Proteggere i file dagli hacker: pratiche di sicurezza essenziali

Proteggere i file dagli hacker inizia con la crittografia — AES-256-GCM durante il trasferimento, crittografia lato client prima dell'upload, e TLS 1.3 per la connessione. Aggiungi link di download con scadenza (24 ore è un default ragionevole), protezione con password tramite PBKDF2 a 600.000 iterazioni, limiti ai download e autenticazione a due fattori su qualsiasi account che contiene dati sensibili. Il Data Breach Investigations Report 2023 di Verizon ha rilevato che il 74% delle violazioni coinvolge il fattore umano — password deboli, phishing, condivisioni mal configurate. I controlli tecnici risolvono metà del problema; il resto è una disciplina procedurale. Ecco cosa sposta davvero l'ago.

La superficie di attacco quando condividi un file

Un file in viaggio da te a qualcun altro passa attraverso diverse zone di pericolo:

Il tuo dispositivo — malware che legge i file prima della crittografia
La tua rete locale — Wi-Fi ostile, ARP spoofing, DNS non affidabile
Link ISP e backbone — storicamente bersaglio di intercettazioni statali
I server del servizio di trasferimento — violazione, minaccia interna, richieste legali
La posta in arrivo o l'app di messaggistica del destinatario — dove si accumulano i link di condivisione
Il dispositivo del destinatario — lo stesso problema al contrario

Ogni zona ha bisogno di una difesa specifica. Ignorarne una lascia un percorso di attacco affidabile.

Inizia con la crittografia end-to-end

Il controllo singolo più potente è la crittografia lato client con la chiave che non raggiunge mai il server. AES-256-GCM nel browser tramite la Web Crypto API produce testo cifrato inutile senza la chiave, anche se il fornitore è compromesso. La chiave viaggia solo nel frammento URL (tutto dopo #), che i browser non inviano mai ai server.

Servizi che lo implementano correttamente: Tresorit Send, i link condivisi di Proton Drive, il livello E2EE di SwissTransfer, Mega.nz, HexaTransfer.

Servizi che cifrano ma non sono lato client: WeTransfer livello standard, Google Drive, Dropbox, i link di condivisione OneDrive, Box con condivisione standard. Questi si affidano all'onestà e alla competenza del fornitore — vanno bene per i contenuti a bassa sensibilità, insufficienti per qualsiasi cosa che ti risulterebbe scomodo vedere in un headline di violazione.

Usa link con scadenza, sempre

Un link di condivisione che dura per sempre è una violazione in attesa di accadere. Gli archivi email vengono rubati, le esportazioni Slack vengono trafugate, i laptop vengono venduti su eBay con la cronologia del browser intatta. I link con limite di tempo limitano i danni.

Default ragionevoli:

File personali: 24–72 ore
Documenti aziendali: massimo 7 giorni
Segreti una tantum: 1 ora o un solo download

Configura il burn-after-reading dove disponibile. Le reimpostazioni della password, le credenziali e i codici one-time dovrebbero autodistruggersi nel momento in cui vengono letti. I link a download singolo fanno fallire il secondo tentativo di accesso rumorosamente, il che è positivo — vuoi sapere se il tuo link è stato intercettato.

Password in aggiunta ai link

Il frammento URL da solo significa che chiunque abbia il link può scaricare. Aggiungere una password trasforma una condivisione a canale singolo in a due fattori: l'aggressore ha bisogno sia del link che della password, preferibilmente inviati tramite canali diversi.

Un'implementazione che funziona davvero:

PBKDF2-HMAC-SHA-256 con almeno 600.000 iterazioni (OWASP 2023), o Argon2id con 64 MB di memoria.
Password di 12+ caratteri da un gestore di password, non "Primavera2025".
Password consegnata tramite un canale diverso rispetto al link — Signal se il link è stato inviato per email, SMS se il link era su Slack.

Un aggressore determinato può comunque fare il brute force di password deboli offline se intercetta sia il testo cifrato che il salt. La KDF li rallenta; le password robuste li fermano.

Proteggi i tuoi account

Se usi un servizio basato su account, l'account stesso diventa un bersaglio di attacco. La violazione Uber del 2022 è iniziata con il credential-stuffing contro il login di un contractor.

Igiene minima:

Password unica per servizio da un gestore di password (1Password, Bitwarden, Proton Pass).
Autenticazione a due fattori — preferisci TOTP (Google Authenticator, Authy) o chiavi hardware (YubiKey, Titan) rispetto agli SMS, che sono vulnerabili agli attacchi SIM swap.
Passkey dove disponibili — supportate da WebAuthn, resistenti al phishing, supporto crescente.
Timeout di sessione di 30 giorni o meno.
Gestione dei dispositivi — rivedi le sessioni attive, revoca tutto ciò che non riconosci.

