Cyberpediadi Brain
ITDEENESFR

Evil Maid: il computer lasciato in hotel

Come chi resta solo per pochi minuti con un computer lasciato in camera d'albergo può comprometterlo, e che cosa fare per ridurre il rischio.

In 30 secondi

Dove succede
Un computer portatile lasciato incustodito (camera d'albergo, sala riunioni, auto), anche se spento o bloccato.
Che cosa vuole l'attaccante
Inserire un codice che si esegue prima del sistema, per rubare dati, password o la chiave di cifratura del disco12.
Il riflesso
Non lasciare il dispositivo da solo, spegnerlo completamente prima di allontanarsi e usare un PIN all'avvio se il servizio informatico lo prevede2.
Se è già successo
Se il dispositivo chiede una chiave di ripristino senza un motivo noto, avvisi il servizio informatico prima di riutilizzarlo.

Di cosa si tratta

Il nome «Evil Maid» (la cameriera malintenzionata) indica una situazione semplice: un computer resta solo in una camera d'albergo e qualcuno vi accede per pochi minuti. Il dispositivo è spento o bloccato e nulla sembra essere stato toccato. Eppure una modifica fatta prima dell'avvio di Windows sfugge alle protezioni che il sistema applica solo una volta in funzione1.

I malware di avvio, i «bootkit», possono infatti partire prima di Windows, aggirare la sicurezza del sistema e restare nascosti1. Questa scheda spiega il principio, che cosa si vede sullo schermo e i comportamenti che riducono il rischio. Le fonti citate qui non descrivono alcun caso preciso avvenuto in un hotel: i casi datati più avanti sono attacchi reali dello stesso tipo (modifica dell'avvio o del firmware, hardware collegato), non scene d'albergo.

Domande dirette

Un computer spento può davvero essere attaccato?

Sì, se il suo avvio non è protetto. Un attaccante con accesso diretto al disco di avvio può sovrascrivere l'area in cui si trova il boot loader e deviare l'esecuzione verso il proprio codice3. Su un dispositivo UEFI può creare o modificare file della partizione di sistema EFI per eseguire codice malevolo a livello di kernel3.

Che cosa cerca di ottenere?

I rootkit, di cui i bootkit fanno parte, arrivano spesso insieme ad altri malware in grado di aggirare gli accessi locali, registrare password e tasti premuti, trasferire file privati e catturare dati crittografici1.

La cifratura del disco basta?

Protegge i dati di un dispositivo smarrito o rubato, anche contro uno strumento di attacco software o lo spostamento del disco su un'altra macchina4. Microsoft precisa che BitLocker protegge per impostazione predefinita dall'installazione di un bootkit da parte di una persona fisicamente presente: il TPM rileva la modifica e la chiave non viene rilasciata2. Lo stesso documento osserva che la modalità «solo TPM» è più comoda ma meno sicura delle opzioni che richiedono un secondo fattore2.

Che cos'è un TPM?

È un chip progettato per offrire funzioni di sicurezza di base, soprattutto legate alle chiavi di cifratura. BitLocker vi associa le proprie chiavi per verificare che il dispositivo non sia stato modificato mentre il sistema era offline2.

1Nei panni dell'attaccante1 min

L'attaccante ha poco tempo e un accesso fisico. Microsoft distingue due profili. Il primo è l'attaccante occasionale: non usa metodi distruttivi né strumenti di analisi sofisticati, e la forma del dispositivo (nessuna porta esterna capace di accesso diretto alla memoria, nessuna vite visibile, memoria saldata) limita le sue opzioni2. Il secondo ha competenze e un accesso prolungato: apre la scocca, salda e usa hardware o software specializzati2. Su alcuni sistemi, aggirare la modalità «solo TPM» può richiedere di aprire la scocca e saldare, a un costo ragionevole; aggirare un TPM protetto da PIN costa di più e obbliga a indovinare il PIN2.

Esistono più vie. La prima modifica il settore di avvio o la partizione EFI, in modo che codice ostile si esegua prima del sistema3. La seconda colpisce il firmware (BIOS o UEFI): esistono mezzi per sovrascriverlo, e questo può dare ad attaccanti sofisticati una persistenza difficile da individuare5. La terza aggiunge hardware. MITRE osserva che molti team di penetration test usano accessori in grado di iniettare tasti premuti o di leggere la memoria del kernel tramite accesso diretto alla memoria (DMA), e che i riferimenti pubblici a un uso da parte di attaccanti reali sono rari6.

2Cosa si vede sullo schermo1 min

Non viene descritto nulla di preciso. Le fonti citate qui non descrivono una falsa schermata in particolare. Dicono invece che un rootkit che parte prima del sistema può nascondersi del tutto1. La schermata di inserimento del PIN BitLocker è a sua volta una fase che precede Windows4, quindi nello stesso punto in cui verrebbe eseguito un codice malevolo di avvio.

Un indizio esiste comunque: con la modalità «solo TPM», se BitLocker rileva un cambiamento nella configurazione del BIOS o dell'UEFI, nei file di avvio critici o nella configurazione di avvio, passa alla modalità di ripristino e chiede la password di ripristino2. Una schermata di ripristino inattesa merita quindi una segnalazione. Lo stesso vale per un accessorio sconosciuto collegato al dispositivo, perché un accessorio simile può iniettare tasti premuti6.

