In sintesi: continuiamo a intercettare documenti Word ed Excel allegati a email che, una volta aperti, chiedono di "abilitare il contenuto" o "abilitare la modifica". È il modo più comune per far partire un ransomware o un trojan tramite una macro malevola. Non abilitarlo mai su un file ricevuto via email da un mittente non verificato.

Come si presenta

Un'email con un allegato .doc, .docm, .xls o .xlsm — a volte compresso in un file .zip — con un testo che invita ad aprirlo con urgenza o curiosità: una fattura da saldare, la candidatura per una posizione aperta, i dettagli di una spedizione, un ordine da confermare. Il documento, all'apertura, mostra un contenuto sfocato o un messaggio del tipo "per visualizzare correttamente il documento, abilita il contenuto".

Cosa succede se lo abiliti

Le macro sono piccoli programmi che si possono incorporare nei file Office per automatizzare operazioni. In un documento malevolo, la macro — una volta abilitata — scarica ed esegue in silenzio il payload reale: ransomware che cifra i file, trojan che apre un accesso remoto, malware che ruba credenziali salvate nel browser. Tutto questo avviene sullo sfondo, senza che l'utente se ne accorga nell'immediato.

Perché continua a funzionare

  • Sembra un documento di lavoro ordinario, non un file eseguibile sospetto
  • "Abilita contenuto" è un'azione che molte persone compiono automaticamente, senza pensarci, su documenti legittimi ricevuti ogni giorno
  • Gli antivirus tradizionali, basati su firme note, faticano a riconoscere macro scritte ad hoc o offuscate
  • Il messaggio è spesso costruito su un contesto plausibile (una fattura attesa, una candidatura in un periodo di selezione attiva)

Come riconoscerlo

  • Qualsiasi richiesta esplicita di "abilitare contenuto" o "abilitare macro" per vedere un documento è un segnale d'allarme, specialmente da mittenti non verificati
  • Controlla l'estensione reale del file: attenzione a doppie estensioni (es. fattura.pdf.exe) o formati inattesi rispetto al contesto
  • Verifica la provenienza: un mittente leggermente diverso dal solito, o un contesto che non ti aspettavi (una candidatura se non hai un'offerta di lavoro attiva)

Cosa fare

  • Non abilitare mai macro o contenuto su un allegato ricevuto via email da un mittente che non hai verificato
  • In caso di dubbio, contatta il presunto mittente con un canale diverso dall'email per conferma
  • Se hai già abilitato il contenuto per errore, scollega subito il dispositivo dalla rete e contattaci: prima si interviene, minori sono i danni

Come ti protegge MailGestITA

Il gateway Libraesva esegue gli allegati sospetti in un ambiente isolato (sandbox) prima ancora che raggiungano la tua casella: se un file con macro tenta di scaricare codice da un indirizzo esterno o compiere azioni anomale, il messaggio viene messo in quarantena automaticamente, senza che nessuno debba prendere quella decisione all'ultimo momento.