Sicurezza e privacy cellulari contro lo spionaggio. La guida pratica passo-passo più completa del web.
Le app spyphone commerciali (dette anche stalkerware) rappresentano oggi lo strumento più diffuso per spiare uno smartphone. A differenza dei captatori informatici professionali utilizzati dalle forze dell'ordine (ne abbiamo parlato qui), le app spyphone commerciali vengono installate accedendo fisicamente per qualche minuto allo smartphone da controllare.
Una volta installate, consentono di spiare a distanza messaggi, chiamate, internet, spostamenti e contenuti multimediali. Di fatto viene attivato un controllo esteso sulla vita digitale e privata della vittima.
Partiamo da una buona notizia: le app spyphone commerciali non sono così nascoste come sembrano. Agiscono in modo assai invasivo nell'ecosistema di cellulari sempre più protetti e sofisticati, quindi hanno buone possibilità di restare nascoste solo ad utenti inesperti: chi ha un minimo basilare di competenze tecniche può facilmente insospettirsi durante l'uso di un cellulare infettato da un'app spyphone, notando alcune notifiche o alcune tracce presenti nel sistema operativo.
Un'altra buona notizia arriva dal fronte Apple: dopo iOS 14, la casa di Cupertino è riuscita a limitare drasticamente l'installazione delle app spyphone commerciali, costringendo chi vuole spiare un iPhone ad accontentarsi di monitorare i pochi dati archiviati in iCloud. Tuttavia è un controllo neutralizzabile molto facilmente: basta variare la password dell'Apple ID e attivare la protezione a due fattori. Ma va anche detto che, in ambiente iOS, la situazione sembra divenire più complessa nel caso dei captatori informatici professionali utilizzati dalle forze dell'ordine: alcune analisi tecniche suggeriscono che in questo ambito iOS potrebbe risultare meno resiliente di Android, sgretolando il mito dell’invulnerabilità dei prodotti Apple. Esistono infatti dei report, come quelli emersi da alcuni leak di aziende come NSO Group e da analisi approfondite su "exploit Zero-Click" del Citizen Lab di Toronto, che mostrano come iOS sia un bersaglio "facilmente" vulnerabile ad attacchi mirati di alto livello.
Tornando alle app spyphone commerciali, sul fronte Android sono installabili con facilità e sono ancora massicciamente presenti sul mercato. Ma sono state frenate anche da venditori poco seri come in questo video delle Iene.
Si sta affermando una modalità alternativa di spionaggio dei cellulari, dove si ottengono meno informazioni ma in modo più sicuro e discreto. In questo caso vengono sfruttate le funzioni di app diffuse e non nascoste, i numerosi servizi connessi agli account e un universo di trucchi e strategie. Anche questa modalità richiede in molti casi l'accesso fisico al dispositivo da controllare, quantomeno in una fase iniziale.
I suggerimenti che seguono sono rivolti a chi ha concreti sospetti di avere il cellulare spiato. Ovviamente in normali situazioni sono suggerimenti esagerati e in buona parte inutili. Ci limiteremo alle contromisure di primo livello, facilmente attuabili anche da utenti non esperti. Il focus sarà su Android perché in Italia è presente in quasi il 66% dei cellulari (nel resto del mondo sfiora l'80%) e si presta all'installazione delle app spyphone commerciali. Ma daremo un'occhiata anche a iOS.
• ACCESSO AL CELLULARE. Da anni gli esperti discutono su quale sia la soluzione più sicura per proteggere l'accesso al cellulare: protezione biometrica (es. impronta digitale o riconoscimento facciale) oppure password blocca schermo? Tralasciando i tecnicismi, la scelta dipende anche dal contesto. Ad esempio, la biometria è sconsigliata per difendersi da intrusioni da parte di persone vicine: espone infatti al rischio di sblocchi "con destrezza" quando si dorme o non si ha piena coscienza. Oppure, ancor peggio, a costrizioni fisiche per sbloccare il cellulare. Invece la password blocca schermo risiede nella mente e può essere cambiata infinite volte. Se usi solo la password blocca schermo, il primo suggerimento è variarla. Ricordati anche di impostare il blocco automatico dello schermo dopo max. 30 secondi di inattività del cellulare.
• ACCOUNT. Entra nelle impostazioni Sicurezza degli account Google/Apple, cambia la password degli account e attiva la verifica in due passaggi (detta anche autenticazione 2FA a due fattori). Nell'AppleID attiva la anche protezione avanzata end-to-end. Come vedremo oltre, questa semplicissima contromisura può bloccare una lunga serie di controlli eventualmente già in atto.
