# VirusTotal non è il tuo antivirus locale: cosa succede ai file che carichi

> VirusTotal è uno strumento ottimo, ma caricare un file significa condividerlo con vendor, clienti e ricercatori. I miei test con i canary file, i rischi e le alternative.

- Autore / Author: Diego Betto (https://diegobetto.com/about/)
- Pubblicato / Published: 2026-11-09
- URL: https://diegobetto.com/virustotal-non-e-il-tuo-antivirus-locale/
- Tag: security, malware, privacy

Quando un file sembra sospetto, il primo riflesso di quasi tutti è lo stesso: "lo carico su VirusTotal". È gratuito, è di proprietà di Google, risponde in pochi secondi e mostra una lista rassicurante (o allarmante) di verdetti verdi e rossi. Lo uso anche io e lo considero uno strumento eccellente.

Però c'è una cosa che troppe persone dimenticano: **VirusTotal non è un antivirus locale**. Un antivirus locale guarda il file sulla tua macchina e il file resta lì. VirusTotal prende il tuo file, lo manda a decine di terze parti e ne tiene una copia. Sono due cose molto diverse, e la differenza pesa parecchio sulla privacy.

> **Considera ogni upload come pubblico**
>
> Tutto ciò che carichi su VirusTotal va considerato pubblicato. Anche se non lo rivedrai mai, delle copie possono arrivare a vendor, clienti e ricercatori di cui non sai nulla.

## Cosa fa VirusTotal

VirusTotal è un servizio di aggregazione. Secondo la sua [documentazione](https://docs.virustotal.com/docs/how-it-works) analizza file, URL, domini e indirizzi IP con "over 70 antivirus scanners and URL/domain blocklisting services", cioè oltre 70 scanner antivirus e servizi di blocklist per URL e domini. In pratica:

| Funzione | Cosa ottieni |
| --- | --- |
| **Scansione di file e URL** | Il verdetto di decine di motori e blocklist in un'unica pagina |
| **Ricerca per hash** | Cerchi uno SHA-256 e vedi se il file è già noto, **senza caricarlo** |
| **Community** | Commenti e voti degli altri utenti su file, domini e IP |
| **Relazioni e comportamento** | File correlati, domini contattati, report di comportamento in sandbox |
| **Hunting** | Per gli utenti premium, ricerca e monitoraggio di campioni (per esempio con regole YARA) |
| **API ed estensioni** | Integrazione in script, strumenti e browser |

Per un ricercatore, per chi gestisce un incidente o per chi ha ricevuto un allegato strano da un mittente sconosciuto è molto utile. Il problema non è cosa fa, ma **come** lo fa.

## L'elefante nella stanza: non è il tuo antivirus locale

Con un antivirus locale il file non lascia mai il tuo disco. Con VirusTotal lo **carichi**. Da quel momento:

- il file viene inviato ai motori e alle sandbox dei partner, che ne hanno bisogno per dare un verdetto;
- una copia viene **conservata** dal servizio;
- il file può essere messo a disposizione di altri soggetti.

Non è un segreto, la documentazione lo dice chiaramente. Nella pagina ["How it works"](https://docs.virustotal.com/docs/how-it-works) si legge: "The contents of submitted files or pages may also be shared with premium VirusTotal customers", e i partner che esaminano il campione possono usare i risultati per migliorare i propri sistemi.

L'[informativa sulla privacy](https://www.virustotal.com/about/privacy/) (ultimo aggiornamento 30 novembre 2022, in vigore dal 1° gennaio 2023) va nella stessa direzione: i campioni vengono dati ai partner antivirus e sandbox per ottenere i verdetti **e** vengono resi disponibili a professionisti della sicurezza, aziende e ricercatori verificati, molti dei quali sono clienti o partner, per il rilevamento delle minacce e la ricerca.

### Cosa significa in pratica

Non sai chi siano questi partner e clienti, in quali paesi si trovino i loro server, né per quanto tempo conservino la loro copia. Quindi l'ipotesi più sensata è che **il file sia pubblicato**. Una volta che un file è stato copiato in giro, cancellarlo è difficile. VirusTotal rimuove i contenuti su richiesta: in un caso raccontato da [ThreatDown](https://www.threatdown.com/blog/accidental-virustotal-upload-is-a-valuable-reminder-to-double-check-what-you-share/), un documento caricato per errore, con nomi ed email di persone di agenzie di difesa e intelligence, è stato rimosso entro un'ora. Lo stesso articolo mostra quanto sia facile trovare materiale di questo tipo: una ricerca premium di "invoice.pdf" ha restituito 17,68 mila risultati, in gran parte probabilmente mai destinati a essere pubblici.

Non è una novità. Nel 2019 la ricerca di Otorio, [riportata da Claims Journal](https://www.claimsjournal.com/news/international/2019/10/25/293793.htm), trovò su VirusTotal migliaia di file non protetti di aziende farmaceutiche, industriali, automobilistiche e alimentari. I ricercatori non trovarono documenti caricati usati in un attacco, e VirusTotal rispose di selezionare i propri clienti e di rimuovere i caricamenti fatti per errore. Resta il fatto che quei file erano lì, a portata di ricerca.

E poi c'è l'**automazione**. Script, prodotti EDR o pipeline CI che caricano file su VirusTotal in automatico possono far uscire cose che nessuno ha controllato: [ThreatDown spiega perché è una pessima idea](https://www.threatdown.com/blog/why-you-shouldnt-automate-your-virustotal-uploads/).

