Partiamo da una buona notizia:
le app spyphone commerciali non
sono così nascoste come
sembrano. Agiscono in
modo assai invasivo
nell'ecosistema di cellulari sempre
più protetti e sofisticati, quindi hanno buone
possibilità di restare nascoste solo ad utenti
inesperti: chi ha un minimo
basilare di
competenze tecniche può
facilmente insospettirsi durante
l'uso di un cellulare infettato
da un'app spyphone, notando
alcune notifiche o alcune tracce
presenti nel sistema operativo.
Un'altra buona notizia
arriva dal fronte Apple:
dopo iOS 14, la casa di
Cupertino è riuscita a limitare
drasticamente l'installazione
delle app spyphone commerciali,
costringendo chi vuole spiare un
iPhone ad accontentarsi di
monitorare i pochi dati archiviati
in iCloud. Tuttavia è un
controllo neutralizzabile
molto facilmente: basta
variare la password dell'Apple
ID e attivare la protezione a
due fattori. Ma va anche detto
che, in ambiente iOS, la
situazione sembra divenire più complessa nel caso dei
captatori informatici
professionali utilizzati dalle
forze dell'ordine: alcune analisi tecniche
suggeriscono che in questo ambito
iOS potrebbe risultare
meno resiliente di Android,
sgretolando il mito
dell’invulnerabilità dei
prodotti Apple. Esistono infatti
dei report, come quelli emersi da
alcuni leak di aziende come
NSO Group e da analisi
approfondite su
"exploit Zero-Click"
del
Citizen Lab di Toronto, che mostrano come iOS sia un
bersaglio "facilmente"
vulnerabile ad attacchi mirati di alto
livello.
Tornando
alle app
spyphone commerciali,
sul fronte Android sono
installabili con facilità
e sono ancora
massicciamente presenti sul
mercato. Ma sono state frenate anche
da venditori poco seri come
in questo video
delle Iene.
Si sta
affermando una modalità
alternativa di spionaggio dei
cellulari,
dove si ottengono meno
informazioni ma in modo più
sicuro e discreto.
In questo caso vengono
sfruttate le funzioni di
app diffuse e non nascoste,
i numerosi servizi connessi agli
account e
un universo di trucchi e
strategie.
Anche questa modalità richiede
in molti casi
l'accesso fisico al dispositivo da controllare,
quantomeno in una fase iniziale.
I
suggerimenti che seguono sono
rivolti a chi ha concreti
sospetti di avere il cellulare
spiato. Ovviamente in normali
situazioni sono suggerimenti esagerati. Ci
limiteremo alle contromisure di
primissimo livello, facilmente
attuabili da tutti. Il focus sarà su
Android perchè in Italia è presente
in quasi il 66% dei cellulari (nel resto del mondo sfiora l'80%) e si
presta
all'installazione delle app spyphone
commerciali. Ma daremo un'occhiata
anche a iOS.
FONDAMENTALI
•
ACCESSO AL CELLULARE.
Da anni
gli esperti discutono su quale sia
la soluzione più sicura per proteggere
l'accesso al cellulare: protezione
biometrica
(es. impronta digitale o
riconoscimento facciale) oppure
password
blocca schermo?
Tralasciando i tecnicismi, la scelta dipende
anche dal
contesto. Ad esempio, la biometria è
sconsigliata per difendersi da
intrusioni da parte di persone
vicine: espone infatti al rischio di
sblocchi "con destrezza"
quando si dorme o non si ha piena
coscienza. Oppure, ancor peggio, a
costrizioni fisiche per sbloccare il
cellulare. Invece la password
blocca schermo risiede nella mente
e può essere cambiata infinite
volte.
Se usi
solo la password
blocca schermo il
primo suggerimento è variarla. Ricordati anche
di impostare il blocco
automatico dello schermo dopo max. 30 secondi di
inattività del cellulare.
•
ACCOUNT.
Entra nelle impostazioni
Sicurezza degli
account Google/Apple,
cambia la
password degli account
e attiva
la verifica in due passaggi
(detta
anche
autenticazione 2FA a due fattori).
Nell'AppleID attiva anche la protezione
avanzata end-to-end. Come vedremo
oltre, questa semplicissima
contromisura può bloccare una lunga
serie di controlli eventualmente già in
atto.
