“I Mac non prendono virus”: è probabilmente la convinzione tecnologica più diffusa e più pericolosa tra gli utenti Apple. Nel 2026, con la crescita esponenziale del mercato Mac e la maturazione degli strumenti offensivi, credere nell'invulnerabilità della piattaforma Apple non è solo ingenuo — è un rischio concreto per i tuoi dati, la tua privacy e, in contesto aziendale, per l'intera infrastruttura IT.
Il mito dell'invulnerabilità Apple: da dove nasce
La leggenda dei “Mac invulnerabili” ha radici storiche comprensibili. Per quasi vent'anni, fino ai primi anni 2010, la quota di mercato di macOS oscillava tra il 5 e il 10% del totale dei computer in uso nel mondo. Per i gruppi criminali che sviluppano malware, il calcolo è semplice: scrivere codice malevolo per colpire milioni di sistemi Windows vale infinitamente di più che fare lo stesso sforzo per colpire una nicchia Mac.
Apple ha contribuito attivamente alla costruzione di questo mito con campagne pubblicitarie storiche — su tutte la serie “Get a Mac” degli anni 2000 — che mostravano il Mac come immune ai virus che affliggevano il PC Windows. Era una semplificazione commerciale, ma il messaggio è rimasto impresso nell'immaginario collettivo.
Il mondo è cambiato radicalmente. Oggi macOS supera il 20% della quota di mercato globale nei segmenti professionali e aziendali. I MacBook sono diventati lo standard de facto in molte industry ad alto valore aggiunto: finanza, legal, design, tech, media. Questo significa che attaccare un Mac ha un rendimento molto più alto rispetto al passato: le macchine contengono documenti sensibili, credenziali di accesso a sistemi aziendali, portafogli crypto, segreti industriali.
Statistiche malware macOS: la crescita reale
I dati pubblicati dai principali laboratori di sicurezza — Malwarebytes, Objective-See, SentinelOne, Kaspersky — raccontano una storia coerente: il numero di nuove famiglie di malware per macOS è cresciuto significativamente nel biennio 2024-2025, con un incremento stimato tra il 50 e il 100% rispetto al biennio precedente a seconda della fonte consultata.
Non si tratta solo di quantità: la qualità e la sofisticazione delle minacce è aumentata. I malware moderni per Mac evitano tecniche banali facilmente rilevabili, sfruttano componenti legittimi del sistema operativo (tecnica nota come “living off the land”), e utilizzano infrastrutture di comando e controllo che ruotano rapidamente per evitare i blocklist.
Un secondo segnale rilevante è l'interesse crescente da parte dei gruppi APT (Advanced Persistent Threat) — attori statali o para-statali — verso macOS. Storicamente concentrati su Windows e Linux per i server, questi gruppi hanno sviluppato negli ultimi anni implant specifici per macOS, a conferma del fatto che la piattaforma Apple è ormai considerata un bersaglio strategico ad alto valore.
Ransomware su Mac: LockBit e AMOS Stealer
Il caso più noto che ha scosso la comunità della sicurezza è stato lo sviluppo di una variante di LockBit — uno dei gruppi ransomware più prolifici al mondo — specificamente compilata per processori Apple Silicon (M1/M2/M3). Sebbene quella variante non abbia raggiunto la maturità operativa necessaria per campagne su larga scala, la sua esistenza ha dimostrato inequivocabilmente che i grandi gruppi ransomware stanno investendo risorse nello sviluppo per macOS.
Ancora più attivo nel 2024-2025 è stato AMOS (Atomic macOS Stealer), un infostealer distribuito come Malware-as-a-Service sul dark web. AMOS è progettato per sottrarre: password da Keychain, credenziali salvate nei browser (Chrome, Firefox, Safari), cookie di sessione, dati di wallet crypto, file di documenti comuni. Il tutto impacchettato in applicazioni apparentemente legittime o distribuito tramite siti di download contraffatti.
