L’antivirus è morto, lunga vita all’antivirus: che cosa serve oggi in azienda

No, l’antivirus non è morto: resta la prima barriera contro il malware conosciuto e va tenuto attivo, aggiornato e protetto dalle manomissioni su ogni computer e server. Da solo, però, non vede gli attacchi che di malware non ne usano: accessi con credenziali rubate e strumenti già presenti nel sistema, adoperati come farebbe un amministratore. Per quelli servono strumenti di rilevazione e risposta (EDR), privilegi ridotti, aggiornamenti puntuali e, soprattutto, persone che leggono gli allarmi e hanno l’autorità di agire.

Il funerale annunciato nel 2014

A maggio 2014 un dirigente di Symantec, allora tra i maggiori produttori di antivirus, dichiarò al Wall Street Journal che l’antivirus era «morto» e che il software tradizionale intercettava ormai circa il 45 per cento degli attacchi. La frase fece il giro del mondo. Dodici anni dopo l’antivirus è ancora al suo posto sui computer aziendali, e Windows ne include uno di serie.

Avevano ragione tutti: chi lo dichiarava morto e chi continuava a installarlo. A morire è stata un’idea, quella che bastasse l’antivirus.

L’antivirus è davvero morto?

È cambiato. I primi prodotti riconoscevano il malware dalla sua «impronta», una firma confrontata con un elenco. Quelli di oggi osservano anche il comportamento dei programmi, interrogano servizi in cloud sulla reputazione dei file e usano modelli statistici che i produttori presentano come intelligenza artificiale.

Quello che non è cambiato è il suo ruolo. Il NIST, l’ente statunitense per gli standard, nella versione 2.0 del suo quadro di riferimento per la cybersicurezza (febbraio 2024) organizza la difesa in sei funzioni: governare, identificare, proteggere, rilevare, rispondere, recuperare. L’antivirus lavora soprattutto nella terza. Un’azienda che si affida solo a lui lascia scoperte quasi tutte le altre.

Che cosa ferma ancora un antivirus?

Più di quanto si creda, a patto di tenerlo in buone condizioni:

• allegati e download con malware già noto o simile a famiglie note;
• file che arrivano da chiavette USB o da siti compromessi;
• documenti con macro malevole;
• gli attacchi di massa, costruiti per colpire chiunque e non una singola azienda.

Le condizioni sono quattro: attivo, aggiornato, gestito da una console che mostri quali macchine sono davvero protette, e protetto dalle manomissioni. L’ultima è la più trascurata. Microsoft, nella documentazione del suo prodotto, ricorda che durante un attacco chi è entrato cerca spesso di disattivare le funzioni di sicurezza: la protezione dalle manomissioni impedisce di spegnere la protezione in tempo reale o di aggiungere esclusioni senza autorizzazione.

Che cosa gli sfugge?

• Gli accessi con credenziali vere. Chi entra con una password rubata non installa niente di sospetto, come racconta l’imbianchino digitale.
• Gli strumenti del sistema usati contro il sistema. La tecnica si chiama living off the land: PowerShell, programmi di amministrazione remota, utilità di Windows. La guida pubblicata a febbraio 2024 dalla CISA con le agenzie di diversi Paesi alleati spiega che queste attività si confondono con il lavoro legittimo degli amministratori, e che molte organizzazioni non hanno gli strumenti per distinguerle.
• Le vulnerabilità dei servizi esposti. Nel rapporto 2025 dell’ENISA, l’agenzia europea per la cybersicurezza, lo sfruttamento di vulnerabilità vale il 21,3 per cento dei vettori d’ingresso iniziali. Un antivirus non aggiorna una VPN rimasta indietro.
• Lo spegnimento delle difese. Il catalogo MITRE ATT&CK, riferimento internazionale delle tecniche d’attacco, dedica una voce alla disattivazione o modifica degli strumenti di sicurezza: prima di cifrare, molti attacchi provano a spegnere proprio l’antivirus.

Uno scenario tipico. Accesso alla VPN con credenziali rubate; ricognizione della rete con strumenti di sistema; creazione di un nuovo account amministrativo; copia dei dati verso l’esterno; tentativo di disattivare le difese; infine il ransomware. L’antivirus, nel migliore dei casi, vede solo l’ultimo passo.

EDR, XDR, MDR: che differenza c’è?

Molti prodotti EDR comprendono anche la protezione antivirus tradizionale. Conta che le funzioni ci siano e siano accese, non quante sigle compaiono sulla confezione.

Chi legge gli allarmi quando l’ufficio è chiuso?

Un EDR che nessuno guarda è un allarme che suona in una casa vuota. E chi attacca sceglie volentieri le ore in cui nessuno guarda. Le strade possibili sono tre:

• un gruppo interno con turni di reperibilità;
• un fornitore esterno di rilevazione e risposta;
• una soluzione mista, in cui il fornitore filtra gli allarmi e l’IT interno decide.