•
ALTRE PASSWORD.
Fatto
quanto sopra? A questo
punto puoi cambiare le password dei tuoi servizi
online
sensibili
(social,
mail, servizi
aziendali, remote banking, SPID, siti di
incontri, ecc.). Regola
d'oro:
non
usare la stessa password per più
servizi e non riciclarne di vecchie!
Altra regola d'oro è
verificare quali password sono
salvate nell'account Google o Apple:
per vedere e gestire le password nell'account Google
l'accesso diretto è qui. Mentre
in Iphone le trovi tramite i menù
"Password", "Salvato su Icloud"
o
"Password e portachiavi".
Considerando che non stiamo parlando
di spionaggio militare,
sfatiamo un mito: più che la complessità
della password conta la non
indovinabilità.
Una frase lunga e non comune, ma
significativa per te (es:
IlMioGattoBeveCaffe2026!^!) è più
sicura di una parola corta ma priva
di significato (es: L^4s!xu6) e ti
facilita la gestione degli accessi.
Cerca in ogni caso di evitare il
classico "foglietto di appunti
delle password": chi è
determinato a spiare qualcuno,
spesso riesce a scovare il foglietto nei nascondigli
più impensabili.
• CONTENUTI SENSIBILI SUL
BLOCCASCHERMO.
Un'ulteriore regola d'oro, sia in
Android che in iOS, è entrare nella
gestione delle notifiche e
disattivare il contenuto delle
notifiche sulla schermata di blocco.
Questo impedirà di leggere passcode e OTP inviati
via email o SMS anche se il
cellulare è bloccato, ostacolando
accessi nascosti agli account e
altre attività malevole.
•
PRUDENZA.
Da
questo momento custodisci con cura il cellulare e
le nuove password. Non digitare le
password in ambienti a rischio
microcamere nascoste o telecamere
per videosorveglianza
(sono fra gli escamotage più
efficaci per
scoprire le password,
vedi
esempio).
PROTEZIONI
•
PROTEZIONE
DELLE APP.
Quando
si sospettano accessi indesiderati
al cellulare, una buona contromisura
aggiuntiva è proteggere le
app sensibili con una password
specifica
(messaggistica,
social, email, cloud non
Google/Apple, ecc.). In
Android puoi usare le opzioni di
Avast
antivirus. Ma varie App hanno
già questa funzione integrata, ad esempio il Blocco App di WhatsApp
o il Passcode di Telegram.
•
IL
SECONDO SPAZIO.
In molti Android c'è una potente funzione
per proteggere la privacy:
il secondo
spazio
(detto anche modalità ospite,
spazio privato o spazio personale).
È a tutti gli effetti un secondo
telefono nascosto nel telefono
principale,
accessibile con una
password diversa da quella
principale. Ma l'aspetto più
interessante è che le
app spyphone di norma vengono installate
solo nello spazio principale: quindi non
riescono a vedere ciò che accade nel
secondo spazio, rendendolo un
rifugio sicuro per la tua privacy
(ci potrebbero riuscire se il
cellulare avesse i permessi di
"root", ma oggi sono quasi in disuso).
Purtroppo in iOS non esiste ancora una
funzione così potente: sebbene esistano
app di terze parti che consentono di
sdoppiare gli account (es.
WhatsApp), queste non offrono
nessuna protezione
contro il monitoraggio nascosto
perchè non creano un secondo ambiente
isolato. Per l'utente Apple, l'unica difesa di prima linea resta la
massima protezione possibile
dell'account (Apple ID) e l'uso di
cartelle protette per le foto o le
note.
DATI E
COMUNICAZIONI
•
DATI PERSONALI.
Vuoi
fare qualcos'altro di concreto per
proteggere la tua riservatezza? Entra nelle impostazioni privacy
degli account Google/Apple,
sospendi le
raccolte di dati
personali e cancella lo
storico.
Parliamo di informazioni
sensibilissime: cronologie, spostamenti, luoghi
preferiti, luoghi visitati,
attività Web e App, ricerche
in internet,
Youtube, ricerche vocali, annunci
personalizzati, personalizzazioni
ricerche, preferenze pubblicitarie. A conferma del fatto che
non stiamo parlando di spionaggio da
dilettanti,
ci sono evidenze ufficiali che
questi dati
personali sono ricercati anche dalle forze
dell'ordine di mezzo mondo (vedi i
Transparence Reports di Google e i
tanti casi di "Geofence Warrant").
