← Tutti i Tutorials

Accesso remoto sicuro – Come evitare le truffe

29 giugno, 2026

---

Il desktop remoto è uno degli strumenti più utili per i tecnici IT e uno dei vettori di attacco preferiti dai criminali informatici. Truffe di falso supporto tecnico, credential stuffing, phishing di inviti di assistenza: i metodi variano, ma l’obiettivo è sempre lo stesso: prendere il controllo del dispositivo. Questa guida illustra come funzionano questi attacchi e come le funzionalità di sicurezza di Iperius Remote permettono di neutralizzarli.

Perché il desktop remoto è un bersaglio privilegiato

Un accesso remoto compromesso offre agli attaccanti controllo completo sul sistema, senza dover sfruttare vulnerabilità software complesse. A differenza del phishing (che richiede un’azione dell’utente) un accesso remoto mal configurato può essere violato silenziosamente, di notte o nel weekend, senza che nessuno se ne accorga.

Non tutti i software di accesso remoto offrono lo stesso livello di protezione. La differenza tra essere vulnerabili e resistere a un attacco spesso dipende da poche configurazioni chiave.

Come i criminali sfruttano il desktop remoto

Attacchi brute force sulle credenziali

I bot scandiscono internet alla ricerca di porte RDP esposte e tentano migliaia di combinazioni di username e password al secondo. Un dispositivo con credenziali deboli o password di default viene compromesso in pochi minuti. La soluzione: 2FA, password robuste e rotazione periodica delle credenziali.

Vishing e falso supporto tecnico

La truffa più diffusa: una telefonata da un finto tecnico Microsoft, della banca o di un fornitore IT. L’aggressore convince la vittima che il computer è infetto, che c’è un rimborso in attesa o che è necessario un intervento urgente. Chiede di installare un software di accesso remoto e di concedere la connessione. Una volta connesso, può installare malware, copiare dati bancari, cifrare file o estorcere denaro.

Phishing di inviti di assistenza

Link di sessione o codici di connessione inviati via email o SMS fingendosi un servizio legittimo. La vittima clicca, avvia il client e il criminale ottiene accesso al dispositivo. Un software con scam alert integrato e finestra di conferma con avviso esplicito riduce drasticamente questo rischio.

Credential stuffing da breach precedenti

Se un utente usa la stessa password su più servizi e uno di questi viene violato, le credenziali finiscono in liste che vengono rivendute online. L’attaccante le prova su tutti i software di accesso remoto noti. La 2FA blocca questo tipo di attacco anche quando le credenziali sono compromesse.

Client compromessi da malware pre-installato

Software di accesso remoto distribuiti tramite canali non ufficiali o siti di download non verificati possono contenere backdoor. Scaricare sempre da fonti ufficiali e verificare la firma digitale del file eseguibile prima di installarlo.

Accesso remoto sicuro vs accesso remoto non protetto

Scenario di rischio	Senza protezioni	Con Iperius Remote
Brute force credenziali	Accesso ottenuto se password debole	Bloccato da 2FA + password casuale
Connessione non autorizzata	Accesso silenzioso possibile	Finestra di conferma obbligatoria
Attaccante da IP sconosciuto	Connessione accettata	Bloccato dal filtro IP whitelist
Furto credenziali (breach)	Accesso immediato	Impossibile senza codice OTP 2FA
Sessione attiva sospetta	Non rilevata	Visibile e disconnettibile in tempo reale
Dati trasmessi intercettati	Esposti se non cifrati	Protetti da TLS 1.3 + DTLS-SRTP AES
Eseguibile contraffatto	Malware silenzioso	Code Signing SHA256 verifica l’integrità

Le funzionalità di sicurezza di Iperius Remote

Iperius Remote è stato progettato con un approccio security-first. Queste sono le funzionalità che, correttamente configurate, proteggono da ransomware, truffe e accessi non autorizzati:

