Tor, Deep Web e Dark Web
Come funziona Tor, l'onion routing, e perché un dipendente non lo installa su un computer aziendale senza il consenso dell'IT.
In 30 secondi
- Dove succede
- Gruppi malevoli usano Tor per il proprio traffico1.
- Cosa vuole l'attaccante
- Nascondere l'origine del proprio traffico, in modo che l'azienda non possa risalire a lui2.
- Il riflesso
- Non installare Tor su un computer aziendale senza il consenso dell'IT e non scaricare alcun «browser Tor» da una fonte che l'IT non abbia confermato.
- Se è già successo
- Avvisare subito l'IT, senza cancellare nulla di propria iniziativa.
Di cosa si tratta
Tor è un software e una rete che servono a rendere la navigazione più anonima. Il suo nome compare spesso insieme a «Deep Web» e «Dark Web», due espressioni che si confondono facilmente. Questa scheda spiega come funziona Tor e che cosa cambia per un'azienda.
Le fonti raccolte qui provengono dalla base di conoscenza MITRE ATT&CK, che descrive le tecniche degli attaccanti. Dicono soprattutto come Tor viene sfruttato da attori malevoli e poco del suo uso ordinario. La scheda si limita a ciò che le fonti stabiliscono.
Domande dirette
Che cos'è Tor?
MITRE ATT&CK lo descrive come una suite software e una rete che offrono un maggiore anonimato su Internet. Crea una rete di relay concatenati (un «multi-hop proxy») e usa una cifratura a più strati per proteggere sia il messaggio sia le informazioni di instradamento1. Esiste per Linux, Windows e macOS1.
Che cosa significa «onion routing»?
I messaggi sono cifrati con più strati. A ogni tappa della rete di relay, lo strato superiore viene decifrato e il contenuto è inoltrato al nodo successivo, fino alla destinazione1. L'immagine è quella di una cipolla da cui ogni relay toglie una buccia.
Quanti relay attraversa il traffico?
La fonte dice che il traffico passa attraverso più nodi prima di uscire dalla rete Tor e proseguire verso la destinazione1. Non indica un numero. La cifra di tre relay, spesso citata, non compare in nessuna delle fonti citate qui.
Il Dark Web è illegale?
Nessuna delle fonti citate qui tratta lo status giuridico del Dark Web né quello di Tor. La scheda non si pronuncia quindi su questo punto. Le fonti stabiliscono un altro fatto: gruppi malevoli usano Tor1.
Qual è la differenza tra Deep Web e Dark Web?
Le fonti citate qui non definiscono nessuno dei due termini. Descrivono soltanto Tor, una rete di anonimizzazione. Per la distinzione tra contenuti non indicizzati e servizi raggiungibili tramite una rete di anonimizzazione, l'interlocutore resta l'IT dell'azienda.
1Come funziona1 min
Tor combina due meccanismi. Il primo è il salto multiplo: il traffico attraversa più nodi prima di raggiungere la destinazione1. Il secondo è la cifratura: Tor incapsula il traffico in più strati di cifratura e usa TLS per impostazione predefinita1.
Per un team di sicurezza, l'effetto è questo. Di norma un difensore può identificare l'ultimo proxy attraversato dal traffico prima di entrare nella sua rete. Può o meno identificare i proxy precedenti2. Concatenare più proxy obbliga a seguire il traffico di relay in relay per trovarne l'origine2. MITRE cita la rete Tor, accessibile pubblicamente, come esempio di rete di onion routing2.
Per le comunicazioni di comando e controllo dei malware, MITRE osserva che, nonostante un algoritmo sicuro, un'implementazione può essere vulnerabile al reverse engineering se chiavi segrete sono inserite nel codice o generate nei campioni di malware o nei loro file di configurazione3.
Gli attaccanti usano inoltre i proxy per evitare connessioni dirette verso la propria infrastruttura, gestire le comunicazioni di comando e controllo o sfruttare percorsi di comunicazione già considerati affidabili, per evitare sospetti4.
2Cosa fa Lei1 min
- Non installi Tor, né alcun altro software di anonimizzazione, su un computer aziendale senza il consenso dell'IT.
- Se un'informazione sembra raggiungibile solo in questo modo, lo chieda all'IT invece di cercarla da sé.
- Se un messaggio Le propone di acquistare, consultare o verificare dati aziendali su un sito di questo tipo, non clicchi e lo segnali all'IT.
- Se ha già installato un software del genere, lo dica all'IT, anche se non sembra esserci nulla di anomalo.
3Le trappole1 min
La prima è credere a un anonimato assoluto. La cifratura e i relay complicano il lavoro di un difensore: MITRE parla di difficoltà a identificare l'origine, non di impossibilità2.
Tor serve anche agli attaccanti. MITRE menziona reti onion usate per trasportare traffico di comando e controllo cifrato attraverso un insieme di macchine compromesse2. Il traffico di un attaccante può inoltre confondersi con il normale traffico web: HTTP/S e WebSocket sono molto diffusi negli ambienti aziendali e un attaccante può sfruttarli per imitare un traffico normale5.
La rete ospita siti di gruppi criminali. Water Galura gestisce un sito di pubblicazione dei dati rubati ospitato su Tor per il ransomware Qilin e i suoi affiliati1. Il gruppo ShinyHunters ha usato Tor per il proprio sito di pubblicazione dei dati1. Vedere il nome di una società su un sito simile non prova da solo un attacco: la verifica spetta all'IT.
Le fonti non trattano né i falsi browser Tor, né i download compromessi, né le offerte di dati rubati. La prudenza richiesta su questi punti deriva dalle indicazioni dell'IT, non da un fatto stabilito qui. Un caso illustra però il rischio di un software installato senza controllo: il malware Dok scarica e installa Tor tramite Homebrew2.
4Casi reali1 min
2025 Poland Wiper Attacks
Negli attacchi con wiper del 2025 in Polonia, gli attaccanti hanno usato nodi Tor per il comando e controllo12. Nella campagna CostaRicto, gli attaccanti hanno gestito i server di comando tramite Tor1.
Scattered Spider e l'estrazione di dati da Salesforce
Secondo MITRE, il gruppo Scattered Spider ha usato Tor per comunicare con le organizzazioni prese di mira1. Nella campagna Salesforce Data Exfiltration, gli attaccanti hanno usato indirizzi IP Tor per chiamate vocali e per la raccolta di dati1.
Operation Wocao
Durante l'operazione Wocao, gli attaccanti hanno usato nodi di uscita Tor per eseguire comandi1.
Scheda
- Identificativo
- CP-234
- Ala
- 3. Protocolli e difesa
- Competenza Brain
- Navigare in sicurezza (browse_safely)
- Riflesso Brain
- cr-077
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 5 fonti verificate il 3 novembre 2026
Fonti5 fonti
- MITRE ATT&CK, «Tor». https://attack.mitre.org/software/S0183/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Proxy: Multi-hop Proxy». https://attack.mitre.org/techniques/T1090/003/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Encrypted Channel». https://attack.mitre.org/techniques/T1573/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Proxy». https://attack.mitre.org/techniques/T1090/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Application Layer Protocol: Web Protocols». https://attack.mitre.org/techniques/T1071/001/ (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Tor, Deep Web e Dark Web», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp234_it_2026,
author = {Brain},
title = {Tor, Deep Web e Dark Web},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/},
note = {CC BY 4.0}
}