Controllare chi usa il computer e quali file ha aperto

Tornare alla scrivania e trovare il mouse spostato, la sedia inclinata o il portatile tiepido fa nascere subito il sospetto di un accesso non autorizzato. Anche se chi tocca il computer cancella la cronologia e chiude le cartelle consultate, il sistema operativo memorizza orari, periferiche e connessioni in registri impossibili da eliminare del tutto.

Ogni avvio di programma, ogni inserimento di memorie esterne e ogni digitazione di credenziali lasciano impronte indelebili nei file di registro. Prima di valutare le misure per bloccare l'accesso a Windows da intrusi, conviene raccogliere le prove esaminando gli orari e i documenti aperti per togliere qualsiasi margine di dubbio.

LEGGI ANCHE: Sospetto di essere spiato sul PC e i controlli per bonificarlo

Come leggere gli orari di accensione e sblocco nel registro eventi

Windows annota ogni avvio, spegnimento e sblocco della schermata nel registro di sicurezza interno con precisione al secondo. L'evento con codice 4624 identifica un accesso riuscito al sistema, mentre il codice 4625 segnala i tentativi falliti di chi ha provato a indovinare la nostra password.

Per consultare questo archivio premiamo i tasti Windows + R, digitiamo il comando sottostante e confermiamo con Invio per aprire il registro eventi di Windows:

eventvwr.msc

Dalla colonna di sinistra espandiamo la cartella Registri di Windows e selezioniamo la voce Sicurezza. Per isolare i movimenti sospetti facciamo clic su Filtro registro corrente nel pannello a destra e inseriamo i codici 4624, 4625, 4634 nella casella degli identificatori.

Il codice 4624 mostra l'ora esatta in cui una sessione è diventata attiva. Se troviamo una riga registrata mentre eravamo assenti, abbiamo la certezza che qualcuno ha sbloccato la postazione. Il codice 4625 evidenzia invece gli errori di digitazione: una serie ravvicinata di questi eventi indica tentativi ripetuti di indovinare il PIN.

Nelle proprietà dell'evento 4624 la voce Tipo di accesso (Logon Type) chiarisce come è avvenuto l'ingresso:

• Tipo 2. Accesso interattivo locale. La persona era seduta fisicamente davanti al monitor e ha usato tastiera e mouse.
• Tipo 3. Accesso di rete. Il collegamento è arrivato da un altro dispositivo connesso alla medesima rete locale.
• Tipo 7. Sblocco schermo. La sessione era già attiva ed è stato semplicemente inserito il codice per togliere la schermata di blocco.
• Tipo 10. Desktop remoto. Il controllo è avvenuto a distanza tramite il protocollo RDP di Windows.

Chi preferisce evitare l'esame manuale dei registri può ricorrere a WinLogOnView. Questo strumento compatto estrae gli accessi e li incolonna ordinandoli per data, mostrando l'ora di ingresso, il momento della disconnessione e la durata esatta di ogni sessione.

Come verificare se il portatile è stato risvegliato dallo standby

Quando ci allontaniamo per pochi minuti lasciando il computer in sospensione o chiudendo lo schermo, possiamo interrogare il firmware di gestione dell'alimentazione per verificare se qualcuno ha riattivato la macchina.

Apriamo il Prompt dei comandi ed eseguiamo questa istruzione:

powercfg -lastwake

Il terminale restituisce la data, l'orario e l'origine dell'ultimo risveglio. Se come fonte di attivazione compare il pulsante di accensione, l'apertura del coperchio o un comando arrivato dalla tastiera in un intervallo in cui eravamo lontani, abbiamo la conferma materiale che qualcuno ha riacceso lo schermo.

Per consultare l'elenco cronologico di tutte le riattivazioni degli ultimi giorni basta affiancare il comando powercfg -systemsleepdiagnostics, che genera un resoconto dettagliato contenente la cronologia completa delle transizioni tra stato di riposo e stato attivo.

Come ricostruire i file aperti e i programmi avviati di recente

Chi curiosa nei documenti altrui lascia tracce nei collegamenti del sistema operativo. Il controllo comincia aprendo Esplora file e consultando la sezione degli elementi recenti.

Premendo Windows + R e digitando recent si apre la cartella nascosta contenente i collegamenti agli ultimi documenti aperti, completa di data e ora aggiornate all'ultimo tocco. Su Mac la medesima verifica si effettua aprendo il Finder e selezionando la cartella Recenti nella barra laterale.

Se chi ha usato il computer ha ripulito questo elenco, possiamo ricorrere a Everything. Dopo aver avviato il programma, facciamo clic sull'intestazione della colonna Data modifica per ordinare tutti i file del disco in ordine cronologico decrescente.

Questa visualizzazione aggira i tentativi di depistaggio: qualunque programma aperto genera scritture invisibili nelle cartelle dei dati utente, nei database del browser o nei file di configurazione. Scorrendo l'elenco dall'alto verso il basso possiamo ricostruire minuto per minuto ogni singola operazione svolta sul computer in nostra assenza.

Un supporto ulteriore arriva da LastActivityView, che legge le chiavi Shellbags e la cartella di sistema C:\Windows\Prefetch per vedere cosa è stato fatto sul PC con la cronologia eventi, rivelando cartelle sfogliate ed eseguibili lanciati da supporti esterni.

Come scovare i siti aperti in incognito leggendo la cache DNS

Spesso l'intruso apre una finestra di navigazione anonima su Chrome, Edge o Firefox, convinto che non lasci tracce una volta chiusa la scheda. Sebbene la cronologia del browser rimanga vuota, la scheda di rete del computer conserva la risoluzione dei nomi di tutti i domini contattati finché il PC non viene riavviato.

