Come riconoscere una USB falsa: i 6 controlli fondamentali

Una chiavetta USB può sembrare perfettamente normale, funzionare appena collegata al computer e mostrare persino una capacità impressionante. È proprio questo il problema: una USB falsa può riuscire a convincere Windows di avere molto più spazio di quello realmente disponibile.

Il fenomeno è particolarmente insidioso quando si acquistano pendrive molto economiche, soprattutto se vengono proposte con capacità apparentemente eccezionali, come 128 GB, 256 GB, 512 GB o addirittura 1 TB, a prezzi che non sembrano compatibili con il prodotto dichiarato.

Il rischio non consiste soltanto nell’aver acquistato un prodotto scadente. Una memoria contraffatta può provocare perdita silenziosa dei dati, file corrotti, errori durante la copia e impossibilità di recuperare documenti, fotografie o backup.

Il punto fondamentale è quindi semplice: non bisogna fidarsi soltanto di ciò che Windows visualizza nella finestra “Proprietà”.

Windows vede ciò che il controller della memoria dichiara al sistema. Una pendrive contraffatta può quindi comunicare una capacità molto superiore a quella realmente disponibile. Il problema emerge soltanto quando vengono scritti dati oltre la reale capacità fisica della memoria.

È questo il motivo per cui una USB falsa può funzionare perfettamente per i primi gigabyte e iniziare improvvisamente a corrompere i file quando lo spazio viene realmente utilizzato.

Che cosa significa realmente “USB falsa”

Quando si parla di USB falsa bisogna distinguere almeno due situazioni.

La prima riguarda una pendrive contraffatta, cioè un dispositivo venduto come prodotto di un determinato marchio ma che in realtà utilizza componenti differenti, spesso economici e di qualità molto inferiore.

La seconda è ancora più pericolosa: una memoria che dichiara una capacità superiore a quella fisicamente disponibile.

Un esempio rende immediatamente comprensibile il problema.

Immaginiamo una chiavetta che Windows mostra come da 256 GB. In realtà potrebbe contenere soltanto 32 GB di memoria NAND. Il firmware del controller continua però a comunicare al sistema operativo che la capacità è di 256 GB.

Finché l’utente utilizza pochi gigabyte tutto può sembrare normale.

Quando però vengono superati i limiti reali della memoria, iniziano gli errori. I nuovi dati possono sovrascrivere quelli precedenti oppure risultare corrotti. Il risultato può essere devastante: un file che ieri si apriva perfettamente oggi potrebbe essere illeggibile.

Per questo motivo una semplice formattazione non dimostra che la chiavetta sia autentica.

Il primo controllo: prezzo, confezione e costruzione fisica

Il primo controllo è quello più semplice e non richiede alcun software.

Bisogna osservare attentamente la confezione, il marchio, il modello, la capacità dichiarata, il numero del prodotto e il venditore.

Un prezzo estremamente basso rispetto al valore normalmente praticato dal produttore non dimostra automaticamente che la memoria sia falsa, ma rappresenta un campanello d’allarme.

Anche la qualità costruttiva può fornire qualche indicazione. Plastiche economiche, serigrafie poco precise, loghi strani, errori ortografici sulla confezione o informazioni tecniche incoerenti meritano attenzione.

Lo stesso vale per una capacità apparentemente sproporzionata rispetto al prezzo.

Una USB da 1 TB venduta a una cifra irrisoria dovrebbe essere considerata sospetta fino a quando non viene verificata.

È importante però ricordare una cosa: l’aspetto esterno non è una prova definitiva. Esistono USB economiche ma autentiche e prodotti contraffatti esteticamente molto ben realizzati.

Il controllo fisico serve quindi a generare un sospetto, non a emettere una sentenza.

Il secondo controllo: verificare ciò che Windows realmente rileva

Una volta collegata la chiavetta, Windows può fornire già alcune informazioni interessanti.

In PowerShell è possibile eseguire:

Get-Disk | Where-Object BusType -eq "USB" |
Format-Table Number, FriendlyName, SerialNumber, BusType, PartitionStyle, Size, OperationalStatus

Questo comando permette di individuare i dischi collegati attraverso il bus USB e di visualizzare informazioni come nome, numero del disco, seriale, dimensione e stato operativo.