Per una gestione semplice e rapida
di questi dati entra in "My
Activity" di Google oppure in "Privacy
Apple". Da notare che, secondo
una stima del Citizen Lab di Toronto
(uno dei centri di ricerca più
autorevoli al mondo sulla
sorveglianza digitale) circa l'80%
degli utenti della telefonia mobile
non sanno nemmeno che esistano
queste "centraline di comando"
della loro vita privata.
•
AUTORIZZAZIONI DI ACCESSO
AL GOOGLE ACCOUNT.
Nei menù
'Sicurezza' e 'Dati e privacy'
dell'account Google verifica i numeri telefonici,
i dispositivi, le app e i servizi autorizzati
ad accedere al tuo account. Non
indugiare a disconnettere ciò che non riconosci.
Mentre nell'Apple ID e nelle
impostazioni di iPhone dovrai
verificare "Dispositivi
associati" e "App che
utilizzano il tuo Apple ID".
• EMAIL. Nelle
impostazioni della Gmail,
dell'iCloud Mail ("Apple Mail") e delle
altre email che usi, verifica che
non ci siano filtri di cancellazione
anomali
o strane regole di inoltro che non
riconosci.
•
CONTATTI.
I contatti rappresentano un
riassunto delle reti sociali delle
persone, quindi hanno un potenziale
anti-privacy notevole. Ti suggeriamo di
cancellare i contatti più sensibili salvati
negli account e sospendere il
salvataggio automatico. Per l'account Google
l'accesso è qui, mentre per
l'ICloud
l'accesso è qui.
•
ACCOUNT E SINCRONIZZAZIONI.
Un
accorgimento di igiene digitale: nel menù
'Impostazioni' >
'Account e
sincronizzazione' di Android,
cancella gli account che non
riconosci o non usi
e sospendi le sincronizzazioni non
indispensabili
(Contatti, Google
Drive, Dettagli persone,
Foto/Galleria). Per iPhone:
'Impostazioni' > [Tuo Nome]
> 'iCloud' > 'Mostra
tutto'. Spesso le persone
conservano degli account
"zombie" nei loro cellulari
(vecchie mail aziendali, account di
giochi, ecc.) che continuano a
scambiare dati con il mondo esterno.
Fare pulizia è una boccata
d'ossigeno anche per la privacy.
•
COMUNICAZIONI.
Non parlare di questioni
sensibili tramite normali
telefonate, SMS e le app più comuni.
Cerca di preferire Signal
o
Telegram.
Ma sappi che neppure
l'elevata sicurezza di queste app
può difenderti se il tuo cellulare
contiene un software spyphone, un
trojan o un captatore: in
questi casi l'intercettazione
avviene direttamente all'interno del cellulare.
•
WHATSAPP.
In WhatsApp
disattiva le spunte
blu
(conferme lettura) e lo stato online
(ultimo accesso) per non evidenziare
i tuoi orari e le tue abitudini a
osservatori esterni. Verifica che non sia
attiva l'insidiosa funzione
Dispositivi collegati
(meglio
nota come WhatsApp WEB). Nelle
impostazioni di WhatsApp
verifica che tutte le notifiche
siano attive.
Nel menù Backup delle chat verifica
che il
backup crittografato end-to-end sia
attivo.
Funzioni simili ci sono
anche per Telegram.
•
CLOUD.
Quando
usi il Google Drive o l'iCloud,
in pratica metti i tuoi file a piena disposizione di
chiunque riesca ad accedere al tuo
account Google o Apple. Finchè
permangono sospetti di controlli
indesiderati, è meglio
spostare i file sensibili
in cloud
più sicuri e non integrati con Android o iOS: ad
esempio Mega, ProtonDrive o Kdrive.
ANTIVIRUS
•
ACCESS DOTS.
In Android installa
AccessDots
per
individuare eventuali
accessi nascosti
a fotocamera, microfono e
geolocalizzazione da parte delle app
installate nel cellulare (escluse
alcune app del sistema Android). In Iphone 14 o
superiore c'è già qualcosa di
simile.
