Attacchi informatici tramite PDF: Quali sono i formati più sicuri

I file PDF sono fondamentali nella condivisione dei documenti digitali perché sono comodi e semplici da usare. Però, questa fiducia li ha resi anche un bersaglio facile per i cybercriminali. Secondo i dati recenti, i PDF costituiscono quasi il 30-40% dei file dannosi veicolati via email. Un semplice PDF può nascondere delle minacce sofisticate.

Nell’ambito della cybersecurity, è fondamentale capire come un file apparentemente innocuo possa diventare un’arma. Quali sono gli attacchi noti che hanno sfruttato questo formato? Quali sono le varianti di PDF che risultano più sicure? È buona norma utilizzare degli strumenti affidabili per la gestione dei PDF, come le piattaforme specifiche e sicure con la funzione unisci pdf per combinare i documenti. In questo modo, si riduce il rischio di manipolazioni malevole nelle operazioni più comuni.

In questo articolo, vediamo quali sono le principali tecniche di attacco tramite i PDF, analizziamo dei casi reali e spieghiamo come difendersi considerando i formati PDF più sicuri e le best practice.

Il PDF come vettore di attacco informatico

Il formato PDF è nato per garantire una rappresentazione fedele dei documenti su qualsiasi sistema. Col tempo si è arricchito di tante funzionalità avanzate: oggi un PDF può contenere dei moduli compilabili, degli elementi multimediali, degli oggetti 3D e persino degli script JavaScript. Questa versatilità ha un rovescio della medaglia: ciò che migliora l’esperienza utente può essere sfruttato dai malintenzionati. Un PDF manipolato può eseguire del codice arbitrario sul sistema della vittima sfruttando le vulnerabilità del software lettore. Già alla fine degli anni 2000 ci sono stati degli attacchi di questo tipo: ad esempio l’exploit CVE-2010-1240, diffuso via spam, consentiva di infettare il PC all’apertura del PDF installando un trojan botnet.

Un altro aspetto critico è la percezione di sicurezza che circonda i PDF. Molti utenti li considerano più sicuri di un file eseguibile o di un documento Office con macro, e i PDF spesso eludono anche i filtri antispam più basilari. I criminali sfruttano questa fiducia inviando PDF dall’aspetto legittimo (fatture, contratti, moduli) che in realtà celano dei contenuti pericolosi. Da notare che anche i browser web moderni includono dei visualizzatori PDF integrati: una falla in quei componenti potrebbe essere sfruttata inducendo la vittima a visualizzare un PDF malevolo online, senza nemmeno scaricarlo.

Tecniche di attacco tramite file PDF

Gli aggressori hanno sviluppato varie tecniche per compromettere i sistemi attraverso i file PDF. Di seguito alcune delle più comuni:

• Script malevoli integrati: Inserire del codice JavaScript in un PDF è uno dei metodi più diffusi. Lo script può essere offuscato nella struttura del documento e può essere programmato per attivarsi all’apertura. Ad esempio, l’exploit CVE-2018-4990 usava uno script e un oggetto immagine predisposto per corrompere la memoria di Adobe Reader ed eseguire codice maligno.
• Sfruttamento delle vulnerabilità: Molti attacchi PDF puntano sulle falle sconosciute o non ancora risolte nei lettori. Adobe, ad esempio, nel 2021 ha risolto un bug critico (CVE-2021-28550) già sfruttato in diversi attacchi mirati. In questi casi aprire il PDF è sufficiente a infettare il sistema, poiché il file sfrutta un bug del programma per eseguire del codice arbitrario.
• Phishing tramite PDF: Spesso il PDF funge da veicolo di inganni per l’utente. Un documento può imitare una pagina di login o una comunicazione ufficiale. In questo modo, inducendo la vittima a cliccare i link esterni o a inserire le credenziali. Ad esempio, un PDF può mostrare un finto pulsante “Accedi al documento” che apre un sito di phishing, oppure può includere un codice QR che conduce a una pagina web malevola. Il file supera i filtri email, ma può comunque portare l’utente a compiere delle azioni pericolose.

Casi reali di attacchi tramite PDF

Tra gli incidenti documentati più significativi ci sono questi:

• 2018: attacco mirato che combinava due exploit 0-day (Adobe Reader CVE-2018-4990 e Windows) per eseguire malware sul sistema bersaglio.
• 2021: vulnerabilità di Adobe Reader (CVE-2021-28550) sfruttata in attacchi reali prima dell’uscita della patch.
• 2024: campagna DarkGate in cui dei PDF con dei link offuscati reindirizzavano le vittime su dei siti compromessi. Sfruttavano una falla Windows (CVE-2024-21412) per aggirare SmartScreen e per installare un malware sui sistemi.
• 2025: PDF con falsi inviti DocuSign hanno innescato dei download di malware. Nello stesso periodo, dei PDF con dei codici QR hanno dirottato gli utenti verso delle false pagine di login Microsoft 365 per rubare le credenziali.

I formati PDF più sicuri e come difendersi

Esistono varianti e impostazioni del PDF che offrono più sicurezza. In ambito professionale si fa spesso riferimento al PDF/A, lo standard ISO pensato per l’archiviazione a lungo termine. Il PDF/A impone delle restrizioni rispetto al PDF standard: ad esempio, vieta i contenuti dinamici (video, audio, script) e privilegia la staticità del documento. Un file conforme a PDF/A non può contenere macro o codice eseguibile nascosto, quindi riduce il rischio di attacchi. Convertire un PDF in PDF/A (o generarlo direttamente così) è una buona pratica quando si condividono i documenti in contesti ad alto rischio. In questo modo, gli eventuali elementi pericolosi vengono eliminati.

Un ulteriore accorgimento è l’uso della firma digitale sui PDF. Un documento firmato digitalmente offre delle garanzie di integrità e di autenticità: qualunque modifica malevola del file ne invaliderebbe la firma e, quindi, segnalerebbe che il contenuto è stato alterato.

Infine, ecco alcune best practice per ridurre i rischi nell’uso dei PDF:

• Mantenere aggiornati i lettori: Installare sempre le ultime patch di sicurezza per Acrobat, Foxit e gli altri software PDF così da correggere al più presto le vulnerabilità note.
• Limitare le funzionalità attive: Disabilitare l’esecuzione di JavaScript e di altri contenuti attivi se non strettamente necessari. Questo riduce la possibilità che del codice indesiderato venga eseguito all’apertura dei documenti.
• Verificare l’origine dei PDF: Trattare con cautela gli allegati non attesi, soprattutto se provenienti da degli account sconosciuti. In ambito aziendale, conviene verificare per vie ufficiali la legittimità di un PDF prima di aprirlo.
• Usare ambienti isolati: Aprire eventuali PDF sospetti in una sandbox o tramite un visualizzatore online, in modo che il documento non interagisca con il sistema locale e, se è malevolo, i suoi effetti rimangano confinati.
• Sensibilizzare gli utenti: Formare il personale sul fatto che anche i PDF possono veicolare delle minacce, fornire delle indicazioni per riconoscere i comportamenti anomali e per segnalare le attività sospette.

Con le giuste precauzioni si può continuare a utilizzare i PDF minimizzando i rischi legati agli attacchi informatici.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Sandro Sana

Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Aree di competenza: Cyber Threat Intelligence, NIS2, Governance & Compliance della Sicurezza, CSIRT & Crisis Management, Ricerca, Divulgazione e Cultura Cyber

Visita il sito web dell'autore