Microsoft documenta Get-Disk proprio come cmdlet per ottenere i dischi visibili al sistema e mostra anche l’utilizzo del filtro BusType -eq "USB" per individuare i dischi USB.

È possibile approfondire ulteriormente con:

Get-Disk | Where-Object BusType -eq "USB" |
Get-Partition |
Get-Volume |
Format-Table DriveLetter, FileSystemLabel, FileSystem, HealthStatus, Size, SizeRemaining

Get-Partition permette di analizzare le partizioni presenti sui dischi, mentre Get-Volume restituisce le informazioni relative ai volumi e al relativo file system.

Questa verifica è utile, ma presenta un limite fondamentale.

Se il controller della USB è stato programmato per dichiarare una capacità falsa, PowerShell vedrà comunque quella capacità falsa.

Quindi vedere “256 GB” in PowerShell non significa necessariamente avere 256 GB reali.

Questo è uno dei concetti più importanti dell’intera procedura.

Il terzo controllo: identificare VID, PID, produttore e modello

Ogni dispositivo USB comunica al computer una serie di identificativi hardware.

Tra questi sono particolarmente importanti il VID, cioè Vendor ID, e il PID, cioè Product ID.

Windows utilizza queste informazioni per identificare il dispositivo e costruire gli hardware ID. Microsoft documenta il funzionamento dei device descriptor USB e spiega come gli identificativi del produttore e del prodotto vengano utilizzati dal sistema operativo.

Da PowerShell è possibile iniziare una verifica con:

Get-PnpDevice -PresentOnly |
Where-Object { $_.InstanceId -match "^USB" } |
Format-Table Status, Class, FriendlyName, InstanceId -AutoSize

Per una USB di archiviazione è inoltre possibile cercare dispositivi appartenenti alle classi USB e Storage.

Un’altra possibilità consiste nell’aprire Gestione dispositivi, individuare il dispositivo USB e controllare la scheda Dettagli, in particolare le proprietà relative agli identificativi hardware.

Per un’analisi più approfondita Microsoft mette a disposizione USBView, uno strumento capace di enumerare controller USB, hub e dispositivi collegati, mostrando anche informazioni contenute nei descriptor USB.

USBView non certifica da solo che una pendrive sia originale. Un controller contraffatto può infatti presentarsi al sistema con informazioni apparentemente plausibili.

È però un ottimo strumento per individuare anomalie.

Il quarto controllo: confrontare la capacità dichiarata con quella realmente utilizzabile

Questo è il controllo più importante.

Una USB falsa può dichiarare 512 GB ma avere realmente soltanto 32 GB di memoria fisica.

Per verificarlo bisogna effettuare un test di scrittura e successiva lettura dell’intera capacità.

Su Windows uno degli strumenti storicamente utilizzati per questo scopo è H2testw. Lo strumento è progettato proprio per verificare la dimensione effettiva dei dispositivi di archiviazione e individuare supporti che dichiarano una capacità superiore a quella realmente disponibile. (h2testw)

Il principio è molto semplice.

Il programma scrive dati di test sull’intero spazio disponibile e successivamente li legge nuovamente.

Se la memoria è realmente da 256 GB, il test dovrebbe riuscire a scrivere e verificare correttamente l’intera area.

Se invece la pendrive possiede soltanto 32 GB reali ma ne dichiara 256, il test inizierà prima o poi a rilevare dati persi, sovrascritti o corrotti.

Attenzione: questo test deve essere eseguito su una chiavetta vuota perché il procedimento di verifica può sovrascrivere i dati presenti.

Prima del test è quindi necessario salvare tutto ciò che si trova sulla USB.

Una procedura pratica su Windows è:

Collegare la USB
Salvare tutti i dati importanti
Formattare la USB, se necessario
Avviare H2testw
Selezionare la chiavetta corretta
Selezionare l'intera capacità disponibile
Avviare Write + Verify
Attendere la conclusione
Analizzare il risultato

Un test completo può richiedere molto tempo, soprattutto con capacità elevate.