Qualunque sia la scelta, tre cose vanno scritte prima: chi può isolare una macchina senza chiedere il permesso a nessuno; chi avvisa la direzione, e con quale canale; entro quanto tempo, secondo il contratto, arriva la prima risposta. Poi si prova tutto con un’esercitazione, perché un piano mai provato è solo un documento.

Che cosa chiedere a un prodotto che promette intelligenza artificiale?

Quasi tutti i prodotti di sicurezza dichiarano di usare l’AI. La domanda utile non è se la usano, ma che cosa cambia per l’azienda:

• che cosa rileva in più rispetto allo strumento attuale, dimostrato con una prova sui propri sistemi;
• quanti falsi allarmi produce, e chi li smaltisce;
• dove finiscono i dati raccolti dai computer, e chi può leggerli;
• quali azioni compie da solo, e chi può annullarle;
• che cosa succede ai dati se il contratto si interrompe.

Quando la scelta è importante, una seconda opinione su un progetto o un fornitore di AI aiuta a separare le funzioni reali dalle promesse.

Da dove si parte?

1. Inventario di tutti i dispositivi, server compresi: non si protegge ciò che non si sa di avere.
2. Antivirus attivo e aggiornato ovunque, gestito da una console, con la protezione dalle manomissioni accesa.
3. Nessun diritto di amministratore per il lavoro di tutti i giorni.
4. Aggiornamenti puntuali, a partire da VPN, posta e servizi esposti a internet.
5. Secondo fattore su accessi remoti e account con privilegi.
6. EDR almeno su server e computer più esposti, con registri conservati abbastanza a lungo per ricostruire un attacco.
7. Copie isolate e provate, come nel backup del nonno.
8. Un piano scritto per le prime ore, con una persona che ha l’autorità di attivarlo.
9. Una verifica esterna che provi se le difese vedono davvero un attacco simulato.

In sintesi

• L’antivirus non è morto: ferma il malware conosciuto e gli attacchi di massa, se è attivo, aggiornato, gestito e protetto dalle manomissioni.
• Non vede gli accessi con credenziali vere né l’uso malevolo degli strumenti di sistema.
• Gli EDR registrano e correlano ciò che accade sulle macchine; XDR allarga lo sguardo; MDR è un servizio di persone.
• Senza qualcuno che legga gli allarmi e possa agire, nessuno strumento basta.
• Davanti alle promesse di intelligenza artificiale conta ciò che il prodotto dimostra sui sistemi dell’azienda.

Domande frequenti

Microsoft Defender, incluso in Windows, è sufficiente?

Come antivirus, se attivo, aggiornato e gestito centralmente, è una base solida per molte aziende. Le funzioni di rilevazione e risposta, la gestione centralizzata e l’indagine sugli incidenti dipendono però dai prodotti e dalle licenze sottoscritte: vanno verificate nel contratto, non date per scontate.

Un EDR sostituisce l’antivirus?

Spesso lo comprende, perché molti prodotti EDR includono anche la protezione tradizionale. Conta che entrambe le funzioni siano attive e che due prodotti diversi non si ostacolino sulla stessa macchina.

Servono gli EDR anche sui server?

Sì, e spesso prima che altrove: controller di dominio, file server e database sono l’obiettivo finale di molti attacchi. Sui server con applicazioni critiche, come i database seguiti dalla divisione Oracle & Database Engineering, esclusioni e regole si concordano con chi li amministra e si provano prima della produzione.

Contano di più gli aggiornamenti o l’antivirus?

Servono entrambi, perché fermano attacchi diversi. Secondo l’ENISA, lo sfruttamento di vulnerabilità vale oltre un quinto dei vettori d’ingresso negli incidenti analizzati tra il 2024 e il 2025: nessun antivirus corregge un servizio esposto e non aggiornato.

Capire che cosa vedono davvero le difese di un’azienda, provarlo con un penetration test e preparare le prime ore con la gestione degli incidenti è il lavoro della divisione Cybersecurity. L’antivirus resta al suo posto, ma non lavora più da solo.

Fonti

Consultate il 16 settembre 2026.

• The Register, articolo del 6 maggio 2014 sulla dichiarazione di Symantec al Wall Street Journal
• NIST, The NIST Cybersecurity Framework (CSF) 2.0, 26 febbraio 2024
• CISA e agenzie partner, Identifying and Mitigating Living Off the Land Techniques, 7 febbraio 2024
• MITRE ATT&CK, Impair Defenses: Disable or Modify Tools (T1562.001)
• Microsoft Learn, Panoramica della protezione antimanomissione
• ENISA, Threat Landscape 2025, ottobre 2025