--- id: CP-089 slug: evil-maid-computer-hotel lang: it title: "Evil Maid: il computer lasciato in hotel" description: Come chi resta solo per pochi minuti con un computer lasciato in camera d'albergo può comprometterlo, e che cosa fare per ridurre il rischio. canonical_url: https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/ markdown_url: https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Evil Maid: il computer lasciato in hotel», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/ (CC BY 4.0)" wing: 1 theme: secure_devices reflex: cr-056 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/ fr: https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ en: https://startbrain.io/cyberpedia/en/articles/evil-maid-laptop-hotel-attack/ de: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ es: https://startbrain.io/cyberpedia/es/articles/evil-maid-ordenador-hotel/ nl: https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/ sources: - "n": 1 title: Secure the Windows boot process publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process accessed: "2026-11-03" - "n": 2 title: BitLocker countermeasures publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures accessed: "2026-11-03" - "n": 3 title: "Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/003/ accessed: "2026-11-03" - "n": 4 title: BitLocker Overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ accessed: "2026-11-03" - "n": 5 title: "Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/001/ accessed: "2026-11-03" - "n": 6 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 7 title: SP 800-147B, BIOS Protection Guidelines for Servers publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/147/b/final published: "2014-08-28" accessed: "2026-11-03" --- # Evil Maid: il computer lasciato in hotel Il nome «Evil Maid» (la cameriera malintenzionata) indica una situazione semplice: un computer resta solo in una camera d'albergo e qualcuno vi accede per pochi minuti. Il dispositivo è spento o bloccato e nulla sembra essere stato toccato. Eppure una modifica fatta prima dell'avvio di Windows sfugge alle protezioni che il sistema applica solo una volta in funzione [1]. I malware di avvio, i «bootkit», possono infatti partire prima di Windows, aggirare la sicurezza del sistema e restare nascosti [1]. Questa scheda spiega il principio, che cosa si vede sullo schermo e i comportamenti che riducono il rischio. Le fonti citate qui non descrivono alcun caso preciso avvenuto in un hotel: i casi datati più avanti sono attacchi reali dello stesso tipo (modifica dell'avvio o del firmware, hardware collegato), non scene d'albergo. ## In 30 secondi - Dove succede: un computer portatile lasciato incustodito (camera d'albergo, sala riunioni, auto), anche se spento o bloccato. - Che cosa vuole l'attaccante: inserire un codice che si esegue prima del sistema, per rubare dati, password o la chiave di cifratura del disco [1][2]. - Il riflesso: non lasciare il dispositivo da solo, spegnerlo completamente prima di allontanarsi e usare un PIN all'avvio se il servizio informatico lo prevede [2]. - Se è già successo: se il dispositivo chiede una chiave di ripristino senza un motivo noto, avvisi il servizio informatico prima di riutilizzarlo. ## Domande dirette ### Un computer spento può davvero essere attaccato? Sì, se il suo avvio non è protetto. Un attaccante con accesso diretto al disco di avvio può sovrascrivere l'area in cui si trova il boot loader e deviare l'esecuzione verso il proprio codice [3]. Su un dispositivo UEFI può creare o modificare file della partizione di sistema EFI per eseguire codice malevolo a livello di kernel [3]. ### Che cosa cerca di ottenere? I rootkit, di cui i bootkit fanno parte, arrivano spesso insieme ad altri malware in grado di aggirare gli accessi locali, registrare password e tasti premuti, trasferire file privati e catturare dati crittografici [1]. ### La cifratura del disco basta? Protegge i dati di un dispositivo smarrito o rubato, anche contro uno strumento di attacco software o lo spostamento del disco su un'altra macchina [4]. Microsoft precisa che BitLocker protegge per impostazione predefinita dall'installazione di un bootkit da parte di una persona fisicamente presente: il TPM rileva la modifica e la chiave non viene rilasciata [2]. Lo stesso documento osserva che la modalità «solo TPM» è più comoda ma meno sicura delle opzioni che richiedono un secondo fattore [2]. ### Che cos'è un TPM? È un chip progettato per offrire funzioni di sicurezza di base, soprattutto legate alle chiavi di cifratura. BitLocker vi associa le proprie chiavi per verificare che il dispositivo non sia stato modificato mentre il sistema era offline [2]. ## Nei panni dell'attaccante L'attaccante ha poco tempo e un accesso fisico. Microsoft distingue due profili. Il primo è l'attaccante occasionale: non usa metodi distruttivi né strumenti di analisi sofisticati, e la forma del dispositivo (nessuna porta esterna capace di accesso diretto alla memoria, nessuna vite visibile, memoria saldata) limita le sue opzioni [2]. Il secondo ha competenze e un accesso prolungato: apre la scocca, salda e usa hardware o software specializzati [2]. Su alcuni sistemi, aggirare la modalità «solo TPM» può richiedere di aprire la scocca e saldare, a un costo ragionevole; aggirare un TPM protetto da PIN costa di più e obbliga a indovinare il PIN [2]. Esistono più vie. La prima modifica il settore di avvio o la partizione EFI, in modo che codice ostile si esegua prima del sistema [3]. La seconda colpisce il firmware (BIOS o UEFI): esistono mezzi per sovrascriverlo, e questo può dare ad attaccanti sofisticati una persistenza difficile da individuare [5]. La terza aggiunge hardware. MITRE osserva che molti team di penetration test usano accessori in grado di iniettare