Non bisogna interromperlo soltanto perché la velocità sembra bassa.

Se il risultato mostra che soltanto una parte della capacità è realmente verificabile e il resto presenta errori o perdita di dati, la chiavetta non deve essere considerata affidabile.

Per ambienti Linux e macOS esiste invece F3 – Fight Flash Fraud, progettato specificamente per verificare capacità e prestazioni delle memorie flash. F3 scrive dati pseudocasuali e successivamente verifica che i dati restituiti siano gli stessi. (GitHub)

Il quinto controllo: verificare la velocità reale

Una USB può essere autentica anche quando le prestazioni sono molto inferiori a quelle dichiarate.

È quindi importante distinguere tra USB falsa e USB semplicemente lenta.

Una chiavetta USB 3.x non necessariamente raggiunge la velocità massima teorica dello standard. Le prestazioni dipendono dal controller, dalla memoria NAND, dalla porta USB utilizzata, dal tipo di trasferimento e dalle condizioni del dispositivo.

Bisogna quindi evitare conclusioni troppo rapide.

Se sulla confezione viene dichiarata una velocità di 400 MB/s e la chiavetta raggiunge soltanto 20 MB/s, è sicuramente un dato che merita approfondimento, ma non è automaticamente la prova di una contraffazione.

La velocità diventa molto più significativa quando viene valutata insieme agli altri controlli.

Un dispositivo che dichiara 1 TB, identifica un produttore sospetto, presenta prestazioni estremamente basse e fallisce il test completo di scrittura e lettura è decisamente poco affidabile.

Il sesto controllo: verificare errori, corruzione e comportamento durante la copia

Il sesto controllo consiste nell’osservare come si comporta realmente la memoria durante l’utilizzo.

Una USB sospetta può manifestare sintomi come:

• file che improvvisamente non si aprono;
• copie che terminano con errori;
• file che dopo la copia risultano di dimensione corretta ma sono corrotti;
• disconnessioni improvvise;
• filesystem che diventa RAW;
• formattazioni che falliscono;
• velocità che crollano drasticamente;
• errori CRC durante la verifica dei file;
• dati che scompaiono dopo aver scollegato e ricollegato la chiavetta.

È possibile controllare il volume da PowerShell:

Get-Volume | Format-Table DriveLetter, FileSystem, HealthStatus, Size, SizeRemaining -AutoSize

Se conosciamo la lettera dell’unità, per esempio E:, possiamo eseguire un controllo del filesystem con:

chkdsk E: /scan

Questo controllo è utile per individuare problemi del filesystem, ma bisogna comprendere una distinzione fondamentale.

CHKDSK non certifica la capacità reale della memoria.

Una USB falsa può infatti avere un filesystem apparentemente sano e continuare comunque a dichiarare una capacità inesistente.

Per la capacità reale è molto più importante un test completo di scrittura e verifica.

La procedura completa da seguire

Quando arriva nelle mani di un tecnico una pendrive sospetta, conviene procedere con metodo e non affidarsi a una singola indicazione.

La sequenza operativa consigliata è questa:

1. Non utilizzare la USB per dati importanti.
2. Controllare confezione, marchio, modello, prezzo e venditore.
3. Collegare la USB a un computer affidabile.
4. Identificare il disco con PowerShell:
   Get-Disk | Where-Object BusType -eq "USB"
5. Controllare partizioni e volume:
   Get-Partition
   Get-Volume
6. Verificare VID, PID, produttore e identificativi hardware.
7. Se necessario utilizzare USBView per analizzare i descriptor USB.
8. Salvare tutti i dati presenti sulla chiavetta.
9. Eseguire un test completo di capacità con H2testw su Windows
   oppure F3 su Linux/macOS.
10. Eseguire anche un test delle prestazioni.
11. Controllare eventuali errori del filesystem con CHKDSK.
12. Confrontare tutti i risultati con la capacità e le specifiche dichiarate dal produttore.
13. Se la capacità reale è inferiore a quella dichiarata,
    considerare la memoria contraffatta o comunque non affidabile.
14. Non utilizzare la USB per backup, documenti aziendali,
    immagini ISO o dati importanti.
15. Se acquistata recentemente, documentare il risultato del test e richiedere rimborso o sostituzione al venditore.