•
EFFICACIA ANTIVIRUS.
Se vuoi elevare
un po' la sicurezza del cellulare, in Android e
Iphone installa
Avast
o
Bitdefender. In Android puoi
aggiungere
Antispy
Protectstar. Ma
sappi che gli antivirus
rilevano raramente le migliori app
spyphone commerciali e non rilevano mai
i
captatori informatici professionali "ZeroDay"
delle forze dell'ordine. Quindi
sono una forma di difesa marginale.
INTERNET E POSIZIONE
•
VPN.
Questo è un
accorgimento sulla bocca di tutti.
Ma a volte c'è confusione: alcuni
pensano che le VPN nascondano tutto ciò che
accade nel telefono, regalando
privacy e sicurezza senza limiti.
Non è
affatto così.
Se
sospetti di essere vittima di
spionaggio professionale, un'app VPN
può avere una marginale utilità.
Mentre per i rischi di spionaggio in
ambito privato o domestico la VPN è
sostanzialmente inutile.
•
BROWSER.
Cancella regolarmente
i dati di navigazione dei
browser.
E' meglio
usare un
browser attento alla privacy come
Brave (disponibile anche per
iOS) e limitare il più possibile
l'uso di Chrome o Safari. Per le navigazioni più
sensibili usa l'opzione 'navigazione
in incognito'.
Cancella anche le cronologie di
dialoghi con l'AI (es. ChatGPT o
Gemini): le persone a volte
confessano questioni intime e
delicate
all'AI, senza considerare che tutto
resta salvato e che non è chiaro
l'uso fatto dalle Big-Tech di questa
immensa mole di informazioni
private.
Importante: se usi il browser Chrome
su PC, disconnettilo
dal tuo Google account quando non usi i
servizi di Google!
Lasciando Chrome sempre loggato al
tuo account sul PC di casa o
dell'ufficio, chiunque lo usi può
vedere le tue password salvate, la
tua cronologia, i tuoi contatti, le
tue abitudini di navigazione, le tue
ricerche online, il tuo cloud e
persino la tua posizione. Come
abbiamo scoperto più volte durante i
servizi per la difesa della privacy
dei nostri clienti, queste porte
aperte possono consentire mesi o anni di
controlli occulti.
•
GEOLOCALIZZAZIONE.
Mantieni disattivi il GPS
e il WiFi
quando non li usi. Pochi sono a
corrente che il servizio
WiFi è diventato a tutti gli effetti
un secondo GPS,
consentendo anch'esso la localizzazione
"WPS" precisa
e costante degli utenti.
Un consiglio
extra: nelle impostazioni
del tuo Android o iPhone controlla la voce
'Scansione di reti Wi-Fi sempre
disponibile'. Se è attiva, il
telefono cercherà reti e invierà la
tua posizione anche se hai spento
l'interruttore del Wi-Fi.
Conviene disattivarla.
•
CRONOLOGIA
SPOSTAMENTI GOOGLE. La variazione delle
password raccomandata all'inizio
inibisce questa possibilità di
controllo nascosto degli spostamenti.
Ma, come
già visto nel capitolo Dati e
comunicazioni, quando si hanno
concreti sospetti di controlli
occulti è opportuno sospendere
la
funzione Spostamenti nell'account
Google e cancellare lo storico.
•
CONDIVISIONE DELLA POSIZIONE
GOOGLE MAPS.
Nella app Maps verifica che non
sia attiva la
'Condivisione
della posizione', accessibile
dall'omonimo menù. Nelle impostazioni
delle app Maps, Google Play
Services e Google Services Framework di Android
verifica che le
tutte le notifiche siano attive
(sono molte quindi porta un po'
di pazienza).
•
TROVA IL MIO
DISPOSITIVO ANDROID.
Anche
questa funzione viene sfruttata per
localizzare un utente di nascosto.
La variazione delle password
raccomandata all'inizio inibisce
anche questa possibilità di
spionaggio degli spostamenti.
