Il Mac ha un antivirus? Cosa protegge davvero (Gatekeeper, XProtect) e i 3 casi in cui resti scoperto

Il tuo Mac è protetto meglio di quanto pensi. Apple controlla le app che scarichi e blocca da sola tanti malware, senza chiederti niente.

Eppure oggi, per rubarti i dati, basta convincerti a fare una cosa che sembra innocua.

In questo articolo ti spiego cosa protegge davvero il tuo Mac e i tre casi in cui resti scoperto. L’ultimo è capitato a me qualche settimana fa, e puntava al mio canale YouTube.

Cosa protegge già il Mac, in breve

Tutte e quattro hanno un limite in comune: non possono fermare una cosa che decidi di far partire tu. I tre casi più avanti puntano proprio lì.

Cos’è la notarizzazione e cosa controlla Gatekeeper?

Parti da quello che succede quando scarichi un’app da internet e la apri per la prima volta.

Prima ancora che arrivi sul tuo Mac, lo sviluppatore l’ha mandata ad Apple per un controllo automatico. Si chiama notarizzazione (nelle pagine italiane di Apple la trovi come “autenticazione”): Apple cerca malware conosciuto e, se è tutto a posto, le dà una specie di timbro.

Quando fai doppio clic sull’app entra in gioco Gatekeeper. Controlla chi l’ha firmata, che non sia stata modificata e se ha quel timbro. Se è tutto in regola, l’app si apre e il Mac ti chiede solo se vuoi davvero aprire un’app scaricata da internet.

Apple può anche ritirare il timbro a un’app che si rivela dannosa dopo essere stata approvata: da quel momento Gatekeeper la blocca anche sui Mac dove era già installata.

Cosa può aprire il tuo Mac lo decidi in Impostazioni di Sistema → Privacy e sicurezza, alla voce Consenti app scaricate da: “App Store” oppure “App Store e sviluppatori identificati”. La seconda è quella standard e va bene per quasi tutti.

“Apple non può verificare la presenza di malware”: cosa vuol dire?

Se all’app manca qualcosa, compare un avviso che dice che Apple non può verificare la presenza di malware nell’app, con due pulsanti: Sposta nel Cestino e Fine.

Molti lo leggono come “questa app è un virus”. In realtà vuol dire un’altra cosa: Apple non l’ha potuta controllare.

Può essere un’app perfettamente innocua di un piccolo sviluppatore che non ha pagato il programma di Apple. Oppure può essere proprio quello che temi. Il Mac a quel punto si ferma e lascia la decisione a te.

Diverso è il caso in cui il Mac riconosce un malware: lì non ti chiede niente, blocca l’app e la sposta nel Cestino.

Tieni a mente questo avviso: è il punto da cui parte il secondo caso.

XProtect: il Mac ha un antivirus integrato?

Sì, e quasi nessuno sa che c’è, perché non lo vedi mai. Si chiama XProtect ed è l’antivirus che Apple ha messo dentro macOS. Non ha un’icona e non ha una finestra: lavora in background.

Come funziona, secondo la guida alla sicurezza di Apple:

• riconosce i malware dalle loro firme, un elenco di “impronte” dei malware conosciuti;
• controlla le app quando le apri per la prima volta, quando vengono modificate e quando arrivano firme nuove;
• si aggiorna da solo, separatamente dagli aggiornamenti di sistema: il Mac controlla ogni giorno se ci sono firme nuove;
• fa anche un giro per conto suo: nelle versioni recenti di macOS controlla periodicamente il Mac e, se trova un’infezione conosciuta, la rimuove.

Perché funzioni, lascia attivi gli aggiornamenti automatici di sicurezza. In Impostazioni di Sistema → Generali → Aggiornamento Software, nelle opzioni degli aggiornamenti automatici, la voce è “Installa i file dei dati di sistema e gli aggiornamenti di sicurezza”. Trovi il passaggio completo nelle 5 impostazioni di sicurezza da attivare sul Mac.

