--- id: CP-234 slug: tor-deep-web-dark-web lang: it title: Tor, Deep Web e Dark Web description: Come funziona Tor, l'onion routing, e perché un dipendente non lo installa su un computer aziendale senza il consenso dell'IT. canonical_url: https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/ markdown_url: https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Tor, Deep Web e Dark Web», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-077 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/ fr: https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ en: https://startbrain.io/cyberpedia/en/articles/tor-deep-web-vs-dark-web/ de: https://startbrain.io/cyberpedia/de/articles/tor-deep-web-dark-web/ es: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ nl: https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/ sources: - "n": 1 title: Tor publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0183/ accessed: "2026-11-03" - "n": 2 title: "Proxy: Multi-hop Proxy" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/003/ accessed: "2026-11-03" - "n": 3 title: Encrypted Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1573/ accessed: "2026-11-03" - "n": 4 title: Proxy publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/ accessed: "2026-11-03" - "n": 5 title: "Application Layer Protocol: Web Protocols" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/001/ accessed: "2026-11-03" --- # Tor, Deep Web e Dark Web Tor è un software e una rete che servono a rendere la navigazione più anonima. Il suo nome compare spesso insieme a «Deep Web» e «Dark Web», due espressioni che si confondono facilmente. Questa scheda spiega come funziona Tor e che cosa cambia per un'azienda. Le fonti raccolte qui provengono dalla base di conoscenza MITRE ATT&CK, che descrive le tecniche degli attaccanti. Dicono soprattutto come Tor viene sfruttato da attori malevoli e poco del suo uso ordinario. La scheda si limita a ciò che le fonti stabiliscono. ## In 30 secondi - Dove succede: gruppi malevoli usano Tor per il proprio traffico [1]. - Cosa vuole l'attaccante: nascondere l'origine del proprio traffico, in modo che l'azienda non possa risalire a lui [2]. - Il riflesso: non installare Tor su un computer aziendale senza il consenso dell'IT e non scaricare alcun «browser Tor» da una fonte che l'IT non abbia confermato. - Se è già successo: avvisare subito l'IT, senza cancellare nulla di propria iniziativa. ## Domande dirette ### Che cos'è Tor? MITRE ATT&CK lo descrive come una suite software e una rete che offrono un maggiore anonimato su Internet. Crea una rete di relay concatenati (un «multi-hop proxy») e usa una cifratura a più strati per proteggere sia il messaggio sia le informazioni di instradamento [1]. Esiste per Linux, Windows e macOS [1]. ### Che cosa significa «onion routing»? I messaggi sono cifrati con più strati. A ogni tappa della rete di relay, lo strato superiore viene decifrato e il contenuto è inoltrato al nodo successivo, fino alla destinazione [1]. L'immagine è quella di una cipolla da cui ogni relay toglie una buccia. ### Quanti relay attraversa il traffico? La fonte dice che il traffico passa attraverso più nodi prima di uscire dalla rete Tor e proseguire verso la destinazione [1]. Non indica un numero. La cifra di tre relay, spesso citata, non compare in nessuna delle fonti citate qui. ### Il Dark Web è illegale? Nessuna delle fonti citate qui tratta lo status giuridico del Dark Web né quello di Tor. La scheda non si pronuncia quindi su questo punto. Le fonti stabiliscono un altro fatto: gruppi malevoli usano Tor [1]. ### Qual è la differenza tra Deep Web e Dark Web? Le fonti citate qui non definiscono nessuno dei due termini. Descrivono soltanto Tor, una rete di anonimizzazione. Per la distinzione tra contenuti non indicizzati e servizi raggiungibili tramite una rete di anonimizzazione, l'interlocutore resta l'IT dell'azienda. ## Come funziona Tor combina due meccanismi. Il primo è il salto multiplo: il traffico attraversa più nodi prima di raggiungere la destinazione [1]. Il secondo è la cifratura: