L'antivirus è inutile? No. È utile, ma insufficiente se trattato come unica misura di sicurezza. Questo equivoco nasce dall'idea che gli attacchi avvengano sempre attraverso un file malevolo riconoscibile. Nella pratica, molte intrusioni sfruttano credenziali legittime, errori di configurazione, servizi cloud e vulnerabilità delle applicazioni.
Cosa fa bene un antivirus moderno
I prodotti di protezione endpoint possono controllare file e download, confrontare firme, verificare reputazioni e identificare sequenze di comportamento anomale. Alcuni sistemi sono integrati con controlli cloud e protezione contro il ransomware.
Sono difese utili contro molte minacce diffuse. L'efficacia dipende però dalla piattaforma, dal prodotto, dalle impostazioni e dagli aggiornamenti. Nessuna soluzione rileva ogni attacco e anche i falsi positivi richiedono una valutazione accurata.
Disabilitare la protezione endpoint senza un motivo tecnico verificato non è una buona pratica.
Attacchi che non sembrano malware
Un sito di phishing può indurre la vittima a digitare una password su una pagina falsa. Un aggressore può utilizzare credenziali rubate per accedere a un servizio cloud senza installare file sul computer.
Un'applicazione web vulnerabile può essere compromessa direttamente sul server. Un attacco alle sessioni può sfruttare cookie o token rubati. Alcune intrusioni utilizzano strumenti amministrativi già presenti nel sistema (living off the land), riducendo gli indicatori riconducibili a un file eseguibile tradizionale.
In questi casi la sola scansione antivirus non è sufficiente a valutare l'integrità dell'ambiente.
La difesa a più livelli
Una strategia seria combina strumenti che intervengono in momenti differenti:
- Aggiornamenti di sistema, browser, plugin, firmware e applicazioni.
- MFA, credenziali uniche e controllo delle sessioni.
- Privilegio minimo per limitare i danni derivanti da un account compromesso.
- Backup isolati e verificati, non accessibili con gli stessi privilegi dell'utenza ordinaria.
- Antivirus o EDR configurati con aggiornamenti e telemetria attiva.
- Monitoraggio di log, accessi, modifiche sensibili e anomalie di rete.
- Formazione per riconoscere phishing e richieste anomale.
Queste misure non si sostituiscono. Un antivirus può bloccare un infostealer, ma la MFA può limitare l'uso di una password sottratta; un backup valido permette di ripristinare dati dopo un incidente; il monitoraggio può rilevare accessi anomali sfuggiti alla prevenzione.
Antivirus ed EDR non sono sinonimi
Un antivirus si concentra soprattutto sulla prevenzione e sul rilevamento delle minacce dell'endpoint. Una piattaforma EDR (Endpoint Detection and Response) aggiunge raccolta di telemetria, correlazione degli eventi e funzioni di risposta e indagine. I prodotti moderni possono combinare entrambi gli approcci.
Per un computer domestico, una protezione integrata affidabile e aggiornata può rappresentare un buon livello di protezione contro il malware, se affiancata a aggiornamenti, backup e MFA. In reti aziendali e infrastrutture critiche serve una strategia proporzionata ai rischi, non semplicemente più software installato.
Come reagire a un sospetto incidente
- Non cancellare indiscriminatamente file e log: potrebbero contenere evidenze.
- Se l'attacco è ancora in corso, valuta di isolare il dispositivo o il servizio.
- Verifica gli accessi ai servizi online da un dispositivo affidabile.
- Esegui le scansioni necessarie, ma correlale a eventi di sistema, sessioni e connessioni.
- Ruota le credenziali compromesse e correggi la causa che ha consentito l'attacco.
- Ripristina da backup attendibili quando necessario e monitora eventuali ricomparse.
Una backdoor potrebbe restare attiva anche dopo la cancellazione di un file apparentemente sospetto. Per questo la fase di verifica è essenziale.
Conclusione: il vero limite è la fiducia eccessiva
Un antivirus efficace resta un componente necessario o quantomeno fortemente raccomandabile di molte configurazioni, ma non è un'assicurazione contro tutti gli incidenti. La domanda utile è: quali controlli funzionano se la minaccia non viene riconosciuta immediatamente?
Fonti di riferimento: CISA, MITRE ATT&CK e NIST Cybersecurity Framework.
La protezione deve essere commisurata al contesto e non esiste una configurazione capace di eliminare ogni rischio.