AMOS viene aggiornato regolarmente dai suoi sviluppatori per eludere le firme antivirus e per adattarsi alle nuove versioni di macOS. Nel 2025 sono state documentate varianti che utilizzano tecniche di offuscamento avanzate e che bypassano i controlli di Notarization di Apple sfruttando account sviluppatori compromessi.
Come funziona la sicurezza Apple: gli strumenti integrati
Apple ha costruito nel corso degli anni un ecosistema di protezioni integrate in macOS che è, obiettivamente, più solido rispetto alla configurazione di default di Windows. Conoscere questi strumenti aiuta a capire sia cosa proteggono sia, soprattutto, cosanon proteggono.
Gatekeeper
Gatekeeper verifica che le applicazioni scaricate da internet provengano da sviluppatori identificati (registrati con Apple Developer ID) e che siano state notarizzate da Apple. Alla prima apertura di un'app scaricata, macOS mostra un avviso e blocca le app prive di firma valida. È possibile bypassarlo manualmente nelle impostazioni, operazione che molti utenti compiono senza riflettere seguendo istruzioni trovate online.
XProtect e XProtect Remediator
XProtect è il sistema antivirus integrato di macOS, basato su firme. Apple lo aggiorna silenziosamente in background senza richiedere aggiornamenti di sistema. XProtect Remediator, introdotto con macOS Monterey, aggiunge la capacità di rimuovere attivamente le minacce note già presenti nel sistema. È efficace contro malware conosciuti ma, per definizione, non rileva minacce nuove o zero-day.
Notarization
La notarizzazione è un processo tramite il quale Apple scansiona le app degli sviluppatori prima che vengano distribuite, certificando l'assenza di malware noti. Le app non notarizzate vengono bloccate da Gatekeeper. È un filtro efficace ma non infallibile: le app malevole che superano il processo di notarizzazione — utilizzando account sviluppatori compromessi o tecniche di offuscamento — hanno di fatto un bollino di “sicurezza” che può ingannare sia l'utente sia alcuni strumenti di sicurezza.
System Integrity Protection (SIP)
SIP protegge le directory di sistema critiche da modifiche, anche da parte di processi con privilegi di root. Impedisce a malware e software di terze parti di alterare il kernel, i processi di sistema e le directory sensibili come /System e/usr. È uno degli strumenti di difesa più solidi di macOS, ma non protegge i file utente né i dati delle applicazioni installate nella home directory.
Vulnerabilità recenti: zero-day e kernel exploits
Contrariamente alla percezione comune, macOS viene regolarmente colpito da vulnerabilità significative. Apple pubblica aggiornamenti di sicurezza — spesso silenziosi, come i Rapid Security Response — che tappano falle nel kernel, nel motore WebKit (che alimenta Safari e tutte le WebView su iOS/macOS), nel framework di gestione dei file e in altri componenti critici.
Le categorie di vulnerabilità più frequenti e pericolose includono:
- Zero-day WebKit: falle nel motore del browser che permettono l'esecuzione di codice arbitrario semplicemente visitando una pagina web malevola, senza alcuna interazione da parte dell'utente oltre alla navigazione stessa. Apple ha corretto numerosi zero-day WebKit sfruttati attivamente nel 2024 e 2025.
- Kernel privilege escalation: vulnerabilità che permettono a un processo con privilegi normali di ottenere accesso al kernel, bypassando SIP e ottenendo controllo completo del sistema.
- Sandbox escape: tecniche che permettono a un'applicazione confinata nella sandbox di macOS di accedere a risorse esterne al proprio contesto autorizzato.
- TCC bypass: elusione del framework Transparency, Consent and Control che gestisce i permessi delle app (accesso a fotocamera, microfono, file, rubrica). Un bypass TCC può permettere a un'app malevola di accedere ai dati sensibili senza richiedere il consenso dell'utente.
La buona notizia è che Apple risponde generalmente in modo rapido alle vulnerabilità critiche, spesso entro pochi giorni dalla segnalazione. La cattiva notizia è che molti utenti Mac disabilitano gli aggiornamenti automatici o rimandano gli aggiornamenti per settimane, rimanendo esposti durante la finestra di vulnerabilità.
