Controllare il Mac da malware: cosa fare dopo un falso CAPTCHA

«Aiuto, come rimuovo questo malware?» è un post ricorrente nei forum Mac, e nel 2026 risale quasi sempre alla stessa cosa: una falsa pagina CAPTCHA che convince il visitatore ad aprire il Terminale e incollare un comando. I ricercatori di sicurezza chiamano la tecnica ClickFix, e per tutto l’anno sono state tracciate campagne che la usano contro gli utenti Mac, comprese alcune rivolte a sviluppatori e utenti di strumenti di IA. Questa guida spiega come succede, cosa fare se hai già eseguito un comando e come controllare un Mac come si deve invece di tirare a indovinare.

Se hai già incollato un comando: vai alla sezione relativa più sotto e cambia le tue password importanti da un altro dispositivo pulito prima di fare qualsiasi altra cosa sul Mac infetto.

Valutazione rapida

Come si infettano davvero oggi i Mac

Il malware per Mac raramente arriva più tramite una vulnerabilità del software. La tecnica dominante nel 2026 è l’ingegneria sociale, non un difetto tecnico:

1. Una falsa pagina di verifica. Arrivi su un sito, spesso un sito WordPress compromesso ma per il resto legittimo, e vedi quello che sembra un normale controllo umano di Cloudflare o un avviso di «ottimizzazione di macOS».
2. Ti chiede di aprire il Terminale e incollare un comando. Alcune varianti copiano automaticamente il comando negli appunti e ti guidano: Comando+Spazio, apri il Terminale, incolla, premi Invio.
3. Lo esegui tu stesso. Poiché sei tu a premere Invio, e non un attaccante che sfrutta una falla, questo aggira la maggior parte delle difese tradizionali. Una campagna cancella perfino la finestra del Terminale dopo e stampa un falso messaggio «Verifica riuscita» perché tu non ti accorga che è successo qualcosa.
4. Il payload si installa in silenzio. Di solito scarica un file in una cartella temporanea, lo esegue in background con un comando come nohup perché sopravviva alla chiusura del Terminale e inizia a raccogliere dati.

Nessun CAPTCHA, sito o sistema di verifica legittimo richiede mai di aprire il Terminale e incollare qualcosa. Questo solo fatto copre la stragrande maggioranza delle infezioni Mac attuali. A marzo 2026 Apple ha aggiunto a macOS una misura per avvisare gli utenti prima che questo tipo di comando venga eseguito, ma nuove varianti continuano a trovare il modo di aggirare semplici avvisi, quindi l’abitudine conta più della patch.

Se hai già eseguito un comando da un sito nel Terminale

Considera il Mac compromesso subito, prima di fare qualsiasi altra cosa:

1. Da un altro dispositivo pulito, cambia le password della tua email, della banca e di qualsiasi account per cui usi un gestore di password.
2. Cerca l’indicatore Macfinger. Se il percorso ~/Library/Caches/com.apple.metadata/com.apple.verified esiste sul tuo Mac, un ricercatore di sicurezza lo indica come segno di questa specifica campagna.
3. Scollegati dalla rete se sospetti un’esfiltrazione attiva e in corso, poi prosegui con i controlli qui sotto.
4. Per un po’ non fidarti delle richieste del Portachiavi. Alcune campagne cercano specificamente di rubare la password del tuo Portachiavi tramite una falsa finestra di sistema dopo l’esecuzione del comando iniziale. Se vedi una richiesta inattesa della password del Portachiavi nelle ore successive, annullala e non digitare nulla.
5. Annota cosa è successo: quale sito, più o meno quando e cosa ti chiedeva la pagina. Aiuta se devi segnalarlo o chiedere aiuto.
6. Non eseguire di nuovo il comando, e non incollarlo altrove per «vedere cosa fa».

Segni che il tuo Mac potrebbe essere infetto

• Uso elevato e inspiegato della CPU con il Mac inattivo, visibile in Monitoraggio Attività.
• Reindirizzamenti del browser, pop-up inattesi o un nuovo motore di ricerca predefinito che non hai impostato.
• Falsi avvisi di aggiornamento software che compaiono al di fuori delle Impostazioni di Sistema.
• Elementi login o elementi in background che non riconosci.
• Un Mac nettamente più caldo o ventole più rumorose senza una causa evidente.

Nessuno di questi segni da solo dimostra un’infezione. Anche l’indicizzazione di Golden Gate dopo l’aggiornamento può far salire CPU e calore; vedi la nostra guida a Dati di sistema se lo spazio sembra insolitamente pieno nello stesso momento. È il controllo qui sotto a confermarlo davvero, in un senso o nell’altro.

Dove si nasconde il malware per Mac

Le tecniche di persistenza sul Mac sono ben documentate e si concentrano in un numero ridotto di posizioni:

Anche molto software legittimo usa queste posizioni. Ciò che conta è una voce che non riconosci.

