«Qualcuno sta osservando il tuo schermo» su Mac: cosa significa davvero

Questa è la parte facile. La parte difficile, e il motivo per cui probabilmente sei arrivato qui dopo aver già letto altre tre guide, è che i consigli standard non reggono alla prova dei fatti. Disattivi la Condivisione schermo, revochi un paio di autorizzazioni, riavvii, e il messaggio resta lì oppure ricompare due giorni dopo. Questo articolo spiega il meccanismo che c’è sotto, quello che ti permette davvero di trovare il colpevole in un paio di minuti.

Cosa significa davvero il messaggio#

macOS mostra questo avviso sulla schermata di blocco quando qualcosa sta catturando il contenuto del tuo display. La documentazione ufficiale di Apple è chiara sull’intenzione: quando un software condivide o registra il tuo schermo, la schermata di blocco te lo segnala. Compare proprio lì perché è l’unico momento in cui non vedi la barra dei menu, dove di solito vivono gli indicatori di privacy in tempo reale. Ti allontani, il Mac si blocca, e macOS si assicura che l’ultima cosa che vedi sia un avviso che qualcosa ti sta ancora osservando.

L’autorizzazione dietro a tutto questo si trova in Impostazioni di Sistema > Privacy e sicurezza > Registrazione schermo e audio di sistema. Qualsiasi app che vuole i pixel del tuo display deve comparire in quella lista e avere l’interruttore attivato. Non c’è modo di aggirarlo, nessuna scorciatoia silenziosa, nessuna eccezione storica: da macOS Catalina in poi, questo viene imposto a livello di sistema per ogni app, firmata o meno.

La distinzione che tutte le altre guide saltano: avere l’autorizzazione non vuol dire usarla#

È qui che la maggior parte dei tentativi di risoluzione sbaglia strada. Un’app può restare nella tua lista Registrazione schermo e audio di sistema, con l’interruttore attivato, per diciotto mesi senza mai far scattare il messaggio sulla schermata di blocco. L’autorizzazione è un permesso permanente. Il messaggio segue qualcosa di molto più preciso: un processo che sta davvero aprendo un flusso di cattura proprio in questo momento.

La conseguenza pratica è importante. Quando una guida ti dice di revocare tutte le app di quella lista, di solito vedi il messaggio sparire e concludi che l’ultima app disattivata fosse la colpevole. Probabilmente non lo era. Hai revocato undici autorizzazioni in un colpo solo, una di quelle era per caso quella che stava catturando davvero, e ora ti ritrovi con uno strumento di cattura schermo rotto, un’app di videochiamate che non riesce più a condividere una finestra, e nessuna idea di quale modifica ha causato cosa.

Fai il percorso inverso. Individua cosa sta catturando proprio adesso, poi decidi se ha senso che lo faccia. Bastano un paio di minuti, e il resto del tuo Mac resta intatto.

Come trovare l’app che sta davvero osservando il tuo schermo#

In ordine, si parte dal controllo più veloce. Fermati appena uno di questi passaggi ti dà il nome dell’app, perché quelli successivi servono solo se i primi non hanno dato risultati.

• Apri il Centro di Controllo e guarda in cima al pannello. Quando qualcosa sta catturando il tuo schermo o l’audio di sistema, macOS elenca lì l’app responsabile. Sulle versioni recenti di macOS, un indicatore colorato compare accanto all’icona del Centro di Controllo nella barra dei menu finché la cattura è attiva. È la risposta più veloce in assoluto, e quasi nessuna guida ne parla.
• Controlla i servizi di condivisione. Impostazioni di Sistema > Generali > Condivisione. Condivisione schermo, Gestione remota e Login remoto sono le tre voci che contano. Gestione remota in particolare è quella che viene attivata una volta per una sessione di assistenza, magari anni fa, e non viene mai più disattivata.
• Controlla AirPlay e il mirroring. Impostazioni di Sistema > Generali > AirDrop e Handoff per il Ricevitore AirPlay, più il riquadro Mirroring schermo nel Centro di Controllo. Fare il mirroring verso una TV o un secondo Mac è osservazione a tutti gli effetti, e macOS lo segnala come tale.
• Leggi la lista Registrazione schermo e audio di sistema come una rosa di candidati, non come una lista da svuotare. Non stai revocando tutto. Stai cercando una o due voci che non riesci a spiegarti, e tutto ciò che hai installato nella settimana in cui il messaggio è comparso per la prima volta.
• Apri Monitoraggio Attività e ordina per CPU. Un processo che cattura in continuazione il tuo display in silenzio è raramente a zero. Incrocia tutto ciò che non riconosci con la lista di autorizzazioni del passaggio precedente.
• Controlla cosa si avvia da solo. Impostazioni di Sistema > Generali > Elementi di login ed estensioni copre sia gli elementi di login sia gli agenti in background che non mostrano più nemmeno una finestra. È qui che uno strumento disinstallato mesi fa può ancora avere un processo di supporto rimasto in esecuzione.