tasti premuti o di leggere la memoria del kernel tramite accesso diretto alla memoria (DMA), e che i riferimenti pubblici a un uso da parte di attaccanti reali sono rari [6]. ## Cosa si vede sullo schermo Non viene descritto nulla di preciso. Le fonti citate qui non descrivono una falsa schermata in particolare. Dicono invece che un rootkit che parte prima del sistema può nascondersi del tutto [1]. La schermata di inserimento del PIN BitLocker è a sua volta una fase che precede Windows [4], quindi nello stesso punto in cui verrebbe eseguito un codice malevolo di avvio. Un indizio esiste comunque: con la modalità «solo TPM», se BitLocker rileva un cambiamento nella configurazione del BIOS o dell'UEFI, nei file di avvio critici o nella configurazione di avvio, passa alla modalità di ripristino e chiede la password di ripristino [2]. Una schermata di ripristino inattesa merita quindi una segnalazione. Lo stesso vale per un accessorio sconosciuto collegato al dispositivo, perché un accessorio simile può iniettare tasti premuti [6]. ## Sotto il cofano All'avvio, il firmware trova per prima cosa il boot loader del sistema. Senza Secure Boot, il PC esegue quello presente sul disco e non può sapere se appartiene a un sistema attendibile o a un rootkit [1]. Con Secure Boot, il firmware verifica la firma del boot loader prima di avviarlo [1]. I bootkit sostituiscono o modificano questo boot loader. Su un BIOS classico agiscono sul Master Boot Record (MBR) o sul Volume Boot Record (VBR); su un UEFI creano o modificano file della partizione EFI [3]. I rootkit del firmware sovrascrivono il BIOS o un altro firmware hardware per partire prima di Windows [1]. Il NIST colloca la modifica non autorizzata del BIOS tra le minacce rilevanti, a causa della posizione privilegiata del BIOS nell'architettura del PC [7]. Le difese formano una catena. Secure Boot avvia solo boot loader attendibili, Trusted Boot verifica poi ogni componente dell'avvio e Measured Boot registra l'avvio affinché un server attendibile valuti lo stato del PC [1]. BitLocker si basa sulla misurazione del TPM: un firmware EFI, un'applicazione di avvio o un boot loader non autorizzati non possono né eseguirsi né ottenere la chiave [2]. Se l'attaccante modifica il database di configurazione di avvio per puntare a un sistema fittizio, BitLocker verifica in modo crittografico che il destinatario della chiave sia il sistema giusto [2]. Il PIN di avvio aggiunge un secondo fattore. BitLocker carica le chiavi in memoria solo quando l'autenticazione prima dell'avvio è terminata, e il TPM limita i tentativi ripetuti per contrastare la forza bruta [2]. Il PIN aiuta anche contro gli attacchi tramite porte DMA e per rimanenza dei dati in memoria [2]. ## Autopsie Le fonti citate qui non riportano alcun caso datato avvenuto in hotel. Citano attacchi reali della stessa natura, con la data del riferimento indicata nella pagina. ### Hacking Team, 2015: un rootkit nel BIOS MITRE cita un rootkit UEFI BIOS sviluppato dalla società Hacking Team per mantenere un software di accesso remoto su alcuni sistemi presi di mira [5]. Il riferimento associato è un articolo del 13 luglio 2015 [5]. ### LoJax: un rootkit UEFI osservato in circolazione (riferimento di settembre 2018) LoJax è un rootkit UEFI BIOS impiegato per mantenere un software di accesso remoto su alcuni sistemi presi di mira [5]. Il riferimento di MITRE è un articolo di ESET del settembre 2018 intitolato «LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group» [5]. ### DarkVishnya: hardware collegato sul posto (riferimento di dicembre 2018) DarkVishnya ha collegato fisicamente un Bash Bunny, un Raspberry Pi, netbook e portatili economici nell'ambiente di un'organizzazione per accedere alla sua rete locale [6]. Il riferimento è un'analisi del 6 dicembre 2018 su banche attaccate tramite connessione diretta alla rete locale [6]. ### WhisperGate, gennaio 2022: un boot loader dirottato WhisperGate sovrascrive l'MBR con un componente di boot loader che cancella i dischi rigidi e mostra all'avvio una falsa richiesta di riscatto [3]. La maggior parte dei riferimenti di MITRE su questo caso risale al gennaio 2022, uno al febbraio 2022 [3]. ## I comportamenti giusti - Non lasci il dispositivo da solo. - Lo spenga completamente o lo metta in ibernazione prima di allontanarsi. In sospensione semplice, programmi e documenti restano in memoria e il PIN non viene richiesto di nuovo alla riattivazione; con l'ibernazione, il disco è bloccato [2]. - Se la sua organizzazione lo consente, usi la cifratura con PIN all'avvio. La modalità «solo TPM» è quella predefinita e mira all'attaccante occasionale; contro un attaccante dotato di competenze e di tempo, Microsoft raccomanda un TPM con PIN, la sospensione disattivata e uno spegnimento o un'ibernazione prima di lasciare il dispositivo [2]. - Tenga attivo Secure Boot: disattivarlo non protegge dai bootkit [1]. Microsoft raccomanda inoltre di richiedere una password per modificare le impostazioni del BIOS [2]. - Al ritorno, se il dispositivo si comporta in modo diverso (richiesta di ripristino, accessorio sconosciuto), lo segnali al servizio informatico prima di ricollegarlo. Un bootkit si trova sotto il sistema e può rendere difficile un ripristino completo [3]. ## Fonti 1. Microsoft, «Secure the Windows boot process». https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (consultato il 3 novembre 2026) 2. Microsoft, «BitLocker countermeasures». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/003/ (consultato il 3 novembre 2026) 4. Microsoft, «BitLocker Overview». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/001/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026) 7. NIST, «SP 800-147B, BIOS Protection Guidelines for Servers», 28 agosto 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.