Il punto debole è proprio il funzionamento a firme: XProtect riconosce quello che conosce già. Una minaccia nuova di pochi giorni può non essere ancora nell’elenco.

E c’è un limite ancora più grande: né Gatekeeper né XProtect possono fermare una cosa che decidi di far partire tu.

Caso 1: il finto “non sono un robot” (ClickFix)

È il più subdolo.

Stai leggendo un articolo o cercando un programma, e compare la classica verifica “non sono un robot”. Solo che questa volta non ti chiede di cliccare sulle strisce pedonali: ti chiede di aprire il Terminale, incollare un testo e premere Invio.

Non devi nemmeno selezionarlo. Quando clicchi sul pulsante della verifica, la pagina lo mette negli appunti da sola. E le istruzioni sono scritte bene, con le scorciatoie da tastiera, come se fosse una procedura normale.

Si chiama ClickFix, ed è uno dei metodi più usati contro i Mac in questo periodo.

Cosa fa quel comando?

Scarica un programma e lo fa partire. Il programma, spesso della famiglia Atomic Stealer (AMOS), cerca:

• le password salvate nel browser;
• il Portachiavi del Mac;
• i portafogli di criptovalute;
• i tuoi documenti.

Funziona perché non sfrutta nessuna falla. Il comando lo lanci tu, quindi per il Mac sei tu che lo vuoi. Le varianti più recenti non passano nemmeno dal Terminale: aprono Script Editor con uno script già pronto, e basta un clic per avviarlo.

Il Terminale adesso ti avvisa

Apple se n’è accorta. Da macOS Tahoe 26.4, quando incolli nel Terminale certi comandi considerati pericolosi, compare un avviso che blocca l’incolla e spiega che i truffatori spingono spesso a incollare testo nel Terminale. Nel video te lo faccio vedere su Golden Gate.

È un buon segnale, ma è una richiesta di conferma: se scegli di incollare comunque, il comando parte. Apple non ha pubblicato quali comandi lo fanno comparire, quindi non contare sul fatto che compaia sempre.

La regola è una sola: un vero controllo anti-robot non ti chiede mai di aprire il Terminale. Se te lo chiede, chiudi la pagina.

E se il comando l’hai già lanciato?

Non è un caso da gestire con calma. Quello che ruba lo manda via subito, quindi:

1. scollega il Mac da internet;
2. da un altro dispositivo cambia le password, a partire dalla mail principale, dalla banca e da tutto quello che avevi salvato nel browser;
3. se hai portafogli di criptovalute, sposta i fondi su un portafoglio nuovo creato da un dispositivo pulito;
4. attiva la verifica in due passaggi o le passkey dove ancora non ce l’hai;
5. controlla le app che partono all’avvio in Impostazioni di Sistema → Generali → Elementi login ed estensioni.

Se sul Mac lavori con dati di clienti o con i soldi, la strada più sicura è inizializzarlo e ripartire dal backup. Ti spiego come in formattare un Mac.

Moonlock: un controllo in più su quello che scarichi

Questa sezione è sponsorizzata da Moonlock di MacPaw, la stessa azienda che fa CleanMyMac. Il link è di affiliazione.

Il caso che hai appena letto ha un punto in comune con molti altri: il pericolo arriva da qualcosa che scarichi o fai partire tu. Moonlock serve a controllare quello che entra nel Mac prima che possa fare danni, ed è pensato solo per Mac.

• Scansione: veloce, completa, oppure solo su una cartella o un file che ti preoccupa.
• Dove guarda: i file scaricati, gli archivi e gli allegati, le estensioni del browser e i programmi che partono all’avvio. Sono i posti dove si nasconde il malware di cui ti ho parlato.
• Protezione in tempo reale: resta attiva mentre lavori. Se scarichi un file sospetto te lo segnala prima che tu lo apra, non quando il danno è già fatto.
• Nessuna cancellazione a sorpresa: spiega cosa ha trovato e perché è pericoloso, e non elimina i file senza la tua approvazione.

