La smart TV della sala riunioni rallenta, ma nessuno la usa per lavorare: potrebbe essere solo un dispositivo economico con poco spazio, oppure un apparecchio compromesso che comunica con un server remoto. Una botnet è una rete di dispositivi controllati di nascosto e può includere computer, router e oggetti connessi, anche se il modo in cui vengono infettati cambia da un caso all’altro.
Un dispositivo compromesso può diventare una risorsa per gli attaccanti
- Botnet indica una rete di dispositivi infettati e comandati da remoto.
- Un dispositivo coinvolto può inviare spam, sottrarre dati o contribuire a un attacco DDoS.
- Router, smart TV e dispositivi di streaming possono essere esposti quanto i computer, soprattutto se ricevono pochi aggiornamenti.
- Un rallentamento da solo non prova un’infezione: servono controlli su traffico, avvisi di sicurezza e attività insolite.
Il dispositivo diventa un bot quando qualcuno ne prende il controllo
Un computer aziendale apre una pagina web e, senza che chi lo usa se ne accorga, scarica un programma malevolo. Se quel programma si collega all’infrastruttura dell’attaccante e riceve istruzioni, il dispositivo entra nella rete: è un bot, chiamato anche zombie.
Il criminale che coordina i dispositivi è spesso definito botmaster. Invece di attaccare da una sola macchina, può distribuire comandi a molti dispositivi sparsi, rendendo più difficile risalire alla fonte del traffico. Io considero questo il passaggio da tenere a mente: il dispositivo compromesso diventa uno strumento per colpire altri, mentre la persona o l’azienda che lo possiede può non notare nulla.
Una botnet può mandare spam, rubare dati o bloccare un servizio
Il compito assegnato ai dispositivi dipende da chi controlla la rete. Alcuni inviano messaggi indesiderati o tentano accessi con credenziali rubate; altri raccolgono informazioni o partecipano a un attacco DDoS, che sovraccarica un sito o un servizio con richieste provenienti da molte macchine.
Per un’impresa, il danno può arrivare da due direzioni: i sistemi aziendali possono essere sfruttati per attaccare terzi, oppure un servizio da cui dipende l’attività può diventare irraggiungibile. Il traffico in uscita anomalo può anche consumare banda e risorse di rete. Un singolo segnale, però, non basta per concludere che ci sia una botnet: conviene cercare più indizi insieme.
Nel 2025 BadBox 2 ha concentrato le infezioni rilevate in Italia
Una smart TV o un proiettore collegato alla rete può sembrare un bersaglio secondario, ma non sempre riceve gli stessi controlli di un computer aziendale. Nel Rapporto Clusit 2026, i dati Fastweb relativi al 2025 attribuiscono alla famiglia Android BadBox 2 il 72,46% delle infezioni rilevate nel perimetro analizzato; il rapporto collega il fenomeno anche a dispositivi IoT economici con firmware poco curato.
Quel dato non descrive ogni dispositivo italiano né ogni rete aziendale: riguarda le infezioni rilevate nell’analisi citata. Suggerisce però una scelta operativa precisa: includere nell’inventario di sicurezza anche gli apparecchi che sembrano “solo accessori”, come TV, box streaming e proiettori. Se non ricevono più aggiornamenti, isolarli dalla rete che contiene dati e strumenti di lavoro riduce l’esposizione.
Un avviso di sicurezza o traffico insolito richiede una verifica mirata
Un dispositivo lento può avere molte cause. È più utile valutare il segnale insieme al tipo di apparecchio e ai dati di rete, poi intervenire in modo proporzionato. La tabella aiuta a scegliere il primo passo senza scambiare un sintomo generico per una diagnosi.
| Situazione | Possibile spiegazione | Cosa fare |
|---|---|---|
| Un solo dispositivo è lento, senza avvisi né traffico anomalo | Problema locale, aggiornamento o limite hardware; il sintomo da solo non prova un’infezione | Controllare aggiornamenti e stato del dispositivo, poi confrontare il comportamento nel tempo |
| Il firewall segnala connessioni ripetute verso destinazioni insolite | Possibile comunicazione con un server di comando, ma anche software legittimo o configurazione errata | Annotare dispositivo, orari e destinazioni; chiedere al responsabile IT di verificare i log |
| Un endpoint aziendale mostra un allarme malware o attività non autorizzate | Possibile compromissione del sistema e delle credenziali usate su di esso | Isolare il dispositivo dalla rete, conservare gli avvisi e contattare il team IT o il fornitore di sicurezza |
| Un servizio aziendale diventa irraggiungibile mentre il traffico cresce bruscamente | Possibile DDoS o altro problema di rete | Contattare il provider e il team tecnico; evitare di spegnere o ripristinare sistemi prima di raccogliere le informazioni utili |
Quando emerge un sospetto concreto, la priorità è contenere la comunicazione del dispositivo e preservare gli elementi utili all’analisi. Nel novembre 2025, Europol ha riferito di un’operazione contro l’infrastruttura criminale collegata, tra gli altri, alla botnet Elysium, con oltre mille server disattivati o interrotti; l’operazione mostra quanto queste reti dipendano da infrastrutture distribuite, che possono cambiare dopo un intervento. Per questo una scansione antivirus può aiutare, ma in un ambiente aziendale non sostituisce la verifica dei log, degli account e degli altri dispositivi coinvolti.
Separare gli oggetti connessi dai dati aziendali riduce l’esposizione
Per contenere il rischio, assegna ai dispositivi IoT una rete separata da quella usata per documenti, posta e strumenti gestionali, limita le connessioni che non servono e rimuovi le credenziali predefinite. Se un apparecchio non riceve più aggiornamenti dal produttore, trattalo come un dispositivo da sostituire o da tenere fuori dai sistemi aziendali sensibili.
Queste misure aiutano anche a gestire meglio banda e risorse: un dispositivo compromesso non può usare liberamente la rete di lavoro per comunicare all’esterno. In un’impresa che digitalizza processi per ridurre sprechi, l’inventario e la segmentazione rendono più chiaro quali apparecchi siano davvero necessari e quali vadano aggiornati o dismessi.
La sicurezza comincia dagli apparecchi che nessuno controlla
Una botnet cresce quando un dispositivo resta esposto, non viene aggiornato o passa inosservato dopo la compromissione. Tenere un elenco degli oggetti connessi, verificare gli avvisi di rete e isolare quelli non più supportati trasforma un problema invisibile in una decisione gestibile. Spesso il punto debole non è il computer più importante, ma l’apparecchio dimenticato collegato alla stessa rete.