Computer e browser.
Il computer fa quello che gli dici tu. Anche quando a dirglielo è qualcun altro.

Cosa succede quando apri un programma sul computer?

Chiamiamola Elena: il nome è di fantasia, la trappola no. Una sera apre un sito che conosce per leggere una ricetta. Prima della pagina compare un riquadro grigio, «Verifica di essere umano». Questa volta la verifica «non riesce» e il riquadro propone tre passi: il tasto Windows e R, poi Ctrl e V, poi Invio. Elena li fa. Si apre una finestrella, passa una riga di testo incomprensibile, sparisce. La ricetta si carica. L'antivirus non dice niente.

Quella riga era un comando, che il sito le aveva già copiato negli appunti. Ha scaricato un programma che ruba le password salvate nel browser, i portafogli di criptovalute e le sessioni aperte, cioè la possibilità di entrare nella sua posta anche senza password. La scena l'ho ricostruita io; il meccanismo lo ha descritto l'UFCS il 24 febbraio 2026, segnalando un aumento dei casi in Svizzera.

La finta verifica: il comando che non va mai incollato

Non eseguire mai un comando che non capisci, qualunque pagina te lo chieda. È la regola che avrebbe salvato Elena, e non ha eccezioni.

Il riquadro «non sono un robot» vero esiste, e si risolve dentro la pagina: un clic, a volte qualche immagine da scegliere o delle lettere da scrivere. Mai fuori dalla pagina. Il trucco, che si chiama ClickFix, imita quel riquadro, un messaggio di errore o un aggiornamento del browser «non riuscito». Ti fa incollare un comando che non hai scritto in una finestra che serve proprio a dare ordini al computer: su Windows la finestra Esegui o PowerShell, sul Mac il Terminale. Sono strumenti leciti, li usano i tecnici: per questo il computer li ascolta senza fare domande, e l'antivirus vede il proprietario che dà un ordine. Nel rapporto del 30 marzo 2026 l'UFCS racconta anche una variante svizzera: una falsa fattura di recupero crediti con un allegato che «non riesce a mostrare il PDF» e chiede di premere Windows e R.

Nemmeno l'indirizzo giusto basta. A maggio 2026, e di nuovo a ottobre, sono state trovate finte guide per installare un assistente di intelligenza artificiale pubblicate su claude.ai, il sito vero, con la funzione con cui chiunque può condividere una pagina. Ci si arrivava da un annuncio a pagamento e la guida chiedeva di incollare un comando. L'indirizzo era vero, la pagina no.

Se hai solo letto la pagina senza incollare niente, non è successo nulla. Se l'hai già fatto, vai ai passi di «Penso di essere stato infettato». La regola si fissa in casa con una frase, che vale per tutti, te compreso:

Da dove scarico i programmi?

Da due posti soltanto: il sito del produttore, con l'indirizzo scritto da te o salvato nei preferiti, oppure lo store del sistema. Non dal primo risultato di una ricerca, non da un link in un messaggio, non da un file ZIP.

«Ho cercato ChatGPT per il computer e l'ho scaricato dal primo risultato» è il gesto più normale del mondo. A fine ottobre 2026 dei ricercatori hanno descritto pagine false, seguite per circa due mesi, che offrivano ChatGPT e Claude «per computer» e comparivano in alto fra i risultati. Chi scaricava riceveva uno ZIP con dentro il programma di installazione vero, firmato dal produttore, e accanto un file nascosto che installava un «miner»: un programma che usa la potenza del computer per produrre criptovalute per i truffatori, e che si ferma quando la persona torna alla tastiera. Il danno visibile era un computer caldo con le ventole a vuoto; quello invisibile, una porta da cui poteva entrare altro. Nessuno dei due produttori era stato violato: i truffatori usavano la fiducia nei loro nomi.

1. Salta tutto quello che è «Sponsorizzato» quando cerchi «scarica» più il nome di un programma: l'annuncio l'ha pagato qualcuno, e nel caso delle finte guide su claude.ai era il truffatore.
2. Una pagina scritta dagli utenti non è quella ufficiale, anche su un indirizzo vero: un indirizzo con «share» dentro è una pagina condivisa, spesso con un avviso «contenuto non verificato» scritto piccolo.
3. Chiediti se ti serve installarlo. ChatGPT e Claude funzionano anche dal browser, senza mettere niente sul computer.
4. Un colloquio vero non ti fa installare niente da un link. Il 29 settembre 2026 l'UFCS ha scritto di un numero crescente di persone infettate durante una candidatura: l'app «per il colloquio», o per chi programma «un esercizio» da eseguire sul proprio computer. Il finto annuncio di lavoro si riconosce da quello che ti chiede di fare, non da quanto sembra seria l'azienda.

