Hai incollato un comando nel Terminale? Controlla subito il Mac.

1Cosa fa la riga incollata

Dalla fine del 2025, pagine false di strumenti di IA e annunci di ricerca del tipo «pulisci il tuo Mac» chiedono agli utenti Mac di aprire il Terminale e incollare una riga. Sophos ha individuato tre campagne tra novembre 2025 e febbraio 2026 che installavano così lo stealer MacSync: la riga scarica uno script, chiede la password del Mac e poi prende dati del Portachiavi, login salvati e frasi di recupero dei wallet crypto (The Hacker News, 16 marzo 2026). Microsoft segnala le stesse esche per gli stealer Atomic (AMOS), MacSync e DigitStealer, spesso raggiunti tramite annunci di ricerca (Security Affairs sul rapporto di Microsoft, 4 febbraio 2026).

Perché niente ti ha avvisato: macOS chiede conferma prima di aprire per la prima volta un software scaricato da internet (Sicurezza delle piattaforme Apple), e sa che un file viene da internet grazie a un contrassegno di quarantena che i browser applicano. I file scaricati con curl nel Terminale possono non ricevere quel contrassegno (MITRE ATT&CK T1553.001), e uno script passato direttamente a bash non viene mai aperto come app, quindi l'avviso non compare mai.

Di solito queste righe somigliano a una di queste, con un indirizzo web in mezzo:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Controllo 1: elementi login e app in background

Apri Impostazioni di Sistema → Generali → Elementi login ed estensioni (su macOS 14 e precedenti: Elementi login). Guarda Apri al login e Consenti in background.

Tutto ciò che non riconosci merita un'occhiata più attenta, soprattutto un elemento con un nome strano, senza sviluppatore indicato o comparso il giorno in cui hai incollato il comando. Disattivare un elemento in background gli impedisce di riavviarsi; non lo elimina.

3Controllo 2: launch agent e daemon

I programmi che si avviano da soli lasciano un piccolo file in una di tre cartelle. Questo li elenca, dal più recente:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

La maggior parte dei nomi ha la forma com.company.app.plist. Cerca file con una data vicina al giorno in cui hai incollato il comando, nomi che imitano Apple (com.apple…) dentro la tua cartella Libreria o nomi fatti di lettere a caso. Per vedere quale programma avvia un file, sostituisci NAME con il suo nome:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Controllo 3: i file di avvio della tua shell

La tua shell esegue questi file ogni volta che apri il Terminale, quindi uno stealer può nascondere lì una riga. Questo mostra quando ognuno è stato modificato l'ultima volta:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Se uno è cambiato in un giorno in cui non ricordi di averlo modificato, guarda le sue ultime righe:

tail -n 20 ~/.zshrc

Le righe che non hai scritto tu e che citano curl, base64, osascript o un indirizzo web sono una scoperta.

5Controllo 4: cosa hai incollato

Il Terminale conserva le righe che hai eseguito. Questo mostra le ultime 30 che hanno scaricato o decodificato qualcosa:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Controllo 5: app che macOS non accetterebbe

Gatekeeper di macOS può dirti quali app nella cartella Applicazioni non accetterebbe (non firmate da uno sviluppatore identificato o non verificate da Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Alcune app vecchie o open source compaiono qui e vanno bene. La scoperta è un'app che non ricordi di aver installato. Fai lo stesso a occhio con la cartella Download, dal più recente:

ls -lt ~/Downloads | head -n 20

7Controllo 6: accesso remoto e profili

Apri Impostazioni di Sistema → Generali → Condivisione. Condivisione schermo, Login remoto, Gestione remota e Condivisione documenti dovrebbero essere disattivati, a meno che non li usi tu.

Poi apri Impostazioni di Sistema → Generali → Gestione dispositivi (su macOS meno recenti: Privacy e sicurezza → Profili). Un profilo che non hai installato può far passare la tua navigazione dal server di qualcun altro o fidarsi dei suoi certificati. Rimuovine uno solo se sei sicuro che non sia della tua scuola o del tuo datore di lavoro.