Attacchi social engineering: il vettore più pericoloso
La stragrande maggioranza degli attacchi informatici riusciti — su Mac come su Windows — non sfrutta vulnerabilità tecniche del sistema operativo: sfrutta l'utente. Il social engineering, ovvero la manipolazione psicologica per indurre l'utente a compiere azioni che compromettono la sicurezza, è il vettore d'attacco numero uno nel 2026.
Falsi aggiornamenti
Una tecnica particolarmente efficace su utenti Mac consiste nel mostrare popup che imitano le notifiche di aggiornamento di macOS o delle applicazioni più comuni (Adobe, Chrome, Zoom). Il popup invita a scaricare e installare un “aggiornamento critico” che in realtà è un malware. Poiché gli utenti Mac sono abituati a installarsi aggiornamenti periodici, molti abbassano la guardia.
App trojanizzate
Applicazioni popolari e costose — software di produttività, plugin per Final Cut Pro, strumenti di sviluppo — vengono “crackate” e redistribuite gratuitamente su siti di pirateria o forum. All'interno del pacchetto di installazione è nascosto un malware che si installa insieme all'applicazione legittima. L'utente ottiene il software che cercava, ma nel frattempo installa anche un infostealer o un backdoor.
Phishing mirato e typosquatting
Email e messaggi che imitano comunicazioni di Apple (notifiche ID Apple, avvisi di sicurezza, fatture App Store) inducono gli utenti a inserire le proprie credenziali su siti contraffatti. Il dominio apple-support-id.com è visivamente convincente quanto appleid.apple.com per chi non verifica con attenzione la barra degli indirizzi.
Protezioni consigliate per il tuo Mac
FileVault: la crittografia del disco
FileVault cifra l'intero contenuto del disco con AES-XTS 128-bit. In caso di furto o smarrimento del Mac, i dati sono inaccessibili senza la password di login o la chiave di ripristino. Su Mac con Apple Silicon è abilitato di default nelle installazioni recenti, ma su Mac più vecchi o aggiornati potrebbe non esserlo. Verifica in Impostazioni di Sistema › Privacy e sicurezza › FileVault.
Firewall integrato
macOS include un firewall applicativo che blocca le connessioni in entrata non autorizzate. È disabilitato per impostazione predefinita su molte configurazioni. Attivalo da Impostazioni di Sistema › Rete › Firewall. Abilita anche la “modalità stealth” per non rispondere alle richieste di ping non richieste.
Aggiornamenti automatici
La singola misura di sicurezza con il rapporto costo/beneficio più alto è mantenere macOS e le applicazioni sempre aggiornati. Abilita gli aggiornamenti automatici in Impostazioni di Sistema › Generali › Aggiornamento software e attiva anche l'installazione automatica delle risposte rapide di sicurezza (Rapid Security Response).
Antivirus: sì o no?
La risposta onesta è: dipende dal contesto. Per un utente privato con comportamenti di navigazione prudenti, le protezioni native di macOS (XProtect, Gatekeeper, SIP) offrono un livello di protezione ragionevole. Per utenti aziendali, manager con accesso a dati sensibili, o chiunque gestisca credenziali di valore, un antivirus di terze parti aggiunge un layer di protezione significativo, in particolare per il rilevamento di minacce nuove e per la capacità di risposta agli incidenti.
Per un'analisi approfondita su questo tema specifico, ti consigliamo di leggere il nostro articolo dedicato: Antivirus per Mac: servono davvero nel 2026?
iPhone e iPad: jailbreak e spyware
iOS e iPadOS sono generalmente considerati più sicuri di macOS grazie al modello di sandboxing più rigido, all'App Store come unico canale di distribuzione ufficiale e all'assenza (per la maggior parte degli utenti) di possibilità di installare software non verificato. Tuttavia esistono due vettori di rischio significativi.