Le estensioni del browser: quali tengo?

Poche, quelle che usi e di cui sai chi le pubblica. Un'estensione è un piccolo programma che aggiungi al browser: blocca la pubblicità, traduce, apre un assistente in una colonna. Molte chiedono il permesso di «leggere e modificare i dati dei siti», spesso di tutti i siti. Con quel permesso vedono quello che vedi e quello che scrivi: la chat con l'assistente, la posta, la pagina della banca, la password mentre la digiti.

A fine dicembre 2025 dei ricercatori hanno reso noto che due estensioni per usare ChatGPT e DeepSeek da una barra laterale, installate da circa 900'000 persone, copiavano le conversazioni complete e l'elenco dei siti aperti e le spedivano ai loro server ogni mezz'ora. Una delle due aveva il bollino «In primo piano» dello store. Il bollino dice che al momento del controllo rispettava certe regole, non cosa farà dopo: le estensioni si aggiornano da sole, e un'estensione onesta oggi può cambiare domani se viene venduta. Il caso completo e il controllo in cinque minuti li trovi nell'articolo sulle estensioni.

Finti avvisi e finto supporto tecnico

Un aggiornamento o un tecnico veri non arrivano mai da una finestra che si apre mentre navighi, da un link o da una telefonata che non hai chiesto. Le finestre «il tuo browser è obsoleto» o «aggiornamento non riuscito» sono la finta verifica travestita.

La versione al telefono l'ha descritta l'UFCS nell'aprile 2026: un «impiegato della banca» segnala una transazione sospetta, conosce già nome e indirizzo, e ti passa a uno «specialista informatico» che deve ripulire il computer con uno «strumento di supporto». È un programma di controllo a distanza, uno di quelli veri che i tecnici usano ogni giorno: proprio per questo nessun antivirus lo blocca, perché il permesso lo dai tu. Da lì vedono il tuo schermo, muovono il mouse ed entrano nell'e-banking; a volte lo schermo diventa nero mentre inserisci i codici, così non vedi cosa succede dietro.

La stessa trappola gira anche al contrario: un messaggio annuncia un pagamento che non hai fatto, per esempio il rinnovo di un antivirus da centinaia di franchi o euro, e ti dà un numero da chiamare «per annullare». Oppure il numero dell'assistenza lo cerchi tu, e quello che trovi in rete, o che ti dà un assistente IA, è dei truffatori. Il numero da chiamare lo prendi dal retro della carta, dalla bolletta, dall'app o dal sito scritto da te: dove si trova quello vero.

1. Nessuna banca e nessuna autorità ti chiede al telefono di installare un programma: lo scrive anche l'UFCS. Come riconoscere la finta banca.
2. Riattacca e richiama tu, dal numero che hai trovato da solo. Un operatore vero non si offende; un truffatore insiste.
3. Se un familiare anziano usa il computer, dagli una frase sola: «Chi ti chiama per farti installare qualcosa non è un tecnico. Riattacca e chiama me.»

Aggiornare: il sistema, il browser, i programmi

Il mio consiglio: aggiornamenti automatici accesi per il sistema e per il browser, e per gli altri programmi l'aggiornamento lo cerchi tu, dal menu del programma stesso. Un aggiornamento di sicurezza chiude una porta che qualcuno ha scoperto aperta. Finché non lo installi resta aperta, e chi attacca lo sa: le falle corrette fanno notizia, e la notizia dice a tutti dove cercare.

Il browser è il caso più delicato. Nel 2020 Chrome ha corretto una falla che, con una pagina costruita apposta, permetteva di aggirare una delle sue protezioni, ed era rimasta lì circa un anno e mezzo. Nessuno ti avrebbe avvisato. L'aggiornamento automatico sì, in silenzio.

L'obiezione «se funziona non toccare» l'ho scritta io sul blog nel 2021, e chi lavora nell'informatica ha le sue ragioni: un aggiornamento a volte corregge un problema e ne apre un altro. Io la riassumo così: l'aggiornamento ferma l'hacker, ma a volte blocca anche il programma che usavi tutti i giorni.

Per questo sui server, dove un fermo costa, chi li gestisce prova gli aggiornamenti prima di installarli. A casa il conto è diverso: il fastidio di un aggiornamento che va storto è piccolo e si vede subito; una porta lasciata aperta per mesi non si vede finché non è tardi.