• Crittografia end-to-end (TLS 1.3 + DTLS-SRTP AES): Tutti i flussi — video, audio, chat, file — sono cifrati end-to-end con DTLS-SRTP e AES. Nemmeno i server Iperius possono decifrare il traffico di sessione. Le connessioni peer-to-peer dirette eliminano ulteriori nodi di transito.
• 2FA estesa su tutti i canali critici: La verifica a due fattori si applica all’accesso al pannello amministrativo, alla rubrica dispositivi e — individualmente — a ogni singolo dispositivo remoto. Il codice OTP (es. Google Authenticator) è richiesto ad ogni connessione. Anche con credenziali compromesse, l’accesso è impossibile senza il secondo fattore.
• Finestra di conferma con permessi granulari: Su ogni dispositivo remoto è possibile attivare una richiesta di conferma esplicita prima di accettare qualsiasi connessione. L’utente vede chi si sta connettendo e sceglie quali permessi concedere: mouse, tastiera, clipboard, trasferimento file. Se non c’è nessuno davanti al dispositivo, nessuno può connettersi.
• Filtri IP e ID autorizzati (whitelist): Ogni dispositivo può essere configurato per accettare connessioni esclusivamente da indirizzi IP o ID Iperius specifici. Esempio pratico: un server aziendale accetta connessioni solo dall’IP pubblico dell’ufficio IT. Qualsiasi altra fonte viene bloccata automaticamente, anche se le credenziali sono corrette.
• Password multiple e password casuale ad ogni avvio: Di default, Iperius Remote genera una nuova password alfanumerica casuale ad ogni apertura o riconnessione del client. È possibile impostare password fisse per i dispositivi non presidiati, una password separata per la rubrica e una per le impostazioni di configurazione. Nessuna password condivisa tra dispositivi.
• Permessi granulari per mouse, tastiera, clipboard e file: Ogni dispositivo può essere configurato per bloccare selettivamente le azioni consentite al tecnico remoto: impossibilità di muovere il mouse, di scrivere dalla tastiera, di incollare testo dagli appunti, di trasferire file. Utile per sessioni di sola visualizzazione o per limitare l’esposizione durante interventi di supporto.
• Scam Alert integrato: Prima di accettare una connessione da un ID sconosciuto, Iperius Remote mostra un avviso esplicito anti-truffa che informa l’utente dei rischi. L’utente deve confermare consapevolmente di conoscere e fidarsi della persona che si sta connettendo, con un linguaggio chiaro e non tecnico.

• Monitoraggio e disconnessione in tempo reale: Il pannello amministrativo mostra in tempo reale tutte le sessioni attive sulla licenza: operatore, dispositivo di origine, dispositivo di destinazione, timestamp. Se una sessione sembra sospetta, è possibile disconnetterla immediatamente dal pannello, senza intervenire sul dispositivo remoto.
• Privacy Mode e blocco input locali: Durante una sessione non presidiata, Privacy Mode oscura lo schermo del dispositivo remoto mostrando uno schermo nero all’utente locale. Il blocco degli input locali impedisce a chiunque sia fisicamente davanti al dispositivo di interferire con la sessione. Protezione in entrambe le direzioni.
• Permessi granulari per operatori e rubriche multiple: In ambienti multi-operatore, ogni agente può avere permessi diversi: accesso a gruppi specifici di dispositivi, impossibilità di modificare configurazioni, visibilità limitata alla propria rubrica. Ideale per MSP con molti tecnici che gestiscono clienti diversi.
• Code Signing GlobalSign SHA256: Tutti gli eseguibili di Iperius Remote sono firmati digitalmente con certificato GlobalSign SHA256. Prima di installare qualsiasi client, è possibile verificare la firma per assicurarsi che il file non sia stato manomesso o sostituito da una versione contraffatta contenente malware.
• Data center Tier IV + ISO 27001 + protezione DDoS: L’infrastruttura server di Iperius Remote è ospitata in data center di livello Tier IV, certificati ISO 27001, con protezione proattiva contro attacchi DDoS e policy di firewall che minimizzano la superficie di attacco esposta.

Come configurare Iperius Remote per la massima sicurezza

Avere le funzionalità di sicurezza disponibili non è sufficiente: devono essere attivate e configurate correttamente. Ecco le cinque configurazioni prioritarie:

