Come funziona
Un keylogger si colloca tra la tastiera e il sistema operativo o l'applicazione. Registra ogni tasto premuto prima che il testo arrivi a destinazione, quindi il registro contiene tutto ciò che una persona digita: credenziali, messaggi, bozze, ricerche.
- 1
Pressione del tasto
L'utente preme un tasto e la tastiera invia il segnale al computer.
- 2
Intercettazione
Il software cattura gli eventi della tastiera nel sistema operativo o in un'applicazione. Un dispositivo hardware si trova tra tastiera e computer o dentro la tastiera stessa.
- 3
Registrazione
Ogni tasto viene annotato in un log prima che il testo raggiunga l'applicazione.
- 4
Uso del registro
Lo strumento criminale conserva il flusso o lo invia all'attaccante. Il monitoraggio aziendale salva ogni record con applicazione, account utente e data e ora.
Tipi di keylogger
I keylogger si distinguono per il punto in cui intercettano l'input e per come sono costruiti.
| Tipo | Come funziona |
|---|---|
| Software | Programma che registra gli eventi della tastiera. Termine generale per la maggior parte degli strumenti, dagli script rudimentali ai prodotti commerciali. |
| A livello kernel | Driver in profondità nel sistema, vicino all'hardware della tastiera. Difficile da rilevare, tipico degli attacchi sofisticati. |
| Basato su API | Usa le interfacce della tastiera che il sistema offre alle applicazioni. Diffuso sia nel malware di massa sia negli agenti di monitoraggio. |
| Form-grabbing | Cattura il testo di un modulo web nel browser al momento dell'invio, prima che il sito lo cifri. Diffuso nelle frodi bancarie. |
| Hardware | Dispositivo tra tastiera e computer, o tastiera modificata. Richiede accesso fisico e il software di sicurezza non lo vede. |
Il keylogger come malware
In mani criminali un keylogger è spyware. Il suo obiettivo principale sono le credenziali: password della posta aziendale, dell'home banking, della VPN e delle console di amministrazione. Una password rubata apre tutto ciò a cui accede l'utente legittimo, senza far scattare alcun allarme. Per questo il keylogger è un classico strumento di accesso iniziale, dai trojan bancari alle campagne di spionaggio. Il registro contiene anche bozze di messaggi e contenuti di documenti.
Il controllo dei canali raramente lo rileva. Il testo viene catturato prima di qualsiasi invio: nessun file si sposta e non compare traffico insolito. La difesa combina più livelli:
- Autenticazione a più fattori, che riduce il valore delle password rubate
- Protezione degli endpoint e patch aggiornate
- Controllo del software installato
- Ispezione fisica delle postazioni alla ricerca di keylogger hardware
Monitoraggio dei tasti in azienda
Le organizzazioni applicano la stessa tecnica alle proprie postazioni, come parte del monitoraggio dell'attività degli utenti. Lo scopo è la prova alla fonte: cosa è stato digitato in un documento prima che lasciasse il computer, cosa è stato scritto in una chat, quali query sono state eseguite sul database. L'intercettazione sul canale mostra che un file è uscito. Il testo digitato spesso mostra come è stato preparato l'incidente.
Il meccanismo è simile a quello del malware. Scopo, trasparenza e garanzie sono diversi:
| Aspetto | Keylogger criminale | Monitoraggio aziendale |
|---|---|---|
| Scopo | Rubare password e dati | Prove e indagini di sicurezza |
| Dispositivi | Qualsiasi dispositivo raggiungibile | Dispositivi aziendali |
| Trasparenza | Nascosto all'utente | Dipendenti informati in anticipo |
| Accesso ai log | L'attaccante | Solo personale autorizzato |
| Conservazione | Senza limiti | Periodo fissato in anticipo |
| Password | Obiettivo principale | Categoria separata e controllata |
Nel profilo dell’agente
In Anexet il keylogger è un unico interruttore nel profilo dell’agente, accanto al monitoraggio dell’attività del PC e al controllo degli appunti.
Legalità sul lavoro
La liceità del monitoraggio dei tasti sul lavoro dipende dal paese e dal metodo. La maggior parte degli ordinamenti pone tre domande: lo scopo è legittimo, come la sicurezza e non la sorveglianza generica? La misura è proporzionata? I dipendenti sono stati informati? Il monitoraggio continuo e occulto della digitazione è considerato quasi ovunque un'intrusione grave.
In pratica, un uso difendibile si basa su una policy scritta, uno scopo di sicurezza definito, accesso limitato ai log e tempi di conservazione fissati.
Per approfondire: Malware: le 7 minacce più pericolose del 2025.
| Giurisdizione | Regola chiave |
|---|---|
| Unione Europea | Per il GDPR i log dei tasti sono dati personali. Il trattamento richiede una base giuridica, la limitazione della finalità, la minimizzazione e la trasparenza. Il monitoraggio occulto è in genere sproporzionato. |
| Germania | I dispositivi tecnici idonei a controllare i dipendenti richiedono la codecisione del consiglio aziendale (Betriebsrat). I tribunali ammettono la registrazione palese dei tasti solo in casi ristretti. |
| Italia | L'art. 4 dello Statuto dei Lavoratori consente il controllo a distanza solo per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, di norma con accordo sindacale o autorizzazione dell'Ispettorato del lavoro. |
| Stati Uniti | Il monitoraggio dei dispositivi del datore di lavoro è ampiamente consentito. È previsto un preavviso, e le leggi statali sul consenso alla registrazione delle comunicazioni possono limitare la raccolta. |
Come Anexet affronta questo
Anexet registra i tasti premuti nel modulo Activity. L'agente sulla postazione salva il testo digitato con applicazione, account utente e data e ora, così il log diventa testo ricercabile nella console e non un flusso opaco.
Anexet si installa on-premise, quindi i log restano nell'infrastruttura dell'organizzazione. Conta: il testo digitato è un dato personale sensibile, e dove viene conservato è importante quanto ciò che si raccoglie.
Cosa viene catturato
i tasti premuti in qualsiasi applicazione attiva, dai client di posta e browser alle app di messaggistica. Il testo digitato nei campi password è marcato come attributo separato e ricercabile.
Ricerca e correlazione
i record si cercano per testo, applicazione e intervallo di tempo e si esaminano insieme alle comunicazioni intercettate e ai trasferimenti di file.
Traccia di audit
ogni record riporta utente, applicazione e data e ora: chi ha digitato cosa, e dove.
La cattura dei tasti in Anexet
Scopri di più