• TRACKER
BLUETOOTH. Gli
AirTag di Apple e i tracker
bluetooth per Android sono minuscoli
apparati a bassissimo costo che servono per
ritrovare gli oggetti smarriti. Ma
vengono usati spesso anche per
spiare gli
spostamenti delle persone. Sia
in Android che in iOS verifica
che la funzione 'Avvisi tracker
sconosciuti' sia
attiva e lancia una
scansione manuale ogni tanto, quando
sei fuori da casa o ufficio. Per
rinforzare la difesa, in Android
puoi aggiungere la app AirGuard.
A volte sembra che queste app non
funzionino perché non rilevano i
propri tracker e non segnalano nulla
nell'immediato: ma è normale perché
sono pensate per rilevare
i
tracker di terzi lontani dai loro
proprietari. L'avviso di
solito non è immediato, ma appare dopo
qualche ora di spostamenti in
costante "compagnia" del
tracker. Ne
abbiamo parlato qui.
PERMESSI
•
Verifica quali App utilizzano
maggiormente la
connessione internet
(vedi
'Utilizzo dati' in Android o
'Dati
cellulare' in iOS) e
la posizione (vedi
'Geolocalizzazione'
in Android o 'Localizzazione' in
iOS).
In Android verifica quali App
utilizzano i permessi microfono,
SMS, fotocamera, accessibilità,
accesso ai dati di utilizzo, avvio in background
e amministrazione dispositivo. In
iPhone invece entra in 'Impostazioni Privacy e
sicurezza' > 'Resoconto privacy app'.
Non indugiare a revocare i
permessi sospetti. Verifica
con attenzione le app che non
riconosci e che richiedono molti
permessi. Un ultimo controllo al
volo: in Android
apri la app 'Impostazioni'
(quello con la lente di
ingrandimento), digita la parola 'sviluppatore' nel
campo di ricerca e verifica che il
menù 'Opzioni sviluppatore' non
sia presente.
RACCOMANDAZIONI GENERALI
•
Non fidarti di messaggi che invitano a cliccare
link, foto e
video.
•
Non confermare richieste di
permessi
che appaiono senza apparente motivo.
•
Non installare app
scaricate fuori dagli Store
se non conosci la fonte.
•
Mantieni aggiornate le
app e installa gli aggiornamenti del
sistema operativo.
•
Spesso online si leggono
consigli alquanto inutili su come
scoprire se un cellulare è spiato,
basati su segnali come:
'interferenze durante le chiamate',
'surriscaldamento anomalo',
'batteria che si scarica a vista
d'occhio' o 'rumori
spaziali di fondo'.
Queste sono credenze
rimaste ferme a vent'anni fa (alcune erano infondate anche allora).
Gli odierni software spia, i trojan
e i captatori governativi non causano rumori
marziani né rallentamenti banali.
Il web è pieno di pubblicazioni
"acchiappaclic" fatte con il
copia-incolla,
che creano una
falsa percezione di sicurezza:
l'utente è portato a pensare "Il
mio telefono non scotta come un
barbecue e non devo ricaricarlo
cinque volte al giorno, quindi non
sono spiato".
•
Finchè permangono concreti sospetti
di spionaggio, spegni e riaccendi il
cellulare ogni giorno. Alcuni
trojan e captatori non vengono installati
ma solo memorizzati nella memoria
volatile RAM, quindi possono essere
eliminati riavviando il cellulare.
IL DOPPIO RISCHIO DELLE APP SPYPHONE
Da qualche anno
si è diffusa la convinzione che
tutto ciò che è elettronica e
informatica debba essere gratis o
low cost. Le app spyphone non fanno
eccezione, ma nascondono un
doppio rischio: lo spionaggio da
parte di chi le installa e quello,
ancora più occulto, da parte di chi
le produce. Chi distribuisce
software spia low cost o prodotti elettronici
prezzi irrisori non è un
benefattore dell'umanità:
guadagna
lautamente vendendo dati personali riservati
o tecnologie pressochè prive
di un valore reale.
Questo blog nasce dall'esperienza nella messa in sicurezza
di decine di cellulari dei nostri
clienti. Ovviamente è
limitato agli accorgimenti puramente
generici e di primissima linea,
attuabili facilmente e rapidamente
anche da utenti inesperti. Ci
auguriamo che sia stato di vostro
gradimento.
Tutti i diritti
riservati. All rights reserved.
|