Io l’ho fatto girare sul mio Mac, e nel video vedi quanto ci ha messo e cosa ha trovato. Mi piace che dica in modo chiaro cosa ha controllato e dove, senza riempirti di allarmi inutili. Lo lasci lì e lavora in silenzio, senza chiederti di cambiare il modo in cui usi il Mac.

Sul sito ufficiale trovi anche altri strumenti, come un controllo dei messaggi sospetti e una VPN. Richiede macOS 13 o successivo. C’è una prova di 7 giorni, per la quale serve un account Setapp, la piattaforma di MacPaw, e poi l’abbonamento parte da 54 $ l’anno. Dal mio link c’è già il codice MANUEL30, che ti dà il 30% di sconto.

Sponsor del video

Moonlock

Mi è piaciuto

• Dice in modo chiaro cosa ha controllato e dove
• Avvisa prima che tu apra un file sospetto
• Lavora in silenzio, senza allarmi inutili

Da sapere

• È un abbonamento annuale
• Per la prova serve un account Setapp
• Nessuna app ti protegge da un comando che lanci tu

Prova Moonlock (-30%) → Link di affiliazione

Caso 2: l’app presa dal sito sbagliato

Il secondo caso parte da una ricerca.

Ti serve un programma, lo cerchi e clicchi il primo risultato. Il sito sembra quello giusto: stesso logo, stessi colori. Spesso compare tra i risultati sponsorizzati, sopra quello vero, quindi guarda sempre l’indirizzo prima di cliccare.

Scarichi, apri, e compare l’avviso che abbiamo visto prima: Apple non può verificare la presenza di malware.

Come funziona “Apri comunque”

Su macOS si può comunque forzare l’apertura:

1. prova ad aprire l’app e chiudi l’avviso;
2. vai in Impostazioni di Sistema → Privacy e sicurezza;
3. scorri in basso fino alla sezione Sicurezza e fai clic su Apri comunque;
4. inserisci la password del Mac e conferma.

L’app viene salvata come eccezione e da lì in poi si apre con un doppio clic. Il pulsante compare solo dopo il tentativo di apertura e resta lì per circa un’ora. Da macOS Sequoia non c’è più la scorciatoia del clic con il tasto Control: si passa per forza da qui.

Chi prepara questi finti installer lo sa, e spesso mette proprio le istruzioni per farlo, con le frecce che ti indicano dove cliccare. Se un programma ti spiega come aggirare la sicurezza del Mac, quello è già un segnale.

Le tre domande prima di premere il pulsante

1. Da dove arriva questo file?
2. Chi è lo sviluppatore, e ha un sito vero?
3. Perché non è sull’App Store, o non è verificato da Apple?

Se una risposta non ti convince, fermati. E le app craccate rientrano tutte in questo caso: sono il modo più comodo per farti aprire qualcosa che non dovresti.

Quando un’app la scarichi dal sito giusto e dall’App Store, nella maggior parte dei casi questo avviso non lo vedi proprio. Prima di installare qualcosa di nuovo, nelle migliori app per Mac trovi anche quattro domande da farti su da dove arriva e quali permessi chiede.

Caso 3: la finta collaborazione che voleva rubarmi il canale

Il terzo caso non passa da nessuna app. Ed è quello che è successo a me.

Qualche settimana fa mi scrive un’azienda: vogliono fare una collaborazione sul canale. Mi capita spesso, quindi rispondo come sempre e chiedo marchio, formato e budget.

Mi arriva un PDF su Google Drive. Lo apro, e dentro non c’è nessuna proposta: c’è solo un invito a registrarmi su un sito.

Lì ho iniziato a guardare meglio. L’azienda usava quattro domini diversi, e il nome nella mail non era quello del proprietario del file.

Sul sito non ci sono andato. Ho cercato, e ho trovato che è uno schema già documentato: ti fanno accedere con Google su una pagina finta, ti rubano password e codici, e ti prendono il canale.

