Un infostealer, abbreviazione di information stealer, è una forma di malware progettata per sottrarre silenziosamente dati sensibili da un dispositivo infetto e inviarli a un attaccante. Prende di mira password salvate, cookie del browser, token di sessione, dati di compilazione automatica e portafogli di criptovalute, spesso senza che la vittima se ne accorga.
Gli infostealer sono rapidamente diventati il motore del moderno furto di credenziali. Nella sola prima metà del 2025, hanno rubato circa 1,8 miliardi di credenziali, con un incremento dell'800% rispetto ai sei mesi precedenti. Le credenziali rubate non restano semplicemente su un forum del dark web: vengono anche utilizzate o vendute. Rappresentano la mossa iniziale nelle compromissioni di account, nelle frodi e in una quota in rapida crescita degli attacchi ransomware.
Fonti: Flashpoint Global Threat Intelligence Index, 2025 Midyear Edition; Verizon 2025 Data Breach Investigations Report.
Un infostealer opera silenziosamente in background su un dispositivo infetto, scansionando dati sensibili e inviandoli all'attaccante. La maggior parte segue lo stesso schema in tre fasi: infettare, raccogliere ed esfiltrare.
Una volta che si installa su una macchina, il malware esamina le solite aree di storage: password salvate dal browser, cookie e token di sessione, campi di compilazione automatica, client email, app di messaggistica e file dei portafogli di criptovalute. Raggruppa tutto in un "registro" e lo invia a un server di comando e controllo, spesso nel giro di pochi secondi. Molti infostealer poi si autoeliminano per non lasciare tracce.
La maggior parte viene venduta come malware-as-a-service (MaaS). Con soli 200 dollari al mese, un attaccante poco esperto può noleggiare un kit infostealer sofisticato, completo di dashboard e supporto. La bassa barriera d'ingresso è uno dei motivi principali per cui la minaccia è esplosa. Tra le famiglie più note figurano Lumma Stealer, RedLine e Raccoon.
Gli infostealer puntano a qualsiasi cosa che possa essere venduta o riutilizzata per compromettere un account. Gli obiettivi più comuni:
Gli infostealer raggiungono le vittime attraverso gli stessi canali quotidiani di cui le persone si fidano già. I metodi di distribuzione più comuni includono:
Anche solo un laptop infetto può compromettere la sicurezza di un'intera organizzazione. Gli infostealer sono importanti proprio per le conseguenze che si verificano dopo il furto.
Le credenziali rubate alimentano attacchi di portata maggiore. Secondo il Verizon 2025 Data Breach Investigations Report, il 54% delle vittime di ransomware ha visto i propri domini apparire nei log degli infostealer prima dell'attacco. I broker di accesso iniziale acquistano questi log, selezionano i dati di accesso aziendali a VPN, RDP e servizi cloud e vendono l'accesso già pronto alle gang di ransomware. Il divario tra un log rubato e un vero e proprio attacco ransomware può essere inferiore a 48 ore.
Aggirano anche l'autenticazione a più fattori. Rubando i cookie di sessione attivi, gli aggressori possono effettuare un replay di una sessione di accesso e accedere agli account senza mai inserire una password o un codice temporaneo. La MFA tradizionale da sola non li fermerà.
Per un'azienda, questo significa che il furto di credenziali non è un problema informatico di poco conto. Spesso è la prima tessera del domino nelle violazioni dei dati, nelle frodi finanziarie e negli attacchi ransomware che possono paralizzare le attività aziendali.
Gli infostealer sono progettati per restare nascosti, ma lasciano tracce. Fai attenzione a:
Poiché il malware spesso si autoelimina, il monitoraggio delle credenziali e il rilevamento degli endpoint individuano i ladri di informazioni più rapidamente rispetto all'attesa della comparsa di sintomi evidenti.
Puoi ridurre sia il rischio di infezione sia l'impatto in caso di compromissione. Le difese più efficaci includono:
Gli infostealer sono solitamente il primo passo, non l'ultimo. Le credenziali che raccolgono portano spesso, in seguito, a ransomware o alla distruzione dei dati. Veeam non può impedire al malware di infettare un endpoint, ma garantisce che una password rubata non si trasformi in una catastrofe aziendale.
Con backup immutabili sicuri e un ripristino rapido e affidabile, Veeam ti aiuta a riprenderti da ransomware e dalla perdita di dati, così la tua azienda continua a funzionare. Veeam Data Platform aggiunge anche il rilevamento proattivo delle minacce sui backup, individuando tempestivamente le attività sospette in modo da poter intervenire prima che i danni si propaghino. Maggiori informazioni sulla protezione contro i ransomware e sulla costruzione di una vera resilienza dei dati con Veeam.
Contenuti correlati
Che cos'è il ransomware? · Che cos'è il malware? · Che cos'è il phishing?