8Controllo 7: chi parla con internet

Questo conta le connessioni internet aperte per ogni programma:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Il browser, Mail, Messaggi e iCloud sono normali. Un nome che non conosci, o un esecutore di script come osascript, python3 o curl con connessioni aperte, merita un'occhiata. Per vedere i programmi in attesa di connessioni da altri computer:

lsof -nP -iTCP -sTCP:LISTEN

9Se trovi qualcosa

1. Disconnettiti dal Wi-Fi e stacca qualsiasi cavo di rete.
2. Da un altro dispositivo, cambia prima le password del tuo Account Apple, della tua email e della tua banca, chiudi tutte le altre sessioni e attiva l'autenticazione a due fattori.
3. Considera perso ogni wallet crypto la cui frase di recupero o le cui chiavi erano su questo Mac. Crea un wallet nuovo su un dispositivo pulito e sposta i fondi. Uno stealer potrebbe avere già la frase, e un trasferimento non si può annullare. Vedi sicurezza dei wallet crypto.
4. Rimuovi ciò che hai trovato: chiudilo in Monitoraggio Attività, elimina il file del launch agent e l'app, e riavvia. Se non sei sicuro di aver trovato tutto, fai un backup dei tuoi documenti (non delle app) e inizializza il Mac: Impostazioni di Sistema → Generali → Trasferisci o inizializza → Inizializza contenuto e impostazioni.
5. Hai visto un avviso che un malware è stato bloccato e spostato nel Cestino? È XProtect, la protezione integrata del Mac, che rimuove un file che ha riconosciuto. Bene, ma controlla da dove veniva il file: lo stesso sito potrebbe averne mandato altri. Vedi cosa fa la protezione integrata del Mac.

10Prima di incollare di nuovo qualcosa nel Terminale

• Digita tu l'indirizzo del sito; non seguire una pubblicità o un link in una chat.
• Leggi la riga prima di incollarla. | sh, | bash, base64 e osascript significano che esegue qualcosa.
• Nessuna vera soluzione per un sito, un captcha o un download «rotto» richiede il Terminale.
• Se una riga chiede la tua password, fermati e chiediti a cosa serve.

11Domande

Il mio Mac è stato hackerato. Cosa faccio per prima cosa?

Scollegalo da internet, poi da un altro dispositivo cambia le password dell'Account Apple, dell'email e della banca e chiudi tutte le altre sessioni. Sposta le criptovalute la cui frase di recupero era sul Mac in un wallet nuovo creato su un dispositivo pulito. Poi fai i controlli di questa pagina o inizializza il Mac.

Come capire se il mio Mac è hackerato in questo momento?

Cerca elementi login o launch agent che non riconosci, file della shell che non hai modificato, app che macOS non accetterebbe e programmi sconosciuti con connessioni a internet. Anche richieste di password che non hai provocato e impostazioni del browser cambiate da sole sono segnali.

macOS dice che un malware è stato bloccato e spostato nel Cestino. Sono al sicuro?

Significa che XProtect ha riconosciuto un file dannoso noto e l'ha rimosso prima che venisse eseguito. Controlla da dove veniva il file e fai i controlli qui sopra: lo stesso sito o la stessa email potrebbe aver consegnato qualcosa che XProtect non ha riconosciuto.

È sicuro incollare un comando nel Terminale?

Solo se hai digitato tu l'indirizzo del sito e sai cosa fa la riga. Non incollare mai una riga da una pubblicità, un pop-up, una pagina «verifica di essere umano» o una chat. Se passa un download a sh o bash, decodifica base64 o chiede la tua password, fermati.

Devo inizializzare il Mac?

Se non riesci a identificare e rimuovere ciò che hai trovato, o se il Mac conteneva frasi di recupero o chiavi di grande valore, inizializzarlo è la scelta sicura. Fai un backup dei documenti, non delle app, e accedi di nuovo da zero.