La spia più probabile sul tuo telefono non è un hacker. È qualcuno che conosce il tuo codice di sblocco.

Uno spyware che puoi comprare con un abbonamento

Il termine “stalkerware” designa una famiglia di software dall'aspetto del tutto ordinario: applicazioni commerciali, vendute in abbonamento, spesso presentate come “controllo parentale” o “monitoraggio dei dipendenti”. Una carta di credito, dai dieci ai quaranta euro al mese, e chiunque ottiene un pannello di controllo online che mostra la vita di un telefono: messaggi, posizione GPS continua, foto, cronologia di navigazione, registro delle chiamate. Alcuni possono persino attivare il microfono.

Non serve alcuna impresa tecnica. Nessun exploit segreto, nemmeno una riga di codice da scrivere. Il prodotto è pensato per essere installato da chi non ha alcuna competenza, in pochi minuti, su un telefono che tiene fra le mani. Una volta in posizione, l'app resta defilata: nessuna icona, un nome di processo innocuo, niente sullo schermo.

L'ampiezza del fenomeno è difficile da misurare con precisione, si tratta di software costruito per non essere visto. Le cifre di cui disponiamo sono soglie minime, non massime: un solo produttore di antivirus lo rileva ogni anno su decine di migliaia di telefoni in tutto il mondo, e la Coalition Against Stalkerware, che riunisce una quarantina di organizzazioni, segnala che il fenomeno non arretra. E questo vale solo per i dispositivi che hanno un'app di sicurezza: gli altri non compaiono in alcuna statistica.

Chi installa queste app? Un partner, un ex, un genitore che oltrepassa il limite, a volte un datore di lavoro. Mettiamo in chiaro una cosa: nella maggior parte dei Paesi, installare un software di sorveglianza sul telefono di un altro adulto senza il suo consenso è un reato, qualunque sia il rapporto fra le due persone.

Cinque minuti di accesso fisico fanno più danni di qualsiasi virus

È l'idea che vorremmo ti restasse impressa, perché ribalta l'immagine consueta della minaccia. Violare un telefono da remoto, senza alcuna interazione da parte della vittima, è straordinariamente difficile: gli exploit che lo permettono valgono milioni e vengono usati per lo spionaggio di Stato, non per sorvegliare un privato cittadino. La via realistica è molto più breve: conoscere il tuo codice di sblocco ed essere solo con il tuo telefono per cinque minuti.

Su Android l'installazione è diretta: si abilitano le “origini sconosciute”, si installa l'app, le si concedono permessi potenti (accessibilità, amministrazione del dispositivo), si nasconde l'icona. Su un iPhone installare un'app spia è decisamente più difficile, così la sorveglianza prende in genere un'altra strada: le credenziali dell'account Apple. Chi le conosce può leggere i backup, la posizione, le foto, senza installare assolutamente nulla.

La conseguenza pratica è semplice, e non costa nulla: il codice di sblocco è la prima serratura della tua vita digitale. Un codice condiviso “per fiducia”, una data di nascita, lo stesso codice da anni, è lì che comincia tutto. Cambiarlo, e tenerlo per sé, è di nuovo un'abitudine di sicurezza fondamentale. Proprio come non lasciare il telefono in giro sbloccato.

I segnali veri: e quelli falsi

Sgombriamo prima il campo dai falsi segnali, perché alimentano preoccupazioni inutili: una batteria calda, un telefono che rallenta, un consumo di dati che oscilla. Questi sintomi hanno mille cause innocue, un'app scritta male, una batteria che invecchia, un aggiornamento recente. I software di sorveglianza moderni sono progettati proprio per non tradirsi in questo modo.

I segnali che meritano davvero la tua attenzione sono altrove. Il primo non è affatto tecnico: qualcuno intorno a te sa cose che non dovrebbe sapere, dove sei stato, cosa hai scritto, con chi hai parlato. Quel segnale, se ricorrente, vale più di qualsiasi sintomo della batteria.

Sul telefono stesso, cerca ciò che è strutturale: un'app che non riconosci con permessi spropositati (accessibilità, amministratore del dispositivo), l'opzione “origini sconosciute” attivata su Android senza ricordare di averlo fatto, un dispositivo sconosciuto collegato al tuo account Google o Apple, una condivisione della posizione che non hai mai impostato. Queste verifiche si trovano nelle impostazioni, richiedono pochi minuti e non esigono alcuna competenza particolare.

Cosa fare: e cosa non fare

Un riflesso comprensibile è cancellare subito l'app. A volte è un errore: la maggior parte di questi software avvisa chi l'ha installata nel momento stesso in cui smette di trasmettere. Se quella persona fa parte della tua vita quotidiana e la situazione ti preoccupa, una rimozione brusca può peggiorare le cose. In quel caso, documenta prima (screenshot, date) e fatti aiutare, il sito della Coalition Against Stalkerware, stopstalkerware.org, elenca le organizzazioni di supporto Paese per Paese.

Se decidi di agire, procedi in ordine:

• →Cambia il codice di sblocco: non una data di nascita, non un codice che una persona vicina già conosce.
• →Da un altro dispositivo (il telefono di un amico, un computer fidato), cambia la password dell'email, poi quella dell'account Google o Apple.
• →Controlla i dispositivi e le sessioni collegati a quegli account, e rimuovi tutto ciò che non riconosci.
• →Attiva l'autenticazione a due fattori per la tua email e per il tuo account principale.
• →Come ultima risorsa, un ripristino ai dati di fabbrica cancella praticamente tutti questi software: a patto che tu poi riconfiguri il telefono con password nuove, e non a partire da un backup compromesso.

Cosa fa Trasimène

Il monitoraggio delle app di Trasimène confronta di continuo le applicazioni installate con liste di software di sorveglianza noti aggiornate dal server, e segnala le combinazioni di permessi rivelatrici: un'app invisibile che unisce accessibilità, avvio automatico e attività permanente in background non ha quasi mai una ragione legittima di esistere.

Siamo onesti sui limiti, perché è il senso stesso di questo blog: nessuna app di sicurezza vede tutto. Una sorveglianza che passa dalle credenziali dell'account Apple o Google non tocca mai il telefono, compare nelle impostazioni dell'account, non in una scansione. Ecco perché questo articolo ti ha guidato attraverso entrambe le verifiche, non solo quella che automatizziamo.

Non c'è alcun motivo di vivere nella paranoia: la sorveglianza descritta in questo articolo non piove dal cielo, arriva da vicino, e la si previene con abitudini semplici, un codice tutto tuo, un account ben blindato, un'occhiata ogni tanto ai permessi. Se un giorno l'aspetto tecnico non bastasse, perché la situazione va oltre il telefono, in gran parte dei Paesi esistono organizzazioni pronte ad aiutare. Le verifiche in sé richiedono dieci minuti. Vale la pena farle una volta, e vale la pena rifarle di tanto in tanto.

1. Kaspersky, "The State of Stalkerware in 2023", Securelist, 2024
2. Coalition Against Stalkerware, "About", stopstalkerware.org
3. Chatterjee, Doerfler, Orgad, Havron, Palmer, Freed, Levy, Dell, McCoy & Ristenpart, "The Spyware Used in Intimate Partner Violence", 2018 IEEE Symposium on Security and Privacy (SP)
4. Marczak, Scott-Railton et al., Citizen Lab, "FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild", 2021