Jailbreak
Il jailbreak rimuove le restrizioni imposte da Apple, permettendo di installare app da fonti non ufficiali e di modificare il comportamento del sistema. Un dispositivo jailbroken perde gran parte delle protezioni di sicurezza di iOS: le app possono accedere a dati di altre app, modificare file di sistema, e disabilitare i meccanismi di firma del codice. I malware distribuiti tramite repository non ufficiali (Cydia e simili) sono una realtà documentata.
Spyware come Pegasus
Lo spyware Pegasus, sviluppato dal gruppo NSO, ha dimostrato che anche iOS non è immune da attacchi sofisticati. Pegasus sfrutta zero-click exploit — vulnerabilità che non richiedono alcuna azione da parte della vittima: basta ricevere un messaggio iMessage o una chiamata WhatsApp per essere compromessi. Una volta installato, Pegasus può accedere a messaggi, email, fotografie, microfono e fotocamera in tempo reale.
Pegasus è uno strumento di sorveglianza statale, venduto esclusivamente a governi e agenzie di intelligence: il rischio per l'utente medio è estremamente basso. Tuttavia la sua esistenza dimostra che nessun sistema è inviolabile se l'attaccante dispone di risorse sufficienti e di zero-day non ancora noti al vendor.
Cosa fare se pensi di essere stato hackerato: checklist pratica
Se sospetti che il tuo Mac sia stato compromesso, segui questa sequenza di azioni nel minor tempo possibile:
- Disconnetti da internet: stacca il cavo ethernet e disattiva il Wi-Fi. Questo interrompe la comunicazione tra il malware e i server di comando e controllo, impedendo ulteriori furti di dati.
- Non spegnere il Mac (almeno inizialmente): alcuni tipi di analisi forense richiedono il sistema in esecuzione. Invece, metti in pausa tutte le operazioni.
- Cambia le password da un dispositivo diverso: usa uno smartphone non compromesso o un altro computer per cambiare immediatamente le password degli account critici (email, banca, ID Apple, account aziendali). Abilita l'autenticazione a due fattori dove non è ancora attiva.
- Verifica le app installate: apri Finder › Applicazioni e cerca app che non ricordi di aver installato. Controlla anche i Login Items in Impostazioni di Sistema › Generali › Elementi login.
- Controlla le estensioni del browser: le estensioni malevole per Chrome e Safari sono un vettore di attacco comune. Vai nelle impostazioni del browser e rimuovi qualsiasi estensione non riconosciuta o non necessaria.
- Esegui una scansione con uno strumento dedicato: strumenti come Malwarebytes for Mac (versione gratuita), KnockKnock o BlockBlock di Objective-See sono utili per identificare componenti persistenti installati nel sistema.
- Considera una reinstallazione pulita: se la compromissione è confermata o sospettata come grave, la soluzione più sicura è reinstallare macOS da zero (avvia da Recovery Mode) e ripristinare i dati da un backup precedente all'infezione.
- Contatta il supporto IT: in contesto aziendale, notifica immediatamente il reparto IT o il tuo fornitore di assistenza informatica. Un incidente non segnalato può diffondersi all'intera rete aziendale.
In conclusione
I Mac possono essere hackerati. Non con la stessa frequenza e facilità dei sistemi Windows non aggiornati, ma la superficie di attacco esiste ed è in crescita. La sicurezza reale non deriva dalla piattaforma che si usa, ma dalla combinazione di strumenti adeguati, aggiornamenti tempestivi e comportamenti consapevoli.
Se gestisci Mac in azienda, se usi il tuo MacBook per lavoro con dati sensibili, o se vuoi semplicemente capire se la tua configurazione attuale è adeguata, contattaci per una consulenza tecnica. Affianchiamo le aziende nella valutazione e nell'implementazione di soluzioni di sicurezza per ambienti Apple, dalla configurazione delle policy di sistema alla scelta degli strumenti di protezione endpoint più adatti al contesto.