## I test con i canary file

{/* TODO Diego: add own numbers (days/months, hits, countries) */}

Non volevo basarmi solo su quello che scrivono gli altri, così ho fatto un esperimento mio con i **canary file**: documenti ed eseguibili esca che contengono un token di tracciamento, il quale "chiama casa" quando il file viene aperto (si generano con strumenti come [Canarytokens](https://canarytokens.org/) di Thinkst). Li ho caricati su VirusTotal e ho aspettato per vedere chi li apriva.

Il risultato, in termini qualitativi:

- **le segnalazioni sono arrivate subito**, a pochi istanti dal caricamento;
- **le segnalazioni hanno continuato ad arrivare anche dopo mesi**, da paesi diversi.

Come leggerlo:

- le segnalazioni immediate sono quasi certamente le **sandbox** dei vendor, che aprono il file in automatico per vedere cosa fa;
- quelle tardive sono più interessanti: sono coerenti con file **riscansionati, riaperti o scaricati** in un secondo momento, per esempio tramite gli strumenti di hunting premium. Alcune possono venire da software, altre potenzialmente da persone: analisti e ricercatori.

Una precisazione onesta: un hit del token **non** dimostra chi abbia aperto il file. Ottengo solo un indirizzo IP, uno user agent e una geolocalizzazione approssimativa, che possono appartenere a un sistema automatico, a un proxy o a una macchina in cloud. Quello che il test dimostra senza dubbi è che **il file non resta dove l'hai messo**: viene aperto da terzi, subito e per molto tempo dopo.

Un [post del 2019](https://vext.info/2019/03/12/fun-with-canary-tokens.html) aveva osservato lo stesso schema: un documento Word con un token è scattato appena caricato su VirusTotal, e altri hit sono arrivati per oltre un'ora.

## Cosa fare

Una checklist pratica.

**Non caricare mai:**

- documenti, contratti, fatture;
- codice sorgente, file di configurazione, `.env`;
- chiavi, token e credenziali;
- dump di database e backup;
- dati dei clienti;
- strumenti interni o installer che possono contenere segreti;
- qualsiasi cosa coperta da NDA.

Sul fronte GDPR, caricare dati personali presso una terza parte è un **trasferimento di dati** che devi saper giustificare. "Volevo controllare se c'era un virus" non è una base giuridica.

**Alternative migliori:**

1. **Controlla prima l'hash.** Calcolalo con `sha256sum file` e cercalo su VirusTotal. Se il file è noto, hai la risposta senza caricare nulla.
2. **Usa un antivirus o un EDR locale**, oppure una sandbox locale. Aiutano anche gli strumenti open source: [ClamAV](https://www.clamav.net/) per la scansione e [YARA](https://virustotal.github.io/yara/) per le tue regole.
3. **Private Scanning** se hai davvero bisogno del motore di VirusTotal su file sensibili: secondo la [documentazione](https://docs.virustotal.com/docs/private-scanning), i file caricati così non vengono condivisi fuori dalla tua organizzazione e sono conservati solo per poco tempo. Richiede una licenza.
4. **Non automatizzare i caricamenti** in script o pipeline CI.

**Se hai caricato qualcosa per errore:**

- contatta VirusTotal e chiedi la rimozione;
- **ruota** ogni segreto che era nel file;
- parti dal presupposto che sia trapelato, perché potrebbe esserlo.

> **Un risultato pulito non significa sicuro**
>
> Una pagina tutta verde su VirusTotal non è una garanzia: un malware nuovo o mirato può non essere ancora rilevato. Al contrario, poche rilevazioni su settanta motori non sono una certezza: i falsi positivi su packer e installer sono frequenti. VirusTotal è un indizio, non un verdetto.

## Conclusione

VirusTotal è un ottimo strumento e continuerò a usarlo, per hash, URL e file già pubblici o senza valore. Ma è una **piattaforma di condivisione**, non un antivirus locale, e caricare un file significa consegnarne una copia a un intero ecosistema di vendor, clienti e ricercatori. I miei canary file sono stati aperti subito e per mesi dopo: mi basta per trattare ogni upload come una pubblicazione.

Prima di cliccare su "Upload" fatti una domanda: mi andrebbe bene che questo file fosse pubblico? Se la risposta è no, controlla l'hash oppure scansionalo in locale.

Un ultimo consiglio: **compra e paga un antivirus vero**. Un buon AV a pagamento analizza i file sul tuo computer, senza che nessuna copia ne esca, ed è mantenuto da persone pagate per tenerlo aggiornato. Anche il controllo gratuito "carica e vediamo" ha un costo, e quel costo sono i tuoi dati.

## Fonti

- [VirusTotal Docs — How it works](https://docs.virustotal.com/docs/how-it-works)
- [VirusTotal — Privacy policy](https://www.virustotal.com/about/privacy/)
- [VirusTotal Docs — Private Scanning](https://docs.virustotal.com/docs/private-scanning)
- [ThreatDown — Accidental VirusTotal upload is a valuable reminder to double-check what you share](https://www.threatdown.com/blog/accidental-virustotal-upload-is-a-valuable-reminder-to-double-check-what-you-share/)
- [ThreatDown — Why you shouldn't automate your VirusTotal uploads](https://www.threatdown.com/blog/why-you-shouldnt-automate-your-virustotal-uploads/)
- [Claims Journal — ricerca di Otorio sui file esposti su VirusTotal (2019)](https://www.claimsjournal.com/news/international/2019/10/25/293793.htm)
- [Vext — Fun with canary tokens (2019)](https://vext.info/2019/03/12/fun-with-canary-tokens.html)
- [Canarytokens by Thinkst](https://canarytokens.org/)