Come controllare, passo dopo passo

1. Monitoraggio Attività. Aprilo, ordina per CPU e cerca processi che non riconosci, soprattutto quelli con nomi insoliti o dall’aspetto casuale.
2. Elementi login ed estensioni. Impostazioni di Sistema > Generali > Elementi login ed estensioni. Clicca su tutto ciò che non riconosci e rimuovilo. Controlla anche la sezione «Consenti in background» nella stessa schermata.
3. LaunchAgents e LaunchDaemons. Apri il Finder, premi Comando+Maiusc+G e controlla ciascuno di questi percorsi:

/Library/LaunchDaemons/
/Library/LaunchAgents/
~/Library/LaunchAgents/

Cerca file .plist sconosciuti, soprattutto con nomi generici o modificati di recente. Ordinare ogni cartella per data di modifica porta in alto i file recenti.

4. Profili di configurazione. Impostazioni di Sistema > Generali > Gestione dispositivi, oppure Privacy e sicurezza > Profili a seconda della tua versione di macOS. Rimuovi qualsiasi profilo che non hai installato tu.
5. Estensioni del browser. Controlla singolarmente la pagina delle estensioni di ogni browser e rimuovi tutto ciò che non ti è familiare.
6. File temporanei del vettore di infezione. Se hai eseguito un comando in stile ClickFix, controlla in /tmp se ci sono file creati di recente che non riconosci.

Rimuovere ciò che trovi

1. Esci prima dall’app o dal processo sospetto, da Monitoraggio Attività se non si chiude normalmente.
2. Elimina l’app stessa dalla cartella Applicazioni.
3. Elimina il plist di LaunchAgent o LaunchDaemon corrispondente che hai individuato sopra.
4. Rimuovi la voce dell’elemento login o dell’elemento in background.
5. Riavvia il Mac.
6. Riapri Monitoraggio Attività ed Elementi login ed estensioni e conferma che non sia riapparso nulla di sospetto.
7. Nella settimana successiva, controlla che i sintomi non tornino: picchi di CPU a riposo, reindirizzamenti del browser, falsi avvisi di aggiornamento o nuovi elementi login sconosciuti.

Quando solo il ripristino di fabbrica risolve davvero

La rimozione manuale funziona per adware semplici e dirottatori del browser. Non è affidabile contro un vero infostealer che è già stato eseguito con tutti i permessi dell’utente, perché non puoi essere certo di aver trovato e annullato tutto ciò che ha toccato, scaricato o configurato. Se si verifica una qualsiasi di queste situazioni, cancellare il disco e reinstallare macOS da zero è la via più sicura:

• Hai eseguito un comando nel Terminale da una pagina sospetta e il malware ha avuto il tempo di partire prima che te ne accorgessi.
• Hai fornito la password di amministratore o l’accesso al Portachiavi durante una richiesta che ora ritieni parte dell’attacco.
• I sintomi continuano a tornare dopo che hai rimosso tutto ciò che sei riuscito a trovare.
• Gestisci dati sensibili, credenziali o wallet di criptovalute sul Mac. Vedi la nostra guida al modello di minaccia degli hot wallet se è il tuo caso.

Fai il backup dei tuoi file (non delle app né delle impostazioni di sistema, che potrebbero riportare l’infezione), cancella il disco dal Recupero e fai un’installazione pulita. In ordine:

1. Fai il backup solo dei tuoi documenti e delle tue foto.
2. Cancella il Mac, con Cancella tutti i contenuti e le impostazioni in Impostazioni di Sistema > Generali > Trasferisci o inizializza, oppure dal Recupero macOS.
3. Reinstalla macOS.
4. Configura il Mac come nuovo e ripristina solo i tuoi documenti.
5. Reinstalla le tue app dalle fonti ufficiali, non da un vecchio backup.

Dopo aver cambiato le password

• Esci da tutte le sessioni dei tuoi account importanti, dove il servizio lo permette.
• Attiva la verifica in due passaggi o le passkey per email, banca e il tuo gestore di password.
• Cerca accessi o email di reimpostazione della password che non riconosci.
• Tieni d’occhio da vicino gli estratti conto di banca e carte nelle prossime settimane.
• Se hai usato un wallet di criptovalute su quel Mac, considera la sua frase di recupero come esposta.

Dopo la pulizia: chiudi la porta da cui è entrato

• Non incollare mai nel Terminale un comando preso da un sito, comunque venga presentato. Nessun processo di verifica legittimo lo richiede.
• Se una pagina ti dice che il tuo browser deve «dimostrare di non essere un bot» in un modo che coinvolge il Terminale, chiudi la scheda.
• Tieni attivi Gatekeeper e XProtect e macOS aggiornato. Vedi quale aggiornamento di sicurezza serve al tuo Mac.
• Prima di installare qualsiasi app da fuori dal Mac App Store, leggi la nostra guida su come verificare che un’app sia genuina.

In breve

• La maggior parte del malware attuale per Mac si diffonde tramite ClickFix: un falso CAPTCHA o una pagina di verifica che ti induce a incollare tu stesso un comando nel Terminale.
• Se hai già eseguito un comando del genere, cambia subito le tue password importanti da un altro dispositivo.
• Controlla Monitoraggio Attività, Elementi login ed estensioni, LaunchAgents e LaunchDaemons e i profili di configurazione in cerca di qualsiasi cosa sconosciuta.
• Per una vera infezione da infostealer, cancellare e reinstallare da zero è più affidabile della rimozione manuale.