"Your Screen Is Being Observed on Mac": Is Someone Really Watching?Moonlock by MacPawYouTube

Perché macOS moderno continua a richiedere l’autorizzazione (e perché non è un bug)#

Se il tuo Mac ha iniziato a tormentarti a intervalli regolari con le autorizzazioni di registrazione schermo, è voluto. Da macOS Sequoia in poi, Apple ha introdotto una scadenza per le autorizzazioni di registrazione schermo: le app che catturano il tuo display devono richiederle di nuovo a intervalli, invece di tenerle per sempre. Le prime beta chiedevano conferma ogni settimana, il che è stato molto criticato, e prima del rilascio finale Apple si è assestata su una cadenza all’incirca mensile.

Vale la pena capirlo perché cambia cosa significa una richiesta ricorrente. Una richiesta mensile da un’app che usi ogni giorno è il sistema che funziona come dovrebbe. Una richiesta da un’app che non riconosci, o che compare molto più spesso di una volta al mese, merita i due minuti di indagine visti sopra. All’epoca i ricercatori di sicurezza avevano criticato duramente la frequenza, sostenendo che la stanchezza da troppe richieste porta le persone a cliccare Consenti senza leggere, e quella critica era fondata. Ed è proprio per questo che conviene leggere il nome dell’app sulla richiesta invece di chiuderla per riflesso.

KeepingYouAwake è la causa? No, ed ecco come esserne sicuro#

Questa domanda torna sempre, perché appena si comincia a passare in rassegna la barra dei menu si finisce per sospettare di ogni piccola utility che ci vive dentro. KeepingYouAwake, Amphetamine e il comando integrato `caffeinate` sono i soliti sospetti. Sono innocenti, e vale la pena capire perché.

Un’app per tenere sveglio il Mac funziona tramite asserzioni di alimentazione: chiede a macOS di non far addormentare il display. È una richiesta di gestione dell’energia. Non tocca mai il contenuto del tuo schermo, non ha bisogno dell’autorizzazione Registrazione schermo e audio di sistema, e quindi non può produrre il messaggio «qualcuno sta osservando il tuo schermo». Se preferisci verificarlo piuttosto che fidarti sulla parola, apri Privacy e sicurezza > Registrazione schermo e audio di sistema e guarda: un’app per tenere sveglio il Mac non compare affatto in quella lista, perché non ha mai avuto motivo di chiederlo.

La confusione è comprensibile. Entrambe le categorie sono strumenti invisibili nella barra dei menu che fanno qualcosa al tuo Mac che non puoi vedere, e finiscono spesso nella stessa ricerca fatta di fretta e un po’ di panico. Ma se stai dando la caccia alla fonte del messaggio, un’app per tenere sveglio il Mac è un vicolo cieco e puoi escluderla subito. Il problema per cui queste app meritano davvero attenzione è quello opposto: un’app per tenere sveglio un MacBook terrà volentieri il display acceso per tutto il pomeriggio, il che è una questione di batteria e affaticamento visivo, non di privacy.

Perché il mio MacBook dice che qualcuno sta osservando il mio schermo?#

Meccanicamente è identico: un MacBook è un Mac, e il messaggio arriva dalla stessa autorizzazione. Ma i portatili aggiungono quattro situazioni che un desktop vede raramente, e se stai cercando proprio la versione MacBook di questo problema, probabilmente una di queste è la tua.

