology stessa avverte che in questo modo il disco «può essere esposto a rischi».
Le strade, però, sono tre, e il conteggio non dice quale:
- Il disco o un’app lo chiedono da soli, con l’UPnP. È la strada più silenziosa, perché nessuno se ne accorge.
- Qualcuno l’ha aperta a mano, per vedere le foto in vacanza o per l’accesso da remoto, e poi se n’è dimenticato.
- Il router è stato violato. Chi comanda il router può aprire le porte che vuole. Nel 2025 l’FBI ha avvisato che succede ai router vecchi, non più aggiornati e con la gestione da remoto accesa.
Almeno un grande operatore svizzero ha spento l’UPnP di serie sui suoi router, con un aggiornamento. Non darlo per scontato sul tuo, soprattutto se il router l’hai comprato a parte o ha parecchi anni.
È comodo per le console e per le videochiamate. Ma se a chiederlo è il disco di rete con le foto di famiglia e il backup del computer, quella porta diventa una porta di casa lasciata aperta sulla strada. La c’t lo diceva così: se il disco di rete apre da solo la porta della condivisione dei file, il disastro è completo.
E non serve che qualcuno cerchi te. Chi attacca non cerca qualcuno di specifico, cerca qualcosa di sfruttabile, e spesso non guarda nemmeno di chi è: molti di questi controlli sono automatici. Lo scriveva anche l’UFCS nel 2022: i criminali setacciano Internet di continuo con programmi automatici, e un apparecchio vulnerabile per loro è facile da trovare.
«disattivate le porte di rete di trasferimento automatiche del router e sul NAS, in particolare il servizio UPnP»
Cosa può succedere ai dati?
Che li legga chiunque, o che qualcuno li cifri e chieda un riscatto. Detto in parole semplici, con le cartelle aperte succede questo:
- Qualcuno guarda e copia. Le foto dei figli, la scansione della carta d’identità, le buste paga, i contratti dei clienti. Se le cartelle si aprono, gli basta un clic, e tu non te ne accorgi: non arriva nessun avviso.
- Qualcuno usa quello che ha copiato. Con un documento d’identità e una bolletta si apre un abbonamento a tuo nome; con le e-mail e le fatture dei clienti si prepara una truffa che sembra vera.
- Qualcuno cifra tutto. Il disco diventa illeggibile e arriva la richiesta di riscatto. Se il backup sta sullo stesso disco, o su un altro collegato alla stessa rete, sparisce insieme.
- Se hai un’attività, il problema diventa anche tuo davanti alla legge. Se escono dati di clienti o dipendenti ne rispondi tu, perché tocca a te proteggerli. In Svizzera la violazione va notificata all’IFPDT quando il rischio per le persone è alto; in Italia al Garante entro 72 ore, a meno che il rischio sia improbabile, e se è alto vanno avvisate anche le persone.
Con il desktop remoto aperto il rischio è ancora più diretto: chi entra non legge solo i file, usa il computer come se fosse tuo. Il 10 novembre il motore che cataloga gli apparecchi aveva salvato l’immagine della schermata d’accesso di 1’569 computer svizzeri e 3’083 italiani con il desktop remoto aperto: a chi attacca manca solo la password, e i programmi automatici la provano giorno e notte. Il desktop remoto lo faccio passare sempre da una VPN, mai da una porta aperta. Con una telecamera aperta qualcuno vede dentro casa o nel negozio e capisce quando non c’è nessuno.
Non è teoria. Nel 2016 l’università del Michigan aveva trovato più di 93’000 apparecchi di casa e di piccoli uffici, soprattutto dischi di rete, che lasciavano entrare chiunque, e 13,7 milioni di foto di matrimoni, compleanni e vacanze leggibili da chiunque. I manuali di quegli apparecchi spiegavano proprio come aprire le porte o usare l’UPnP per vedere i file «da ovunque».
Dall’altra parte c’è il ricatto. Nel 2022 molti dischi di rete QNAP sono stati cifrati, e QNAP stessa ha chiesto ai clienti di spegnere l’UPnP e l’apertura automatica delle porte. Il 29 ottobre 2026 Synology ha avvisato di attacchi ransomware ai suoi dischi con il programma non aggiornato.
Il mio punto è sempre lo stesso: per vedere le foto in vacanza non serve lasciare la casa aperta a tutto il mondo.
Cosa faccio, adesso?
Spengo l’UPnP sul router e sul disco di rete, poi guardo cosa si vede da fuori. Sono i passi che ti consiglio. Spegnere l’UPnP e controllare da fuori lo raccomanda anche l’UFCS; spegnere l’UPnP, cambiare le password di fabbrica e usare una VPN al posto delle porte aperte anche l’ACN.