Google, Microsoft e Apple ora predefiniscono il 2FA per i nuovi account. I servizi self-hosted e quelli più piccoli spesso non lo fanno.

Controlla il tuo dispositivo

La sicurezza dell'endpoint è l'anello più debole perché gli aggressori lo sanno. Se il tuo laptop è compromesso, ogni file che cifri era leggibile prima della cifratura. Base:

Cifratura completa del disco — FileVault su macOS, BitLocker su Windows Pro, LUKS su Linux.
Aggiornamenti del SO e del browser entro 7 giorni dal rilascio. L'exploit zero-click iMessage di Pegasus del 2021 ha colpito i dispositivi senza patch.
Antivirus / EDR affidabile su Windows — Microsoft Defender è accettabile per la maggior parte degli utenti.
Nessun software piratato. Le crack e i keygen sono il vettore malware più comune per gli utenti home non mirati.
Password dello schermo di blocco con una passphrase di 10+ caratteri.
Cancellazione remota abilitata (Trova il mio Mac, Microsoft Find My Device, Apple Find My).

Per il lavoro ad alto rischio (giornalismo, legale, ricerca con avversari statali), considera un laptop dedicato con igiene software rigorosa, o Qubes OS per la compartimentazione.

Verifica il destinatario

Inviare un file sensibile all'indirizzo sbagliato è la sua categoria di violazione. Le email di notifica Equifax del 2017 hanno inavvertitamente indirizzato gli utenti a un dominio di phishing. Prevenzione:

Conferma l'indirizzo email tramite un secondo canale prima di inviare. Chiama il destinatario, controlla un messenger cifrato, rileggi l'indirizzo lettera per lettera.
Usa identificatori non ambigui nei nomi dei file in modo che il destinatario sappia immediatamente se ha ricevuto il file sbagliato.
Inizia con un file di test — un file di testo da 1 KB conferma l'indirizzo e il processo prima che tu invii il contenuto sensibile reale.
Attenzione agli attacchi homograph — rn sembra m, la cirillica а sembra la latina a nei nomi di dominio.

Controlla i metadati

La crittografia nasconde i contenuti, non i nomi dei file, le dimensioni o i timestamp. Le fughe di metadati possono essere dannose quanto le fughe di contenuti. Due esempi:

Un file chiamato Q4-2025-licenziamenti-finale.xlsx racconta una storia prima che qualcuno lo decifri.
Le foto incorporate con coordinate GPS EXIF possono rivelare il tuo indirizzo di casa a chiunque le riceva.

Mitigazioni:

Rinomina i file in nomi neutri prima di condividerli (allegato.xlsx invece del nome rivelatore).
Rimuovi i dati EXIF con exiftool -all= foto.jpg prima di inviare.
Usa servizi che cifrano i nomi dei file insieme ai contenuti (Tresorit, Proton Drive, HexaTransfer lo fanno).
Arrotonda le dimensioni dei file con padding dove possibile.

Monitora gli accessi quando puoi

Dopo l'invio, la visibilità è importante. I servizi che mostrano gli eventi di download ti permettono di rilevare i problemi presto:

Il destinatario ha scaricato? (Previsto.)
C'è stato un secondo download da un IP diverso? (Intercettato?)
Il link è stato accesso in un paese che non ti aspettavi? (VPN o fuga.)
Ci sono tentativi di password falliti? (Brute force in corso.)

Tresorit e Proton Drive registrano gli accessi; SwissTransfer mostra i conteggi dei download; la maggior parte dei servizi consumer non lo fa. Anche solo contare i download è utile — un link a download singolo che è stato scaricato due volte è un allarme forte.

Fai un backup prima di eliminare

Un file eliminato dopo un trasferimento di 24 ore è sparito dal servizio. Assicurati di avere una copia locale se avrai bisogno del file in seguito. Un disco di archivio dedicato con cifratura completa del disco AES-256-XTS (LUKS, VeraCrypt) più backup offsite su Backblaze B2 o AWS S3 con crittografia lato server è una configurazione personale standard.

Tre copie dei dati importanti in almeno due posizioni, con almeno una offline — la regola 3-2-1 — sopravvive meglio al ransomware rispetto all'archiviazione solo cloud.

Una routine pratica quotidiana

Per chi condivide file sensibili regolarmente:

Cifra a riposo localmente con contenitori VeraCrypt o FileVault.
Usa per default un servizio di trasferimento con crittografia lato client.
Imposta la scadenza a 24 ore e il limite di download singolo.
Aggiungi una password robusta da un gestore di password, inviata tramite un secondo canale.
Verifica il destinatario prima di premere invia.
Conferma il download, poi elimina la copia locale del link di condivisione.

Overhead totale: circa 30 secondi per trasferimento. Riduzione del rischio di violazione: sostanziale.

Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.