• Display esterni e modalità clamshell. Collegare, scollegare e fare il mirroring verso un monitor o una TV coinvolgono tutti la gestione del display, e il mirroring in particolare viene segnalato come osservazione.
• Sidecar e Continuity. Usare un iPad come secondo display è una forma legittima di condivisione schermo, creata da Apple stessa, e si segnala di conseguenza.
• Un portatile aziendale con gestione dispositivo. Questo è il caso più importante, e quello che le altre guide toccano appena. Se il tuo MacBook te lo ha fornito il datore di lavoro, controlla Impostazioni di Sistema > Generali > Gestione dispositivo. Un profilo MDM può permettere l’osservazione remota dello schermo, e il messaggio sulla schermata di blocco potrebbe esserne l’unico segno visibile. Non è un malfunzionamento e non è qualcosa che dovresti provare a disattivare: è un discorso da fare con il tuo reparto IT, e in molti paesi il tuo datore di lavoro ha obblighi di trasparenza su questo punto.
• Abitudini in mobilità. Un MacBook si collega a più reti e partecipa a più riunioni di un desktop, il che significa semplicemente che nel corso della sua vita più app di videochiamata hanno chiesto diritti di cattura.

Quando vale davvero la pena preoccuparsi#

Ogni articolo su questo argomento finisce per consigliare una scansione antimalware, di solito proprio quella che l’editore vende. Siamo onesti sui numeri reali: la stragrande maggioranza di questi messaggi si spiega con un’app di videochiamata, un’utility di cattura schermo, una sessione di mirroring o un’impostazione di condivisione dimenticata. Il malware è la spiegazione rara, non quella di default, ed è proprio trattarlo come spiegazione di default che fa vendere i software di pulizia.

Detto questo, raro non vuol dire mai. Prendilo sul serio quando più di questi punti sono veri insieme:

• Il messaggio compare su un Mac su cui hai già fatto tutti i controlli visti sopra e non riesci davvero a spiegarti nessuna voce nella lista delle autorizzazioni di cattura.
• Trovi in Elementi di login ed estensioni un’app che non hai mai installato e che non riesci a identificare dal nome.
• La Gestione remota è attiva su un Mac personale che non è mai stato registrato da un datore di lavoro o da un centro assistenza.
• Il Mac è stato configurato da qualcun altro, comprato di seconda mano, oppure è stato fuori dal tuo controllo per un periodo (una riparazione, una casa condivisa, un ex partner che conosceva la password).
• È iniziato subito dopo aver installato un software al di fuori dell’App Store o dal sito di uno sviluppatore, in particolare qualcosa pubblicizzato come gratis che normalmente si paga.

Se la tua situazione è questa, le risposte utili sono: revoca tutte le voci in Registrazione schermo e audio di sistema e riconcedi solo ciò che usi davvero, disattiva tutti i servizi in Generali > Condivisione, cambia la password del tuo Account Apple da un altro dispositivo, e controlla Generali > Gestione dispositivo per un eventuale profilo che non hai installato tu. Se il Mac può essere stato usato fisicamente da qualcuno con un motivo per controllarti, e in particolare se si tratta di una situazione familiare o di coppia, trattala come una questione di sicurezza personale prima ancora che tecnica: un ripristino delle impostazioni di fabbrica da un dispositivo che controlli tu, e il supporto di un’organizzazione specializzata, valgono più di qualsiasi strumento di pulizia.

«Osservato» non vuol dire «inviato da qualche parte»#

Un’ultima distinzione, perché è quella che genera più allarme inutile. macOS ti segnala che il tuo schermo viene letto. Non dice assolutamente nulla su dove finiscono quei pixel. Sono due domande completamente diverse, e l’indicatore di sistema risponde solo alla prima.

Tantissimi software legittimi leggono il tuo schermo senza mai inviare un byte da nessuna parte. Uno strumento di cattura schermo legge il tuo schermo. Un selettore colore legge il tuo schermo. Un gestore finestre legge il tuo schermo. Lo stesso vale per la nostra app: Pausr compare in quella lista di autorizzazioni perché osserva localmente cosa c’è sul tuo display per capire se sei in riunione, in chiamata o nel bel mezzo di una partita, così può trattenere la pausa invece di mostrarti un overlay a schermo intero sopra la tua presentazione. Quella lettura avviene sul tuo Mac e finisce lì. Nessun account, nessun caricamento, nessun server che potrebbe farla trapelare.

Lo citiamo non per venderti qualcosa a questo punto dell’articolo, ma perché è l’esempio più chiaro del principio: la domanda giusta su un’app nella tua lista di autorizzazioni di cattura non è «perché può vedere il mio schermo» ma «cosa fa con quello che vede, e posso verificarlo». Un’app che elabora tutto in locale e una che trasmette il tuo desktop a un server risultano identiche agli occhi del messaggio sulla schermata di blocco. Ma non sono minimamente la stessa cosa.

Pausr