Apple spiega perché macOS può bloccare alcuni prompt del Terminale

Copiare un comando da un sito web e incollarlo nel Terminale è una delle azioni più sfruttate dalle campagne di social engineering degli ultimi anni.

Apple ha deciso di intervenire direttamente con una nuova protezione introdotta in macOS 26.4, spiegandone il funzionamento attraverso un documento di supporto ufficiale pubblicato dopo settimane di domande da parte degli utenti. L’obiettivo è preciso: bloccare o segnalare comandi potenzialmente pericolosi prima che vengano eseguiti, contrastando una tecnica che non richiede vulnerabilità software ma punta direttamente al comportamento umano errato.

Come funziona il blocco e quando si attiva

Il sistema interviene soprattutto quando rileva che l’utente non utilizza regolarmente il Terminale e sta tentando di incollare un comando copiato da fonti considerate rischiose: siti web, chatbot, email, app di messaggistica.

In questi casi compare il messaggio che parla di un possibile malware e del blocco del comando, che non segnala una compromissione già avvenuta ma intercetta l’operazione prima dell’esecuzione. L’utente può comunque scegliere di procedere, assumendosi la responsabilità dell’azione.

Apple distingue però due livelli di protezione. Il primo è un avviso preventivo, che introduce una verifica aggiuntiva lasciando comunque margine di scelta. Il secondo interviene quando macOS identifica codice associato a minacce conosciute con il sistema non offre alcuna possibilità di ignorare il blocco. Per i falsi positivi, Apple ha indicato canali ufficiali attraverso cui segnalare il problema.

Perché questo tipo di attacco è così efficace

Un comando eseguito nel Terminale può operare con privilegi elevati, scaricare componenti esterni, installare processi persistenti o modificare configurazioni di sistema.

Chi non ha familiarità con la riga di comando fatica spesso a distinguere un’istruzione legittima da una malevola, e le campagne di phishing sfruttano esattamente questa difficoltà. La diffusione di guide online che invitano a installare software tramite una singola riga ha inoltre abituato molti utenti a eseguire istruzioni senza verificarne il contenuto.

La protezione sembra pensata principalmente per utenti meno esperti o per chi usa raramente gli strumenti di amministrazione del sistema. Per chi lavora quotidianamente con shell e script, l’impatto dovrebbe essere limitato: la documentazione Apple indica che il sistema tiene conto delle abitudini dell’utente e non applica gli stessi controlli a ogni operazione nel Terminale.

Una difesa che osserva il comportamento, non solo i file

La novità introdotta con macOS 26.4 rappresenta un esempio concreto dell’evoluzione delle difese moderne. Invece di limitarsi a identificare file dannosi, il sistema analizza il contesto in cui un’azione viene eseguita: copiare un comando da una pagina web e incollarlo nel Terminale è uno schema ricorrente in numerose campagne malevole, e Apple ha scelto di trattarlo come tale.

La strategia sposta l’attenzione dalla sola individuazione del malware verso meccanismi capaci di interrompere comportamenti rischiosi prima che producano effetti sul dispositivo. Gli errori umani restano oggi tra le principali cause di compromissione dei sistemi, e questa protezione punta esattamente a ridurli.