Stiamo cercando un software di montaggio video, digitiamo il nome su Google e il primo risultato sembra il sito ufficiale. Il dominio è quasi identico, il pulsante “Scarica” è ben visibile. Peccato che il file installato contenga un infostealer che aspira le password memorizzate nel browser. Questo scenario si è moltiplicato negli ultimi mesi, con decine di siti falsi che imitano le pagine di download di Windows e che si posizionano bene nei risultati di ricerca.
Scaricare software in tutta sicurezza non si riduce a “evitare i siti sospetti”. Le tecniche di inganno si sono evolute, e anche le protezioni native dei sistemi operativi. Ecco come possiamo strutturare i nostri riflessi per limitare al massimo i rischi.
Siti di download falsi: una minaccia che colpisce i risultati di Google
Nel 2026, diverse analisi hanno documentato un’ondata di siti falsi che imitano le pagine di download di strumenti Windows. Questi siti fraudolenti riprendono la grafica degli editori, utilizzano nomi di dominio quasi identici (una lettera in più, un trattino spostato) e riescono a posizionarsi nei primi risultati sponsorizzati o organici di Google.
Il file proposto installa un malware travestito da installatore legittimo. L’utente non vede nulla di anomalo durante l’installazione. Il programma atteso funziona, ma un secondo processo gira in background per raccogliere dati.
Il riflesso di base rimane quello di controllare il dominio esatto prima di cliccare. Per un software come VLC, l’unico dominio affidabile è vuotoalan.org. Per 7-Zip, è 7-zip.org. Qualsiasi variante (vlc-download.com, 7zip-free.net) deve allertare. In aggiunta, possiamo consultare cosa è FileCR secondo Pixel 23 per identificare una piattaforma di download i cui file sono verificati prima della pubblicazione.
Firma digitale e hash SHA-256: verificare un file prima di eseguirlo
Scaricare dal sito giusto non è sempre sufficiente. Un server può essere compromesso, un’estensione del browser può alterare un download. Due verifiche complementari consentono di assicurarsi che il file ricevuto sia proprio quello pubblicato dall’editore.
La firma digitale dell’eseguibile
Su Windows, un clic destro sul file .exe e poi “Proprietà” > “Firme digitali” mostra il nome dell’editore che ha firmato il programma. Se la firma è assente o se il nome non corrisponde all’editore atteso, non si avvia l’installazione.
Una firma valida conferma che il file non è stato modificato dalla sua pubblicazione. Questa è la prima linea di difesa, e richiede dieci secondi.
L’hash SHA-256 per confrontare l’impronta
Alcuni editori pubblicano l’hash SHA-256 dei loro file sul loro sito. Possiamo generare l’hash del file scaricato con il comando certutil -hashfile su Windows, e poi confrontare le due stringhe. Se non corrispondono, il file è stato alterato.
Questa verifica è particolarmente utile quando si scarica un software da uno specchio o da una piattaforma di terze parti. È un gesto tecnico che richiede un minuto, ma elimina ogni dubbio sull’integrità del file.
Smart App Control e SmartScreen: le protezioni native di Windows da conoscere
Windows 11 ha rafforzato i suoi meccanismi di filtraggio con due strumenti complementari che la maggior parte delle guide di download non menziona.
Smart App Control blocca gli eseguibili non firmati o sconosciuti prima ancora che si installino. Su un PC compatibile, questa funzionalità funziona inizialmente in modalità valutativa, poi si attiva automaticamente se l’uso della macchina lo consente. Costituisce una rete di sicurezza aggiuntiva per gli utenti che scaricano regolarmente software.
SmartScreen, da parte sua, analizza la reputazione dei file scaricati. Un punto spesso mal compreso: anche un software correttamente firmato può attivare l’avviso “applicazione non riconosciuta” se è recente o poco scaricato. Microsoft non offre un termine pubblico per rimuovere questo avviso, e non esiste una procedura self-service per gli editori che desiderano accelerare il processo.
Concretamente, se SmartScreen mostra un avviso su un software scaricato dal sito ufficiale e la cui firma digitale è valida, possiamo ragionevolmente ignorarlo. Tuttavia, se il file proviene da un sito di terze parti e non è firmato, l’avviso merita di essere preso sul serio.
Gestori di pacchetti e piattaforme affidabili: automatizzare i download sicuri
Controllare ogni file manualmente funziona, ma possiamo anche strutturare le nostre installazioni per ridurre le occasioni di errore. Diverse approcci si completano a vicenda.
- WinGet, il gestore di pacchetti integrato in Windows, consente di installare un software con un comando (winget install vlc, ad esempio). I pacchetti provengono da repository verificati, il che elimina il rischio di imbattersi in un sito falso tramite un motore di ricerca.
- Ninite raggruppa i software comuni (browser, lettori, utility) in un unico installatore che rifiuta le barre degli strumenti e i software aggiuntivi. Selezioniamo ciò che vogliamo, scarichiamo un solo file e tutto si installa in modo pulito.
- Il Microsoft Store rimane un’opzione per i software disponibili. Le applicazioni sono sottoposte a verifica, anche se i feedback variano sulla severità di questo controllo per alcune categorie di strumenti.
Questi tre metodi condividono un punto in comune: eliminano il passaggio in cui l’utente cerca un link di download in un motore di ricerca, che è precisamente il momento in cui il rischio di imbattersi in un sito falso è più alto.
Checklist prima di installare un software scaricato
Prima di fare doppio clic su un installatore, una verifica rapida in quattro punti è sufficiente a filtrare la maggior parte delle minacce.
- Il file proviene dal sito ufficiale dell’editore, da un gestore di pacchetti o da una piattaforma di download riconosciuta?
- La firma digitale è presente e corrisponde all’editore atteso?
- L’hash SHA-256 del file corrisponde a quello pubblicato dall’editore (quando disponibile)?
- SmartScreen o Smart App Control segnalano un problema, e se sì, il contesto giustifica di ignorarlo?
Nessuno di questi punti richiede più di un minuto. Combinati, coprono gli scenari di compromissione più frequenti, dal sito falso ben posizionato al file alterato in transito.
Il download sicuro si basa meno su un antivirus miracoloso e più su una catena di verifiche semplici applicate sistematicamente. Il dominio, la firma, l’hash, la reputazione di Windows: quattro filtri che, messi insieme, rendono le tentativi di infezione da software malevolo ampiamente inefficaci.