Il computer vecchio

Arriva un giorno in cui il produttore smette di correggere il sistema. Windows 10 dal 14 ottobre 2025 non riceve più gli aggiornamenti normali. Microsoft offre ai privati una proroga delle correzioni di sicurezza fino al 12 ottobre 2027, a patto di iscriversi con un account Microsoft: all'accensione, invece di un nome utente che esiste solo su quel computer, usi l'indirizzo email e la password del tuo account. La proroga è gratuita se sincronizzi le impostazioni del computer con quell'account, e vale anche in Svizzera; in alternativa costa circa 30 dollari o dei punti fedeltà Microsoft. Le condizioni sono sulla pagina di Microsoft. In ogni caso è un rinvio, non una soluzione. Un computer fermo funziona ancora, ma non va più bene per la banca, per la posta che usi per recuperare le password, per i documenti importanti. Le strade sono tre: aggiornarlo al sistema successivo se lo regge; farselo sistemare da un tecnico con un sistema ancora seguito; tenerlo come computer «di seconda fila» e usare per banca e posta il telefono aggiornato. Io, per banca e posta, un computer che non riceve più correzioni non lo userei.

Cosa fa, e cosa non fa, l'antivirus?

Ferma molto di quello che si intrufola. Non ferma chi ti convince. L'antivirus conosce l'aspetto dei programmi malevoli già visti: blocca gli allegati noti, i siti già segnalati, i file che somigliano a quelli catalogati. Quando funziona, lo fa in silenzio, tutti i giorni.

Il nuovo non sempre lo ferma subito. Nel 2020 ho seguito per il blog un documento di Excel arrivato come risposta a una conversazione vera, in inglese dentro uno scambio che era sempre stato in italiano. Chiedeva di «abilitare il contenuto», e fatto quello partiva la catena. L'antivirus ha cominciato a riconoscere qualcosa solo alcune ore dopo, e il primo file scaricato non conteneva nessun virus: era solo l'istruzione per scaricarne un altro. Soprattutto, quando sei tu a incollare il comando, a installare l'app «per il colloquio», a dare il controllo a distanza, per l'antivirus sta agendo il proprietario del computer. A volte se ne accorge lo stesso. Non contarci.

L'antivirus serve: tienilo sempre acceso e aggiornato, quello già incluso nel sistema o un altro. Ma non è sufficiente, e chi lo usa deve saperlo. Ti consiglio anche, su Windows, di lanciare un'analisi completa dopo un'installazione di cui non sei sicuro. Sul Mac la protezione controlla da sola ogni programma alla prima apertura e non ha un pulsante per l'analisi: se un'installazione ti lascia un dubbio, fai guardare il computer da qualcuno di pratico. «Ho l'antivirus» diventa vero il giorno in cui aggiungi: «e so cosa non può fare».

Account amministratore o account normale?

Per tutti i giorni, un account normale. Quasi ogni programma, quando si installa, chiede i permessi di amministratore, anche quello vero: la richiesta da sola non ti dice niente. Conta da dove hai preso il file. Se non viene dal sito del produttore o dallo store, quei permessi non li dai: con quelli un programma può installarsi a fondo e mettere mano a tutto il computer, non solo ai tuoi file.

Un account normale aiuta, ma non è un muro. Quando un programma vuole installarsi per tutto il computer, ti obbliga a fermarti e a dare la password dell'amministratore: è il momento giusto per chiederti da dove viene quel file. Molti programmi però, compresi quelli che rubano password, si installano solo nella cartella del tuo utente e non chiedono nessuna password: per leggere i tuoi file e il tuo browser non ne hanno bisogno. Per questo l'account normale non ferma la finta verifica di Elena: quella la ferma solo la regola di non incollare comandi. Ti risparmia il danno più profondo, quello sul sistema e sugli account degli altri. Sul computer di famiglia l'account di amministratore lo usa chi se ne occupa, i figli e i nonni ne hanno uno normale. In ufficio vale lo stesso: i permessi di amministratore si tolgono a chi non ne ha bisogno, e se un informatico interno non c'è, lo chiedi al fornitore che segue i computer.