Come funziona questa truffa

I ricercatori di ESET l’hanno descritta a ottobre 2026. In breve:

• la mail cita i tuoi video e sembra scritta apposta per te;
• si tratta il compenso, come in una collaborazione vera;
• poi ti mandano su una piattaforma con metriche, loghi di marchi famosi e il tuo canale già caricato;
• a quel punto chiedono di accedere con Google “per verificare il canale”;
• la pagina di accesso è finta: con la password e il codice di verifica che inserisci, entrano nel tuo account Google, quindi Gmail, Drive e canale, e cambiano i dati di recupero per chiuderti fuori.

E non riguarda solo chi ha un canale YouTube. Al posto della collaborazione può esserci una fattura, un pacco in consegna, un messaggio della tua banca.

I due controlli che ti salvano

Qui le protezioni del Mac possono fare poco, perché non c’è niente da installare. Quello che ti salva sono due controlli:

1. Il dominio di chi ti scrive deve tornare. Deve essere quello del marchio, e lo stesso dalla prima all’ultima mail. Se cambia, o non coincide con il sito ufficiale, fermati e cerca tu i contatti dell’azienda.
2. L’accesso a Google si fa solo da accounts.google.com. Guarda la barra degli indirizzi prima di scrivere la password. Una pagina finta può essere identica a quella vera: l’unica cosa che non può copiare è l’indirizzo.

Le passkey aiutano molto: funzionano solo sul sito vero, quindi su una pagina finta non si possono usare. Se hai il dubbio di aver inserito i dati su una pagina sbagliata, cambia subito la password da accounts.google.com e controlla dispositivi e metodi di recupero nel Controllo di sicurezza di Google.

Serve un antivirus sul Mac?

macOS ne ha già uno, XProtect, che riconosce i malware conosciuti senza che tu faccia niente. Per molti è sufficiente, insieme al sistema aggiornato e alle app scaricate da fonti affidabili.

Un’app come Moonlock aggiunge un controllo su quello che scarichi e ti avvisa prima che tu lo apra: ha senso se scarichi spesso file e programmi da fonti diverse, o se lavori con dati che non puoi perdere.

Ma nessuna app, né quella di Apple né le altre, ti protegge da un comando che lanci tu o da una password inserita sulla pagina sbagliata. Lì contano le tre regole qui sotto. Sui rischi in generale e sulle cinque cose da fare trovi di più in i Mac prendono virus?.

Le 3 regole da ricordare

Il tuo Mac fa già tanto da solo: controlla le app con Gatekeeper e la notarizzazione, e riconosce i malware conosciuti con XProtect. Dove resti scoperto è quando l’azione la fai tu.

1. Nessun controllo anti-robot ti chiede di usare il Terminale. Se succede, chiudi la pagina.
2. Prima di “Apri comunque” fatti le tre domande: da dove arriva, chi è lo sviluppatore, perché non è verificata.
3. Prima di inserire una password guarda il dominio. Per Google è accounts.google.com, sempre.

Se il Mac lo usi da poco, sicurezza e backup sono le prime cose da sistemare. Per questo ho scritto Mac Senza Panico, una guida pratica che parte dal primo avvio e ti porta fino a un Mac ordinato, con le impostazioni giuste. L’ho appena aggiornata a macOS 27 Golden Gate, con nuovi capitoli e una nuova impaginazione.

Ti è mai arrivata una mail o una pagina che ti ha fatto venire un dubbio? Com’era fatta? Scrivimelo nei commenti del video, così aiutiamo anche chi legge.

Fonti

• Protezione dai malware in macOS, guida Apple alla sicurezza delle piattaforme
• Aprire le app sul Mac in sicurezza, supporto Apple
• Aprire un’app Mac di un’azienda di sviluppo sconosciuta, manuale di macOS
• Apple removes Control-click option for skipping Gatekeeper in macOS Sequoia, AppleInsider
• New macOS security feature will alert users about possible ClickFix attacks, Malwarebytes
• ClickFix on macOS: how Apple users are being scammed, Kaspersky
• ClickFix finds a new way to infect Macs, Malwarebytes
• Brand deal scam targeting YouTube creators, ESET WeLiveSecurity
• Sito ufficiale di Moonlock, MacPaw

Ne parlo anche in questi video

Domande frequenti