Tor incapsula il traffico in più strati di cifratura e usa TLS per impostazione predefinita [1]. Per un team di sicurezza, l'effetto è questo. Di norma un difensore può identificare l'ultimo proxy attraversato dal traffico prima di entrare nella sua rete. Può o meno identificare i proxy precedenti [2]. Concatenare più proxy obbliga a seguire il traffico di relay in relay per trovarne l'origine [2]. MITRE cita la rete Tor, accessibile pubblicamente, come esempio di rete di onion routing [2]. Per le comunicazioni di comando e controllo dei malware, MITRE osserva che, nonostante un algoritmo sicuro, un'implementazione può essere vulnerabile al reverse engineering se chiavi segrete sono inserite nel codice o generate nei campioni di malware o nei loro file di configurazione [3]. Gli attaccanti usano inoltre i proxy per evitare connessioni dirette verso la propria infrastruttura, gestire le comunicazioni di comando e controllo o sfruttare percorsi di comunicazione già considerati affidabili, per evitare sospetti [4]. ## Cosa fa Lei - Non installi Tor, né alcun altro software di anonimizzazione, su un computer aziendale senza il consenso dell'IT. - Se un'informazione sembra raggiungibile solo in questo modo, lo chieda all'IT invece di cercarla da sé. - Se un messaggio Le propone di acquistare, consultare o verificare dati aziendali su un sito di questo tipo, non clicchi e lo segnali all'IT. - Se ha già installato un software del genere, lo dica all'IT, anche se non sembra esserci nulla di anomalo. ## Le trappole La prima è credere a un anonimato assoluto. La cifratura e i relay complicano il lavoro di un difensore: MITRE parla di difficoltà a identificare l'origine, non di impossibilità [2]. Tor serve anche agli attaccanti. MITRE menziona reti onion usate per trasportare traffico di comando e controllo cifrato attraverso un insieme di macchine compromesse [2]. Il traffico di un attaccante può inoltre confondersi con il normale traffico web: HTTP/S e WebSocket sono molto diffusi negli ambienti aziendali e un attaccante può sfruttarli per imitare un traffico normale [5]. La rete ospita siti di gruppi criminali. Water Galura gestisce un sito di pubblicazione dei dati rubati ospitato su Tor per il ransomware Qilin e i suoi affiliati [1]. Il gruppo ShinyHunters ha usato Tor per il proprio sito di pubblicazione dei dati [1]. Vedere il nome di una società su un sito simile non prova da solo un attacco: la verifica spetta all'IT. Le fonti non trattano né i falsi browser Tor, né i download compromessi, né le offerte di dati rubati. La prudenza richiesta su questi punti deriva dalle indicazioni dell'IT, non da un fatto stabilito qui. Un caso illustra però il rischio di un software installato senza controllo: il malware Dok scarica e installa Tor tramite Homebrew [2]. ## Casi reali ### 2025 Poland Wiper Attacks Negli attacchi con wiper del 2025 in Polonia, gli attaccanti hanno usato nodi Tor per il comando e controllo [1][2]. Nella campagna CostaRicto, gli attaccanti hanno gestito i server di comando tramite Tor [1]. ### Scattered Spider e l'estrazione di dati da Salesforce Secondo MITRE, il gruppo Scattered Spider ha usato Tor per comunicare con le organizzazioni prese di mira [1]. Nella campagna Salesforce Data Exfiltration, gli attaccanti hanno usato indirizzi IP Tor per chiamate vocali e per la raccolta di dati [1]. ### Operation Wocao Durante l'operazione Wocao, gli attaccanti hanno usato nodi di uscita Tor per eseguire comandi [1]. ## Fonti 1. MITRE ATT&CK, «Tor». https://attack.mitre.org/software/S0183/ (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Proxy: Multi-hop Proxy». https://attack.mitre.org/techniques/T1090/003/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Encrypted Channel». https://attack.mitre.org/techniques/T1573/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Proxy». https://attack.mitre.org/techniques/T1090/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Application Layer Protocol: Web Protocols». https://attack.mitre.org/techniques/T1071/001/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.