• ALTRE PASSWORD. Fatto quanto sopra? A questo punto puoi cambiare le password dei tuoi servizi online sensibili (social, mail, servizi aziendali, remote banking, SPID, siti di incontri, ecc.). Regola d'oro: non usare la stessa password per più servizi e non riciclarne di vecchie. Altra regola d'oro è verificare quali password sono salvate nell'account Google o Apple: per gestire le password nell'account Google l'accesso diretto è qui. Mentre in Iphone le trovi tramite i menù "Password", "Salvato su Icloud" o "Password e portachiavi". Considerando che non stiamo parlando di spionaggio militare, più che la complessità della password conta la non indovinabilità. Una frase lunga e non comune, ma significativa per te (es: IlMioGattoBeveCaffe2026!^!) è più sicura di una parola corta ma priva di significato (es: L^4s!xu6) e ti facilita la gestione degli accessi. Cerca in ogni caso di evitare il classico "foglietto di appunti delle password": chi è determinato a spiare qualcuno, spesso riesce a scovare il foglietto nei nascondigli più impensabili.
• CONTENUTI SENSIBILI SUL BLOCCASCHERMO. Un'altra ottima abitudine, sia in Android che in iOS, è entrare nella gestione delle notifiche e disattivare il contenuto delle notifiche sulla schermata di blocco. Questo impedirà di leggere passcode e OTP inviati via email o SMS anche se il cellulare è bloccato, ostacolando accessi nascosti agli account e altre attività malevole.
• PRUDENZA. Da questo momento custodisci con cura il cellulare e le nuove password. Non digitare le password in ambienti a rischio microcamere nascoste o telecamere per videosorveglianza (sono fra gli escamotage più efficaci per scoprire le password, vedi esempio).
• DATI PERSONALI. Vuoi fare qualcos'altro di concreto per proteggere la tua riservatezza? Entra nelle impostazioni privacy degli account Google/Apple, sospendi le raccolte di dati personali e cancella lo storico. Parliamo di informazioni sensibilissime: cronologie, spostamenti, luoghi preferiti, luoghi visitati, attività Web e App, ricerche in internet, Youtube, ricerche vocali, annunci personalizzati, personalizzazioni ricerche, preferenze pubblicitarie. A conferma del fatto che non stiamo parlando di spionaggio da dilettanti, ci sono evidenze ufficiali che questi dati personali sono ricercati anche dalle forze dell'ordine di mezzo mondo (vedi i Transparence Reports di Google e i tanti casi di "Geofence Warrant"). Per una gestione semplice e rapida di questi dati entra in My Activity di Google oppure in Privacy Apple. Da notare che, secondo una stima del Citizen Lab di Toronto (uno dei centri di ricerca più autorevoli al mondo sulla sorveglianza digitale) circa l'80% degli utenti della telefonia mobile non sanno nemmeno che esistano queste "centraline di comando" della loro vita privata.
• AUTORIZZAZIONI DI ACCESSO AL GOOGLE ACCOUNT. Nei menù 'Sicurezza' e 'Dati e privacy' dell'account Google verifica i numeri telefonici, i dispositivi, le app e i servizi autorizzati ad accedere al tuo account. Non indugiare a disconnettere ciò che non riconosci. Mentre nell'Apple ID e nelle impostazioni di iPhone dovrai verificare "Dispositivi associati" e "App che utilizzano il tuo Apple ID".
• EMAIL. Nelle impostazioni della Gmail, dell'iCloud Mail ("Apple Mail") e delle altre email che usi, verifica che non ci siano filtri di cancellazione anomali o strane regole di inoltro che non riconosci.
• CONTATTI. I contatti rappresentano un riassunto delle reti sociali delle persone, quindi hanno un potenziale anti-privacy notevole. Ti suggeriamo di cancellare i contatti più sensibili salvati negli account e sospendere il salvataggio automatico: per l'account Google l'accesso è qui, per l'ICloud l'accesso è qui.
• ACCOUNT E SINCRONIZZAZIONI. Un accorgimento di igiene digitale: nel menù 'Impostazioni' > 'Account e sincronizzazione' di Android, cancella gli account che non riconosci o non usi e sospendi le sincronizzazioni non indispensabili (Contatti, Google Drive, Dettagli persone, Foto/Galleria). Per iPhone: 'Impostazioni' > [Tuo Nome] > 'iCloud' > 'Mostra tutto'. Spesso le persone conservano degli account "zombie" nei cellulari (vecchie mail aziendali, account di giochi, ecc.) che continuano a scambiare dati con il mondo esterno. Fare pulizia è una boccata d'ossigeno anche per la privacy.
• COMUNICAZIONI. Non parlare di questioni sensibili tramite normali telefonate, SMS e le app più comuni. Cerca di preferire Signal o Telegram. Ma sappi che neppure l'elevata sicurezza di queste app può difenderti se il tuo cellulare contiene un software spyphone, un trojan o un captatore: in questi casi l'intercettazione avviene direttamente all'interno del cellulare.