È possibile “riparare” una USB falsa?

Dipende dal problema.

Se la memoria è semplicemente formattata male, può essere possibile ricreare la partizione e formattarla correttamente.

Se invece il controller dichiara una capacità superiore alla memoria fisica, non esiste un comando PowerShell che trasformi magicamente una USB da 32 GB in una USB da 256 GB.

In alcuni casi particolari, strumenti specializzati possono essere utilizzati per ridimensionare una memoria contraffatta alla capacità effettivamente disponibile, ma questa non è una procedura che consiglierei per una USB sulla quale devono essere conservati dati importanti.

Il problema non è soltanto la capacità.

Potrebbero esserci componenti NAND di bassa qualità, controller instabili o firmware alterato.

La soluzione professionalmente corretta, soprattutto quando la memoria è stata venduta come prodotto da 256 GB ma ne possiede realmente 32 GB, è restituirla e sostituirla con un dispositivo affidabile.

Una verifica PowerShell utile per il tecnico

Per avere rapidamente una fotografia dei dischi USB collegati è possibile utilizzare:

Get-Disk |
Where-Object BusType -eq "USB" |
Select-Object Number,
              FriendlyName,
              SerialNumber,
              BusType,
              PartitionStyle,
              @{Name="SizeGB";Expression={[math]::Round($_.Size / 1GB,2)}},
              OperationalStatus

Il risultato può essere esportato in CSV per documentare una verifica tecnica:

Get-Disk |
Where-Object BusType -eq "USB" |
Select-Object Number,
              FriendlyName,
              SerialNumber,
              BusType,
              PartitionStyle,
              @{Name="SizeGB";Expression={[math]::Round($_.Size / 1GB,2)}},
              OperationalStatus |
Export-Csv "$env:USERPROFILE\Desktop\USB_Check.csv" -NoTypeInformation -Encoding UTF8

Questo è particolarmente utile in un contesto aziendale o help desk perché consente di conservare una fotografia delle informazioni rilevate.

Bisogna però ribadire ancora una volta il concetto centrale: il valore Size riportato da Windows non dimostra la capacità fisica reale della memoria.

Per stabilire se una USB è davvero da 64, 128, 256 o 512 GB bisogna effettuare un test di scrittura e verifica dell’intera capacità.

Quando una USB deve essere considerata non affidabile

La regola pratica è molto semplice.

Se una chiavetta fallisce il test completo di capacità, non deve essere utilizzata per conservare dati importanti.

Se la capacità reale è molto inferiore a quella dichiarata, il problema è ancora più evidente.

Se invece il test di capacità è positivo ma la velocità è inferiore alle aspettative, potrebbe semplicemente trattarsi di un modello lento o di condizioni di test non ottimali.

Anche una USB autentica può guastarsi.

Per questo motivo un test positivo non significa che la memoria sarà eterna. Significa soltanto che, al momento del test, la capacità dichiarata è risultata coerente con lo spazio realmente verificabile.

Il vero errore da evitare

Il comportamento più pericoloso è comprare una chiavetta economica, collegarla al computer, vedere “256 GB disponibili” e iniziare immediatamente a copiarci dentro fotografie, documenti, backup o immagini ISO.

Quella schermata non è una certificazione.

È soltanto ciò che il controller comunica a Windows.

La verifica vera arriva quando la memoria viene riempita, riletta e confrontata byte per byte.

È questa la differenza tra una semplice verifica superficiale e una vera verifica tecnica.

Una pendrive apparentemente perfetta può nascondere un problema enorme. Bastano pochi minuti di controllo iniziale per evitare ore, giorni o addirittura anni di dati persi.

Per chi lavora nel supporto IT, la regola è ancora più importante: una USB sconosciuta non dovrebbe mai diventare automaticamente un dispositivo di backup.

Prima si verifica. Poi si utilizza.