1. Abilitare la 2FA su ogni dispositivo e sull’area amministrativa
   Attivare la verifica in due fattori sia per l’accesso al pannello di gestione sia per ogni dispositivo remoto singolarmente. Usare un’app OTP come Google Authenticator o Microsoft Authenticator. Questa singola configurazione blocca la maggior parte degli attacchi di credential stuffing e brute force.
2. Configurare filtri IP e ID per i dispositivi critici
   Per server, workstation con dati sensibili e dispositivi non presidiati, definire una whitelist di IP e ID autorizzati. Solo le fonti nella whitelist possono tentare la connessione. Tutto il resto viene bloccato prima ancora di inserire le credenziali.
3. Impostare permessi granulari per ogni operatore
   Nell’area amministrativa, creare profili operatore con accesso limitato ai soli dispositivi di competenza. Disabilitare il trasferimento file e la condivisione degli appunti per operatori che non ne hanno bisogno. Limitare la visibilità tra team diversi.
4. Attivare la finestra di conferma sui dispositivi degli utenti finali
   Per i dispositivi presidiati (postazioni utente, PC di casa in smart working), abilitare la richiesta di conferma obbligatoria. L’utente vede sempre chi si connette e può rifiutare la sessione. Nessuna connessione silenziosa è possibile su questi dispositivi.
5. Monitorare le sessioni attive e il log storico regolarmente
   Controllare periodicamente il pannello amministrativo per verificare che le sessioni siano quelle attese. Esportare i log per audit di sicurezza. In caso di sessioni non riconosciute, disconnetterle immediatamente e procedere al cambio delle credenziali e alla revisione dei filtri IP.

Segnali di allarme: come riconoscere un tentativo di truffa

Conoscere i segnali di una truffa in corso è la prima linea di difesa. Queste situazioni devono sempre far scattare un campanello d’allarme:

• Chiamata inaspettata da un ‘tecnico’: Nessun fornitore IT legittimo, nessuna banca e nessuna agenzia governativa ti contatterà spontaneamente per chiederti di installare un software di accesso remoto. Se ricevi questa telefonata, riaggancia.
• Pressione a connettere subito: Il senso di urgenza è una tattica di manipolazione. ‘Il tuo computer è stato violato’, ‘hai un virus attivo in questo momento’, ‘devi agire entro 10 minuti’. Un tecnico legittimo non opera sotto pressione.
• Richiesta di pagamento via carte regalo o crypto: Nessun servizio IT professionale accetta pagamenti in carte regalo Amazon, iTunes o criptovalute. Se te lo chiedono, è sempre una truffa.
• ID di connessione inviato via link o SMS: Se ricevi un link o un SMS con un codice di connessione da qualcuno che non hai contattato tu per primo, non cliccare e non usarlo. Verifica l’identità chiamando direttamente il numero ufficiale dell’organizzazione.
• Richiesta di disabilitare l’antivirus o il firewall: Un tecnico legittimo non ha mai bisogno che tu disabiliti le protezioni del sistema. Se te lo chiedono, stai subendo un attacco.
• Richiesta di credenziali bancarie durante la sessione: Nessun intervento IT richiede l’inserimento di credenziali bancarie o numeri di carta di credito durante una sessione di controllo remoto. Se un tecnico ti chiede di aprire il sito della tua banca durante la sessione, disconnettiti immediatamente.

Cosa fare in caso di accesso sospetto o attacco in corso

1. Disconnetti immediatamente la sessione
   Se sei in una sessione remota e hai dubbi sulla legittimità del tecnico, chiudi il client o disconnetti la rete. Dal pannello amministrativo Iperius Remote puoi disconnettere qualsiasi sessione attiva in tempo reale senza dover accedere al dispositivo.
2. Cambia tutte le password critiche
   Inizia dalle credenziali di Iperius Remote (account + password dispositivi), poi password email, account aziendali, gestori di password. Se hai usato le stesse credenziali su altri servizi, cambiale anche lì. Attiva la 2FA su tutti gli account che la supportano.
3. Rivoca i filtri e verifica la configurazione di sicurezza
   Controlla i filtri IP/ID configurati sui dispositivi remoti. Se un attaccante ha avuto accesso, potrebbe aver modificato le configurazioni. Riportare tutto allo stato corretto prima di riabilitare gli accessi remoti.
4. Contatta la tua banca se hai fornito dati finanziari
   Se durante la sessione hai inserito credenziali bancarie o numeri di carta, contatta immediatamente la tua banca per bloccare le carte e monitorare i movimenti. Agisci entro le prime ore per ridurre i danni.
5. Segnala l’incidente
   Segnala la truffa alla Polizia Postale (poliziadeistato.it), al CERT nazionale (cert-agid.gov.it) e, se applicabile, al tuo DPO aziendale per gli obblighi GDPR. Conserva tutti i log di sessione di Iperius Remote come documentazione.

---

Per qualsiasi domanda o dubbio in merito a questo tutorial, Contattaci