Il browser: password salvate, pubblicità e posta

1. Le password salvate nel browser sono comode, e sono il primo posto in cui guardano i programmi che rubano password, come quello di Elena: quel cassetto si apre con l'accesso al tuo computer. La password della posta principale e quella della banca non le lascerei al browser: tienile in un gestore di password o su carta. Dove tenerle è nella guida alle password. Se la tua email compare in una fuga di dati lo controlli su passwordrubata.com, un servizio mio, senza scrivere nessuna password.
2. Un blocco della pubblicità è una difesa, non solo una comodità. Due trappole di questa guida arrivano da una pubblicità: la finta verifica raggiunta da un annuncio e la guida falsa sponsorizzata in cima ai risultati. È un'estensione: una sola, nota, presa dallo store del browser.
3. La posta letta dal browser è in chiaro dentro il browser, e la pagina della webmail è un programma che gira su un server: va aggiornato, ma non da te. Nel settembre 2026 una falla di Roundcube, una delle webmail più diffuse fra chi ha la posta con il proprio dominio, risultava sfruttata mesi dopo che la correzione era disponibile. Se apri un indirizzo tipo webmail.tuodominio.ch, chiedi al fornitore, per iscritto, se è aggiornata. Il caso e cosa fare.

Per le aziende, prima della webmail conviene guardare come il dominio si presenta da fuori: lo fa controllosicurezza.com, il test che ho creato. Il router di casa, l'altra porta da cui passa tutto, ha la sua sezione nella guida alla casa intelligente.

Il computer è il posto del backup

Una volta al mese, come un rituale fisso, copi sul computer le foto e i documenti del telefono; poi copi tutto su un disco esterno e lo stacchi. È la copia fredda: un disco sempre collegato si perde insieme al computer, perché un programma che cifra i file cifra tutto quello che il computer vede, dischi collegati e cartelle sincronizzate compresi. Per lo stesso motivo una cartella che si sincronizza da sola con il cloud non è un backup.

Il backup va provato, non guardato: ogni tanto apri qualche file dalla copia per controllare che ci sia e che si apra. Un backup mai provato è solo una speranza. La regola completa, tre copie su due supporti con una fuori casa, è nell'articolo sul backup 3-2-1 e nella guida al ransomware.

Penso di essere stato infettato: cosa faccio?

Dai segnali concreti, non dalla paura. Un computer lento da solo non è una prova. Questi segnali invece contano:

1. Hai fatto uno dei gesti di questa guida: incollato un comando, installato un programma da uno ZIP o da un link, abilitato il contenuto di un allegato, dato il controllo a distanza a chi ti ha chiamato.
2. La ventola gira forte e il computer scalda quando lo lasci acceso senza usarlo.
3. Avvisi di accesso o di cambio password che non hai fatto tu, o messaggi partiti dalla tua posta che non hai scritto.
4. Un'estensione o un programma che non riconosci, comparsi senza che tu li abbia installati.

Cosa fare, in quest'ordine:

1. Stacca il computer da Internet: il Wi-Fi o il cavo. Se c'era un programma di controllo a distanza, chi ti guardava resta fuori.
2. Se c'entrano soldi o l'e-banking, chiama la banca dal numero sul retro della carta o dall'app, e fai bloccare quello che serve.
3. Da un altro dispositivo cambia le password, partendo dalla posta principale e poi la banca; scegli «esci da tutti i dispositivi», controlla l'indirizzo di recupero e gli inoltri della posta, e attiva la verifica in due passaggi.
4. Togli quello che hai installato e fai un'analisi completa con la protezione del sistema.
5. Se hai dato i permessi di amministratore, o l'analisi trova qualcosa, la cosa più sicura è salvare i documenti e reinstallare il sistema, oppure farlo controllare da un tecnico: non sai cosa è rimasto.
6. Segnala: in Svizzera all'UFCS sul modulo report.ncsc.admin.ch, in Italia alla Polizia Postale. Se mancano soldi, anche alla polizia.

Il computer è anche di lavoro?

Su un computer di lavoro il primo passo, dopo aver staccato la rete, è avvisare subito l'informatico. Se in azienda non c'è, chiama il fornitore che segue i computer o chi ha installato la rete. La cosa più sicura è reinstallarlo. Perché chi ha cliccato lo dica in tempo, la regola deve essere scritta e senza rimproveri. Ogni minuto di silenzio conta più dell'errore.

Il Metodo 3V applicato al computer

Il Metodo 3V del libro «Sicurezza informatica per professionisti»: «Verifica chi ti sta parlando. Valida se la richiesta ha davvero senso. Agisci a Velocità Controllata.» Davanti a una pagina, a un download o a una telefonata, sono tre domande: Chi sei? Ha senso qui e ora? La fretta è reale o indotta? Il libro l'ho scritto per i professionisti, ma le tre domande valgono per tutti: per chi lavora, per chi è in pensione, per i ragazzi.