Ho aperto un allegato sospetto, come mi devo comportare?

Se avete appena aperto un allegato email che vi insospettisce e cercate una risposta rapida, eccola: nella maggior parte dei casi la sola apertura non basta a infettare il computer — il danno spesso scatta solo dopo, se abilitate le macro, consentite la modifica o eseguite il file.
Quindi niente panico, ma agite ora con i passi giusti. E se siete al lavoro, la prima cosa conta più di tutte: avvisare il reparto IT.

In questa guida vediamo cosa fare immediatamente dopo aver aperto un allegato sospetto, cosa succede davvero quando lo si apre, come riconoscere un allegato malevolo prima di cliccarlo e perché in un contesto aziendale la rapidità nel segnalare fa tutta la differenza.

1. L’ho aperto: cosa fare subito
2. Cosa succede davvero quando si apre un allegato
3. Come riconoscere un allegato sospetto
4. Perché in azienda contano i minuti
5. Come evitare che succeda ancora

L’ho aperto: cosa fare subito

Se temete di aver aperto un allegato pericoloso, agite in quest’ordine, con calma:

1. Avvisate subito il reparto IT o il responsabile della sicurezza
   In azienda è il passo numero uno e va fatto senza esitazione: non per timore di rimproveri, ma perché solo l’IT può valutare la portata del problema e contenerlo prima che si propaghi alla rete. Un incidente segnalato nei primi minuti è quasi sempre gestibile.
2. Disconnettete il computer dalla rete
   Staccate il Wi-Fi o il cavo: se un malware ha iniziato a comunicare con l’esterno o a muoversi verso altri sistemi, interrompete subito quel canale. Non spegnete il dispositivo, però, se l’IT vi chiede di lasciarlo acceso per l’analisi.
3. Non abilitate e non inserite nulla
   Se il documento chiede di “abilitare le macro” o “consentire la modifica”, o se si è aperta una pagina che chiede credenziali, fermatevi: è spesso lì che scatta il vero attacco. Chiudete tutto senza compilare niente.
4. Eseguite una scansione antimalware completa, non rapida — o lasciate che sia l’IT a farlo secondo le procedure aziendali.
5. Se avete inserito credenziali, cambiatele da un altro dispositivo pulito, e segnalate quali account potrebbero essere coinvolti, così che l’IT possa revocare le sessioni e monitorarli.

La regola che vale più di ogni altra: la rapidità nel reagire conta più dell’errore commesso. Aprire un allegato sbagliato capita anche alle persone attente; ciò che fa la differenza è quanto in fretta si interviene e si segnala.

Cosa succede davvero quando si apre un allegato

Capire il meccanismo aiuta a valutare il rischio reale ed evita sia il panico sia la sottovalutazione.
Gli allegati email sono il principale vettore di diffusione dei malware: vengono mascherati da documenti dall’apparenza legittimi — fatture, comunicazioni, documenti di trasporto, ricevute — proprio per indurre il destinatario ad aprirli in un contesto lavorativo, dove ricevere file è la norma.

Il punto chiave è che l’apertura, da sola, spesso non è sufficiente: molti allegati malevoli hanno bisogno di un’azione ulteriore per eseguire il codice dannoso.
Un documento Office che chiede di abilitare le macro, un PDF che rimanda a un contenuto da “sbloccare”, un file compresso .zip o .rar da estrarre ed eseguire: è in quel secondo passaggio che l’infezione si attiva.
Una volta eseguito, il codice può dare all’attaccante l’accesso al computer, registrare ciò che digitate per rubare credenziali e dati di pagamento, o usare il dispositivo come testa di ponte per entrare nella rete aziendale — lo scenario più grave, perché da una singola postazione l’attacco può estendersi all’intera organizzazione.

Come riconoscere un allegato sospetto

Riconoscere i segnali è la difesa che evita il problema a monte. Il campanello più netto sono i file eseguibili: un allegato con estensione .exe non ha quasi mai motivo di arrivare via email di lavoro, e va trattato come pericoloso — tenendo presente che un eseguibile può nascondersi dentro un archivio .zip o mostrare l’icona di un innocuo documento Office per ingannare. Vanno trattati con cautela anche i documenti che, una volta aperti, chiedono di abilitare macro o contenuti: è una richiesta che un documento legittimo raramente fa.

Contano poi i segnali del messaggio che accompagna l’allegato: un mittente sconosciuto, o noto ma con un indirizzo leggermente diverso dal solito; allegati che non aspettavate, anche da contatti reali (il loro account potrebbe essere compromesso); un tono di urgenza che spinge ad aprire senza riflettere (“scaduto”, “da saldare oggi”, “ultimo avviso”); oggetto e testo vaghi, o errori di grammatica. È lo stesso schema dei messaggi etichettati come sospetto spam, e l’allegato è quasi sempre l’esca di un’email di phishing. Molte aziende, non a caso, aggiungono un avviso automatico sulle email esterne (“mittente esterno: prestare attenzione ad allegati e link”): quel banner è un invito a rallentare, non una formalità.

Perché in azienda contano i minuti

In un contesto aziendale, aprire un allegato sospetto non è un problema personale ma un potenziale incidente di sicurezza per tutta l’organizzazione.
La differenza tra un episodio innocuo e una violazione seria si misura spesso in minuti: il tempo che intercorre tra l’apertura e la segnalazione al reparto IT.
Prima si segnala, prima si può isolare il dispositivo, bloccare eventuali accessi e impedire che un malware si diffonda lateralmente verso server e altri computer.

È per questo che la cultura della segnalazione conta più della colpa.
Un’organizzazione in cui i dipendenti hanno paura di ammettere l’errore è un’organizzazione dove gli incidenti restano nascosti finché non esplodono; una in cui segnalare è normale e incoraggiato è una che contiene i danni sul nascere. Se avete aperto qualcosa di sospetto, la cosa più professionale che potete fare non è sperare che non sia niente: è dirlo subito a chi può verificare.

Come evitare che succeda ancora

La prevenzione si gioca su poche abitudini.

Verificare sempre il mittente prima di aprire un allegato e, nel dubbio, contattarlo per un’altra via per accertarsi che l’abbia inviato davvero. Non abilitare mai macro o contenuti in documenti ricevuti da fonti non certe. Non aprire allegati inattesi, nemmeno da indirizzi conosciuti. Tenere aggiornati sistema operativo, applicazioni e soluzione di sicurezza, perché molti attacchi sfruttano falle già corrette. E davanti all’urgenza — la leva su cui questi attacchi contano — concedersi il secondo di pausa che fa la differenza tra reagire d’impulso e verificare.