- Spegni l’UPnP sul router. Se il router te l’ha dato il fornitore di Internet chiedi a lui, se l’hai comprato tu è nel manuale. Chiedi anche cosa smette di funzionare: di solito poco, a volte una console o un’app. Poi fatti mostrare le porte già aperte, dall’UPnP e a mano: spegnerlo non le chiude.
- Spegni anche sul disco di rete la funzione che apre le porte da sola e l’accesso da Internet, se non ti serve.
- Guarda cosa si vede dall’esterno, con una scansione delle porte del tuo indirizzo. Va fatta da fuori casa, non dalla tua rete, e anche sull’indirizzo IPv6 se ne hai uno. Se non sai farlo, fallo fare a chi si occupa della tua rete.
- Per vedere i file da fuori casa, una VPN, cioè un collegamento protetto fino a casa tua, al posto di una porta aperta.
- Aggiorna il disco di rete e cambia le password di fabbrica. E tieni una copia dei dati scollegata: un disco staccato non lo cifra nessuno. Ogni tanto attaccalo e prova ad aprire qualche file: una copia mai provata non è una copia.
Se il disco di rete o il router te li ha installati qualcuno, questo messaggio puoi mandarlo così com’è:
In un’azienda vale lo stesso, con una cosa in più: le cartelle condivise contengono quasi sempre dati di clienti, e se escono ne rispondi tu. L’ho spiegato in chi risponde dei dati, se escono. Per il disco di rete e Plex vedi anche NAS e Plex attaccati.
Domande frequenti
Cos'è l'UPnP del router, ed è pericoloso?
È una funzione che permette agli apparecchi di casa di chiedere al router di aprire una porta verso Internet, senza che tu faccia niente. È comoda per console e videochiamate, ma se a chiederlo è un disco di rete, una telecamera o un vecchio computer, quell'apparecchio diventa raggiungibile da chiunque. Io la spengo, e lo raccomandano anche l'UFCS e l'ACN. Se un apparecchio ne ha bisogno, gli apro a mano solo la porta che serve.
Se spengo l'UPnP smette di funzionare qualcosa?
Di solito poco. Alcune console, giochi o app per vedere apparecchi da fuori possono avere bisogno di una configurazione in più. Se una console non si collega più, apro a mano una sola porta verso la console, mai verso il disco di rete. Chiedi prima a chi ti segue la rete cosa usi davvero. Per vedere i file o le telecamere da fuori, la strada più sicura resta una VPN, non una porta aperta.
Come capisco se il mio disco di rete è visibile da Internet?
Guarda nelle impostazioni del disco se è attivo l'accesso da Internet o l'apertura automatica delle porte, e chiedi a chi ti segue la rete di controllare il tuo indirizzo dall'esterno. Se non hai nessuno che ti segue, comincia spegnendo l'UPnP sul router e l'accesso remoto sul disco: quello che non è aperto non si vede.
Tutte le fonti di questo articolo
- Synology, QuickConnect, creazione automatica delle regole di inoltro, in inglese (consultata il 09.11.2026): kb.synology.com
- FBI, router a fine vita presi di mira dai criminali, in inglese (07.05.2025): ic3.gov
- Swisscom, note di rilascio del firmware dell’Internet-Box (consultata il 09.11.2026): swisscom.ch
- UFCS, settimana 4/2022: vulnerabilità in dispositivi NAS dell’azienda QNAP (01.02.2022): bacs.admin.ch/it/22w04-it
- UFCS, misure per la sicurezza nell’Internet delle cose (consultata il 09.11.2026): bacs.admin.ch
- ACN, CSIRT Italia, dispositivi IoT e servizi di accesso remoto connessi a Internet: rischi e mitigazioni (26.06.2025, aggiornato il 04.11.2026): acn.gov.it
- c’t, file, apparecchi e impianti industriali senza protezione in rete, in tedesco (23.10.2020): heise.de
- Springall, Durumeric, Halderman (University of Michigan), FTP: The Forgotten Cloud, in inglese (2016): jhalderm.com (PDF)
- QNAP, azioni immediate per proteggere i NAS, in inglese (07.01.2022): qnap.com
- Synology, invito ad aggiornare DSM dopo attacchi ransomware, in inglese (29.10.2026): synology.com
- BSI, usare in sicurezza l’Internet delle cose, in tedesco (2022): bsi.bund.de (PDF)
Chiedi questa settimana a chi ti ha installato il router o il disco di rete se l’UPnP è acceso.
