Keylogger: cos'è, come ruba le password e come difenderti

Un keylogger, per il glossario dell'ACN, è uno strumento hardware o software che intercetta e memorizza di nascosto tutto ciò che la vittima digita sulla tastiera. La Polizia Postale lo cita tra le tecniche legate al phishing: alcuni virus si attivano quando inserisci nome utente e password (il "keylogging"), e così i criminali ottengono le chiavi dei tuoi account di posta o di e-commerce.

Quanto è diffuso

Nel 2025 il CERT-AgID ha osservato che la maggior parte dei malware in circolazione in Italia appartiene a poche famiglie di infostealer, keylogger e RAT, molte delle quali si comprano già pronte come servizio e sono alla portata anche di criminali poco esperti. Tra i malware più usati con l'esca del finto "Ordine" ci sono SnakeKeylogger (35 campagne), VipKeylogger (25) e MassLogger (19). Non esistono statistiche ufficiali italiane sui keylogger in quanto tali.

Come arriva

• Con un allegato o un download. Nel maggio 2024 il CERT-AgID ha documentato una falsa pagina dell'Agenzia delle Entrate, ospitata su un sito italiano compromesso, che faceva scaricare un file chiamato "MODULO_RIMBORSO_AGENZIA_ENTRATE.PDF.ZIP": dentro c'era un programma che acquisiva i tasti premuti e il testo copiato negli appunti.
• Dentro un trojan o uno spyware: su Android, SpyNote ruba password e numeri di carta anche registrando ciò che digiti.
• Su un computer pubblico o condiviso: la Polizia di Stato raccomanda di chiudere sempre la sessione (logout) dopo aver usato il conto online e di digitare tu l'indirizzo della banca.
• Come dispositivo fisico: un keylogger hardware va collegato al computer, quindi chi lo usa deve poterci mettere le mani.

Si può scoprire?

Raramente a occhio nudo. Fai attenzione ai segnali generali di malware e soprattutto ai tuoi account: accessi che non riconosci, password cambiate, messaggi partiti a tuo nome. Poi fai una scansione completa. Su Windows: Sicurezza di Windows > Protezione da virus e minacce > Opzioni di analisi > Scansione completa; se il malware ricompare dopo il riavvio, Antivirus Microsoft Defender (analisi offline), che lavora senza caricare Windows.

Meglio ancora non farlo entrare. Secondo il CERT-AgID quasi metà dei file malevoli sono archivi compressi, e un altro 20% sono script che si avviano con un semplice doppio clic: diffida degli archivi ZIP o RAR e degli allegati che non hai chiesto, anche quando sembrano moduli o ricevute.

Sul telefono

• Su Android i malware che registrano ciò che digiti arrivano di solito con app installate fuori dal Play Store, spesso da un link in un SMS. In Impostazioni > App > Accesso speciale per le app > Installa app sconosciute, lascia attivo Consenti da questa origine solo per le fonti di cui ti fidi davvero.
• Controlla che Google Play Protect sia attivo: Play Store > icona del profilo > Play Protect > Impostazioni > Analizza le app con Play Protect. Play Protect può anche impedire l'installazione di app non verificate che usano autorizzazioni sensibili, spesso sfruttate per le frodi finanziarie.
• Diffida di un'app che chiede i servizi di Accessibilità: SpyNote li usa per concedersi da solo altre autorizzazioni, e riesce perfino a non comparire tra le app recenti.

Se sospetti un keylogger

1. Fai una scansione completa con un antivirus affidabile e aggiornato e rimuovi ciò che trova.
2. Cambia la password degli account importanti e di tutti quelli dove usavi la stessa, a partire da posta e banca.
3. Attiva l'autenticazione a due fattori su questi account.
4. Controlla dispositivi e sessioni collegati a posta, social e messaggistica, e disconnetti quelli che non riconosci.
5. Se hai digitato i dati della carta o dell'home banking, avvisa la banca.
6. Se il malware resiste, ripristina il dispositivo e recupera i file da un backup pulito.

Cosa rende inutile un keylogger

Il keylogger ruba ciò che digiti. Con l'autenticazione a due fattori la password da sola non basta per entrare nel tuo account. Le passkey vanno oltre: non c'è una password da digitare, perché l'accesso si sblocca con impronta, volto o blocco schermo del dispositivo. Nei pagamenti online con autenticazione forte, inoltre, il codice di autorizzazione è monouso e legato a importo e beneficiario: se viene intercettato, non può servire per altri pagamenti, spiega la Banca d'Italia.

Infine, password uniche e robuste per ogni account limitano i danni se le credenziali finiscono nelle mani sbagliate: No More Ransom consiglia di valutare un password manager. Così una password rubata apre al massimo un account, e non basta da sola per entrarci. E quando la banca o un servizio ti chiedono di accedere, raggiungi il sito digitando tu l'indirizzo che conosci, come consiglia la Polizia Postale, invece di seguire un link.

Un keylogger non si vede, ma si può rendere inutile: una password diversa per ogni account e un secondo fattore che non può copiare.