• WHATSAPP. In WhatsApp disattiva le spunte blu (conferme lettura) e lo stato online (ultimo accesso e online), per non evidenziare i tuoi orari e le tue abitudini a osservatori esterni. Verifica che non sia attiva l'insidiosa funzione Dispositivi collegati (meglio nota come WhatsApp WEB). Nelle impostazioni di WhatsApp verifica che tutte le notifiche siano attive. Nel menù Backup delle chat verifica che il backup crittografato end-to-end sia attivo. Funzioni simili ci sono anche per Telegram.
• CLOUD. Quando usi il Google Drive o l'iCloud, in pratica metti i tuoi file a piena disposizione di chiunque riesca ad accedere al tuo account Google o Apple. Finché permangono sospetti di controlli indesiderati, è meglio spostare i file sensibili in cloud più sicuri e non integrati con Android e iOS: ad esempio Mega, ProtonDrive o Kdrive.
• ACCESS DOTS. In Android installa AccessDots per individuare eventuali accessi nascosti a fotocamera, microfono e geolocalizzazione da parte delle app installate nel cellulare (escluse alcune app del sistema Android). In Iphone 14 o superiore c'è già qualcosa di simile.
• EFFICACIA ANTIVIRUS. Se vuoi elevare un po' la sicurezza del cellulare, in Android e Iphone installa Avast o Bitdefender. In Android puoi aggiungere Antispy Protectstar. Ma sappi che gli antivirus rilevano raramente le migliori app spyphone commerciali e non rilevano mai i captatori informatici professionali "ZeroDay" delle forze dell'ordine. Quindi sono una forma di difesa marginale.
• CRONOLOGIA SPOSTAMENTI GOOGLE. La variazione delle password raccomandata all'inizio inibisce questa possibilità di controllo nascosto degli spostamenti. Ma, come già visto nel capitolo Dati e comunicazioni, quando si hanno concreti sospetti di controlli occulti è opportuno sospendere la funzione Spostamenti nell'account Google e cancellare lo storico.
• CONDIVISIONE DELLA POSIZIONE GOOGLE MAPS. Nella app Maps verifica che non sia attiva la 'Condivisione della posizione', accessibile dall'omonimo menù. Nelle impostazioni delle app Maps, Google Play Services e Google Services Framework di Android verifica che le tutte le notifiche siano attive (sono molte quindi porta un po' di pazienza).
• TROVA IL MIO DISPOSITIVO ANDROID. Anche questa funzione viene sfruttata per localizzare un utente di nascosto. La variazione delle password raccomandata all'inizio inibisce anche questa possibilità di spionaggio degli spostamenti.
• TRACKER BLUETOOTH. Gli AirTag di Apple e i tracker bluetooth per Android sono minuscoli apparati a bassissimo costo che servono per ritrovare gli oggetti smarriti. Ma vengono usati spesso anche per spiare gli spostamenti delle persone. Sia in Android che in iPhone verifica che la funzione 'Avvisi tracker sconosciuti' sia attiva e lancia una scansione manuale ogni tanto, quando sei fuori da casa o ufficio. Per rinforzare la difesa, in Android puoi aggiungere la app AirGuard. A volte sembra che queste app non funzionino perché non rilevano i propri tracker e non segnalano nulla nell'immediato: ma è normale perché sono pensate per rilevare i tracker di terzi lontani dai loro proprietari. L'avviso di solito non è immediato, ma appare dopo qualche ora di spostamenti in costante "compagnia" del tracker. Ne abbiamo parlato qui.
• Non confermare richieste di permessi che appaiono senza apparente motivo.
• Mantieni aggiornate le app e installa gli aggiornamenti del sistema operativo.
• Non installare app scaricate fuori dagli Store se non conosci la fonte.
• Spesso nel web si leggono consigli per scoprire se un cellulare è spiato, basati su segnali come: 'interferenze durante le chiamate', 'surriscaldamento anomalo', 'batteria che si scarica a vista d'occhio' o 'rumori spaziali di fondo'. Sono credenze rimaste ferme a vent'anni fa (alcune erano infondate anche allora). Gli odierni software spia, trojan e captatori governativi sono piccoli capolavori di ingegneria informatica. Non causano rumori marziani né rallentamenti banali. Non scaldano il cellulare in modo percepibile. Il web è pieno di pubblicazioni "acchiappaclic" fatte con il copia-incolla, che creano una falsa percezione di sicurezza: l'utente è portato a pensare "Il mio telefono non scotta e non devo ricaricarlo cinque volte al giorno, quindi non sono spiato".
• Finché permangono concreti sospetti di spionaggio, spegni e riaccendi il cellulare ogni giorno. Alcuni trojan e captatori non vengono installati ma solo memorizzati nella memoria volatile RAM, quindi possono essere eliminati riavviando il cellulare.