Per visualizzare i siti aperti durante la sessione anonima apriamo il Prompt dei comandi ed eseguiamo:

ipconfig /displaydns

Il terminale mostrerà l'elenco dei domini web interrogati nelle ultime ore. Scorrendo le voci possiamo rintracciare i portali web consultati di nascosto, compresi i server di posta web, social network o cartelle cloud che non compaiono nella cronologia visibile delle applicazioni.

Come scoprire se qualcuno ha inserito una chiavetta USB

Collegare una memoria rimovibile per sottrarre archivi personali o caricare file non autorizzati è una delle azioni più frequenti durante gli accessi fisici non sorvegliati.

Windows conserva la registrazione di ogni periferica di memorizzazione inserita nelle porte del case all'interno del percorso di registro USBSTOR. L'eseguibile USBDeview legge queste informazioni e mostra:

• Created Date. Il momento esatto in cui quella determinata chiavetta è stata collegata per la prima volta nella vita del computer.
• Last Plug / Unplug Date. Il secondo esatto dell'ultimo inserimento e della successiva rimozione dalla porta fisica.
• Device Serial Number. Il numero identificativo impresso nel chip di memoria, che permette di risalire con certezza al supporto utilizzato.

Come controllare l'accesso a webcam e microfono nelle impostazioni

Nei sistemi Windows 11 possiamo verificare se un programma o un intruso ha attivato i dispositivi di acquisizione multimediale a nostra insaputa.

Apriamo le Impostazioni, selezioniamo Privacy e sicurezza e facciamo clic su Fotocamera. Scorrendo verso il basso troviamo la voce Attività recenti, che elenca le applicazioni che hanno aperto il flusso video negli ultimi sette giorni con l'indicazione esatta di data e ora. Ripetendo la medesima verifica nella sezione Microfono possiamo scoprire se sono state registrate conversazioni ambientali mentre eravamo assenti.

Come scovare connessioni remote e programmi spia in tempo reale

Chi accede a distanza tramite software di controllo remoto punta a stabilire un punto di ingresso permanente, configurando programmi come AnyDesk, TeamViewer o RustDesk per l'avvio silenzioso senza conferma visiva a schermo.

Per controllare i collegamenti di rete attivi da riga di comando su Windows, apriamo il Prompt dei comandi come amministratore ed eseguiamo:

netstat -bano

Su macchine Mac o distribuzioni Linux apriamo invece il Terminale e digitiamo:

sudo lsof -i -P -n

Ispezioniamo le righe contrassegnate dalla dicitura ESTABLISHED. Se troviamo connessioni verso indirizzi IP esterni non riconducibili alle nostre attività abituali, annotiamo il numero del PID corrispondente.

Per un monitoraggio grafico avanzato dei processi in esecuzione possiamo sostituire il normale Gestione attività con Process Explorer di Microsoft Sysinternals. Il programma evidenzia la gerarchia dei processi e integra un controllo automatico con VirusTotal per identificare eseguibili camuffati. Accanto a questo, l'utility TCPView elenca in tempo reale tutte le connessioni di rete generate da ogni singolo software attivo, consentendo di chiudere all'istante i collegamenti anomali.

Per individuare trojan bancari o software di controllo della webcam che operano in profondità, completiamo il controllo con una scansione mirata tramite Malwarebytes, che intercetta i moduli malevoli progettati per sfuggire ai controlli di base.

Le prime mosse di sicurezza dopo aver scoperto l'intrusione

Quando gli indizi confermano un accesso non autorizzato, occorre intervenire con ordine per mettere in sicurezza il sistema:

• Isolamento immediato della rete. Stacchiamo il cavo Ethernet o disattiviamo la scheda Wi-Fi per tagliare all'istante qualsiasi sessione remota ancora aperta e impedire il trasferimento di file verso server esterni.
• Cambio delle credenziali da un dispositivo diverso. Modifichiamo le password di posta elettronica, profili social e servizi bancari usando uno smartphone o un secondo computer pulito, abilitando ovunque l'autenticazione a due fattori.
• Disattivazione del Desktop Remoto. Nelle impostazioni di sistema di Windows disabilitiamo la funzione Desktop Remoto se non utilizzata, chiudendo una delle porte di ingresso più sfruttate.
• Controllo del router domestico. Accediamo al pannello del router digitando 192.168.1.1 nel browser per verificare che non siano state impostate regole di inoltro porte verso l'indirizzo del nostro computer.

Diario di bordo di Navigaweb

In un ufficio condiviso avevo il sospetto che qualcuno aprisse il mio portatile lasciato in sospensione. Al rientro ho lanciato il comando powercfg e il registro ha mostrato un risveglio alle 13:25 causato dall'apertura del coperchio, seguito da un file aperto in Everything due minuti dopo. Il collega ha dovuto ammettere l'intrusione senza scuse. La combinazione tra il controllo del wake da terminale e la scansione cronologica di Everything toglie ogni dubbio in un minuto senza bisogno di installare complicati sistemi di sorveglianza.

Per evitare problemi in futuro conviene impostare sempre una password di login e di blocco per Windows, come visto nella nostra guida Proteggere l'accesso al PC Windows con blocco schermo e password.

Se invece desideriamo far utilizzare il computer anche ad altre persone o famigliari senza dare accesso al nostro account personale, vi consigliamo di legger le nostre guide su come creare account su Windows e gestire gli utenti del computer oppure Come far usare il PC ad amici e ospiti in modo separato e sicuro.