3Sotto il cofanoTeam IT2 min

All'avvio, il firmware trova per prima cosa il boot loader del sistema. Senza Secure Boot, il PC esegue quello presente sul disco e non può sapere se appartiene a un sistema attendibile o a un rootkit1. Con Secure Boot, il firmware verifica la firma del boot loader prima di avviarlo1.

I bootkit sostituiscono o modificano questo boot loader. Su un BIOS classico agiscono sul Master Boot Record (MBR) o sul Volume Boot Record (VBR); su un UEFI creano o modificano file della partizione EFI3. I rootkit del firmware sovrascrivono il BIOS o un altro firmware hardware per partire prima di Windows1. Il NIST colloca la modifica non autorizzata del BIOS tra le minacce rilevanti, a causa della posizione privilegiata del BIOS nell'architettura del PC7.

Le difese formano una catena. Secure Boot avvia solo boot loader attendibili, Trusted Boot verifica poi ogni componente dell'avvio e Measured Boot registra l'avvio affinché un server attendibile valuti lo stato del PC1. BitLocker si basa sulla misurazione del TPM: un firmware EFI, un'applicazione di avvio o un boot loader non autorizzati non possono né eseguirsi né ottenere la chiave2. Se l'attaccante modifica il database di configurazione di avvio per puntare a un sistema fittizio, BitLocker verifica in modo crittografico che il destinatario della chiave sia il sistema giusto2.

Il PIN di avvio aggiunge un secondo fattore. BitLocker carica le chiavi in memoria solo quando l'autenticazione prima dell'avvio è terminata, e il TPM limita i tentativi ripetuti per contrastare la forza bruta2. Il PIN aiuta anche contro gli attacchi tramite porte DMA e per rimanenza dei dati in memoria2.

4AutopsieCasi reali1 min

Le fonti citate qui non riportano alcun caso datato avvenuto in hotel. Citano attacchi reali della stessa natura, con la data del riferimento indicata nella pagina.

Hacking Team, 2015: un rootkit nel BIOS

MITRE cita un rootkit UEFI BIOS sviluppato dalla società Hacking Team per mantenere un software di accesso remoto su alcuni sistemi presi di mira5. Il riferimento associato è un articolo del 13 luglio 20155.

LoJax: un rootkit UEFI osservato in circolazione (riferimento di settembre 2018)

LoJax è un rootkit UEFI BIOS impiegato per mantenere un software di accesso remoto su alcuni sistemi presi di mira5. Il riferimento di MITRE è un articolo di ESET del settembre 2018 intitolato «LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group»5.

DarkVishnya: hardware collegato sul posto (riferimento di dicembre 2018)

DarkVishnya ha collegato fisicamente un Bash Bunny, un Raspberry Pi, netbook e portatili economici nell'ambiente di un'organizzazione per accedere alla sua rete locale6. Il riferimento è un'analisi del 6 dicembre 2018 su banche attaccate tramite connessione diretta alla rete locale6.

WhisperGate, gennaio 2022: un boot loader dirottato

WhisperGate sovrascrive l'MBR con un componente di boot loader che cancella i dischi rigidi e mostra all'avvio una falsa richiesta di riscatto3. La maggior parte dei riferimenti di MITRE su questo caso risale al gennaio 2022, uno al febbraio 20223.

5I comportamenti giusti1 min
  • Non lasci il dispositivo da solo.
  • Lo spenga completamente o lo metta in ibernazione prima di allontanarsi. In sospensione semplice, programmi e documenti restano in memoria e il PIN non viene richiesto di nuovo alla riattivazione; con l'ibernazione, il disco è bloccato2.
  • Se la sua organizzazione lo consente, usi la cifratura con PIN all'avvio. La modalità «solo TPM» è quella predefinita e mira all'attaccante occasionale; contro un attaccante dotato di competenze e di tempo, Microsoft raccomanda un TPM con PIN, la sospensione disattivata e uno spegnimento o un'ibernazione prima di lasciare il dispositivo2.
  • Tenga attivo Secure Boot: disattivarlo non protegge dai bootkit1. Microsoft raccomanda inoltre di richiedere una password per modificare le impostazioni del BIOS2.
  • Al ritorno, se il dispositivo si comporta in modo diverso (richiesta di ripristino, accessorio sconosciuto), lo segnali al servizio informatico prima di ricollegarlo. Un bootkit si trova sotto il sistema e può rendere difficile un ripristino completo3.

Scheda

Identificativo
CP-089
Ala
1. Attacchi e tecniche
Competenza Brain
Proteggere i dispositivi (secure_devices)
Riflesso Brain
cr-056
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
7 fonti verificate il 3 novembre 2026
Fonti7 fonti
  1. Microsoft, «Secure the Windows boot process». https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (consultato il 3 novembre 2026)
  2. Microsoft, «BitLocker countermeasures». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/003/ (consultato il 3 novembre 2026)
  4. Microsoft, «BitLocker Overview». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/001/ (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026)
  7. NIST, «SP 800-147B, BIOS Protection Guidelines for Servers», 28 agosto 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Evil Maid: il computer lasciato in hotel», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/

BibTeX 
@misc{brain_cp089_it_2026,
  author = {Brain},
  title = {Evil Maid: il computer lasciato in hotel},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0