“I Mac non prendono virus.” È una frase che si sente ancora spesso, anche in aziende dove la cybersecurity è una priorità dichiarata. Per anni macOS è stato percepito come un sistema intrinsecamente più sicuro, meno esposto, meno interessante per gli attaccanti. Questa percezione è rimasta, ma il panorama delle minacce informatiche si è evoluto.
Oggi i gruppi criminali più strutturati sviluppano malware pensato specificamente per macOS. Non come esperimento, ma come parte integrante delle proprie operazioni. I Mac sono diffusi tra sviluppatori, manager e figure decisionali, ruoli che hanno accesso diretto a sistemi critici, piattaforme finanziarie, repository di codice e dati sensibili. Per un attaccante, compromettere uno di questi dispositivi significa ottenere le chiavi di accesso a buona parte dell’infrastruttura aziendale.
Il problema, ovviamente, non è macOS in sé. Il problema è trattarlo come un’eccezione nella strategia di sicurezza informatica.
Malware per macOS: le minacce sono concrete
Il malware per macOS non è una novità teorica, né un fenomeno marginale. Le famiglie attive, le campagne in corso e i meccanismi di persistenza già circolanti nelle reti aziendali raccontano un panorama di minacce maturo, strutturato e in crescita:
- Esistono famiglie attive in grado di sottrarre credenziali, cookie di sessione e contenuti del Keychain, spesso senza che l’utente se ne accorga.
- Le campagne basate su social engineering inducono le vittime a eseguire comandi nel terminale, aggirando i controlli tradizionali senza bisogno di exploit.
- I meccanismi di persistenza si nascondono dietro nomi di servizi legittimi, OneDrive, componenti Apple, e rimangono invisibili nelle organizzazioni che non li cercano attivamente.
A fine aprile 2026 è emersa una nuova campagna “Mach-O Man”, attribuita al gruppo Lazarus, un’organizzazione criminale legata alla Corea del Nord, che ha sviluppato un kit malware progettato esclusivamente per macOS. L’attacco parte da un semplice messaggio Telegram con un invito a una riunione, porta la vittima su una pagina falsa di Zoom, Teams o Meet, e la convince a eseguire un comando. Da quel momento, senza ulteriore intervento, il malware si installa, raccoglie tutto ciò che trova di utile e lo invia agli attaccanti. Al termine, cancella le proprie tracce.
Non servono vulnerabilità tecniche o exploit sofisticati, ma è sufficiente che un utente si fidi di un messaggio che sembra arrivare da un collega. Un attacco di questo tipo rientra nelle categorie di minaccia che un Security Operations Center (SOC) monitora attraverso l’analisi comportamentale degli endpoint: senza copertura specifica su macOS, l’intera catena d’attacco avviene al di fuori del perimetro di visibilità operativa.
macOS e sicurezza aziendale: il punto cieco
La maggior parte delle strategie di cybersecurity aziendali è costruita attorno a Windows. Le regole di detection, il monitoraggio degli endpoint, le procedure di incident response: tutto è pensato e testato per l’ecosistema Microsoft. Quando in azienda ci sono anche dei Mac, spesso vengono inclusi nel perimetro solo a livello di inventario, ma non nella logica operativa di detection e risposta.
Questo crea un punto cieco nella sicurezza informatica dell’organizzazione. Un Mac senza copertura adeguata è un dispositivo che accede alle stesse risorse degli altri, ma con meno visibilità per chi si occupa della protezione. È esattamente il tipo di asimmetria che gli attaccanti cercano.
Non si tratta di dire che macOS sia meno sicuro di Windows. Si tratta di riconoscere che qualsiasi dispositivo collegato alla rete aziendale, indipendentemente dal sistema operativo, merita lo stesso livello di monitoraggio e protezione.
SOC Cyberlys: monitoraggio e detection anche per macOS
Il SOC Cyberlys monitora e protegge anche gli endpoint macOS dei clienti gestiti come parte della copertura operativa standard. Nella pratica questo significa scrivere regole di detection specifiche per macOS sulle piattaforme EDR/XDR (le soluzioni Cyberlys Managed Detection & Response e Managed Extended Detection & Response) che tengano conto dei meccanismi propri del sistema operativo: LaunchAgent per la persistenza, firma del codice per la legittimità delle applicazioni, Keychain per le credenziali, e i pattern di comunicazione tipici del malware macOS.
Quando emerge una nuova minaccia rilevante, come la campagna Lazarus di aprile, il processo non cambia rispetto a qualsiasi altra piattaforma: i campioni vengono validati in sandbox e macchine virtuali, i comportamenti osservati vengono confermati, le regole di detection scritte e deployate, la copertura estesa al traffico di rete dove i clienti dispongono di firewall integrati.
Nel caso specifico, i test condotti dal team del SOC hanno confermato l’intera catena d’attacco descritta nella ricerca originale e le regole sono state attivate sulle piattaforme dei clienti nel giro di poche ore dalla pubblicazione.
Protezione endpoint completa: Windows, macOS, Linux
Gli attaccanti non distinguono tra sistemi operativi: scelgono il bersaglio che offre il massimo valore con il minimo rischio di essere rilevati. Un dispositivo con accesso a risorse critiche e poca copertura di sicurezza è, per definizione, l’obiettivo ideale. Ecco perché proteggere solo una parte del perimetro non significa “proteggere il perimetro”. Il team di Cyber Threat Intelligence del SOC Cyberlys opera 24/7 per chiudere queste finestre, su qualsiasi sistema operativo.
Se nella tua organizzazione sono presenti endpoint macOS e vuoi verificare il livello di copertura attuale, contatta il team Cyberlys per un Security Assessment: valuteremo insieme le lacune di visibilità per definire le priorità di intervento.
