Nello smartphone teniamo foto, conversazioni, documenti, password, accessi alla banca e alla posta elettronica. È diventato il contenitore della nostra vita digitale, e proprio per questo attira l'interesse di chi cerca di rubare dati e denaro. Una delle vie d'ingresso più frequenti sono le applicazioni: programmi apparentemente innocui, a volte perfino utili, che nascondono funzioni dannose. Proteggersi non richiede competenze tecniche particolari, ma qualche abitudine prudente e la conoscenza dei principali segnali d'allarme.
Che cosa può fare un'app malevola
Le applicazioni dannose possono comportarsi in modi molto diversi. Alcune mostrano pubblicità invasive in continuazione, anche fuori dall'app stessa. Altre raccolgono dati personali come contatti, posizione e messaggi e li inviano a server esterni. Altre ancora attivano abbonamenti a servizi a pagamento senza che l'utente se ne accorga. Le più pericolose sono i cosiddetti trojan bancari, che si travestono da applicazioni comuni e, una volta installati, cercano di sottrarre le credenziali dell'home banking, di intercettare i codici di verifica inviati via sms o di prendere il controllo del dispositivo sfruttando funzioni pensate per altri scopi. Esistono infine gli spyware, programmi capaci di spiare attività, conversazioni e spostamenti.
Scaricare solo dagli store ufficiali
La prima regola è installare le applicazioni soltanto dai negozi ufficiali: Google Play per i telefoni Android e l'App Store per gli iPhone. Questi negozi effettuano controlli sulle app pubblicate e rimuovono quelle che risultano dannose. Non sono infallibili, e di tanto in tanto qualche applicazione malevola riesce a superare i filtri, ma il rischio è molto inferiore rispetto a quello che si corre scaricando file da siti sconosciuti, da link ricevuti via messaggio o da pagine che promettono versioni gratuite di app a pagamento.
Sui telefoni Android è possibile installare app anche al di fuori del Play Store, attraverso file di installazione con estensione apk. È una funzione legittima, ma è anche uno dei canali preferiti dai truffatori, che inviano sms o messaggi su WhatsApp fingendosi corrieri, banche o enti pubblici e invitano a scaricare un'applicazione da un link. Il consiglio è di non autorizzare l'installazione da origini sconosciute e di diffidare sempre di chi chiede di installare un'app per risolvere un problema, sbloccare un pacco o verificare un conto.
Guardare con attenzione prima di installare
Anche all'interno degli store ufficiali vale la pena dedicare qualche secondo a un controllo. Il nome dello sviluppatore deve corrispondere a quello dell'azienda che si sta cercando: le app false imitano spesso nome e icona di servizi famosi, con piccole differenze. Il numero di download e le recensioni danno un'indicazione utile, anche se va ricordato che le valutazioni possono essere gonfiate: meglio leggere i commenti più recenti, soprattutto quelli negativi, che segnalano eventuali problemi. La data di pubblicazione e quella dell'ultimo aggiornamento, la qualità della descrizione e la presenza di errori grossolani nei testi sono altri indizi da non trascurare.
I permessi: il segnale più importante
Ogni applicazione, per funzionare, chiede accesso ad alcune funzioni del telefono: fotocamera, microfono, posizione, contatti, archivio, messaggi. Il punto è valutare se le richieste siano coerenti con lo scopo dell'app. Una torcia che chiede di leggere i contatti, una calcolatrice che vuole accedere agli sms, un gioco che pretende la posizione precisa in ogni momento sono campanelli d'allarme.
Particolare attenzione meritano le richieste di accesso ai servizi di accessibilità sui telefoni Android. Queste funzioni sono pensate per aiutare le persone con disabilità, ad esempio leggendo ad alta voce i contenuti dello schermo, ma permettono di vedere e controllare quasi tutto ciò che accade sul dispositivo. Molti trojan bancari le sfruttano proprio per questo. Un'app che non ha un motivo evidente per chiederle non dovrebbe ottenerle. Lo stesso vale per le richieste di diventare amministratore del dispositivo o di mostrarsi sopra le altre applicazioni.
Sia Android sia iOS consentono di controllare in qualsiasi momento i permessi concessi, dalle impostazioni del telefono, e di revocarli. È una verifica che vale la pena fare periodicamente, eliminando anche le applicazioni che non si usano più.
Aggiornamenti e protezioni integrate
Mantenere aggiornati il sistema operativo e le applicazioni è fondamentale. Gli aggiornamenti non portano soltanto nuove funzioni, ma correggono vulnerabilità che potrebbero essere sfruttate da programmi malevoli. Conviene attivare gli aggiornamenti automatici e, quando un telefono non riceve più aggiornamenti di sicurezza dal produttore, tenere presente che diventa progressivamente più esposto.
I sistemi moderni includono anche protezioni integrate. Sui telefoni Android, Google Play Protect analizza le app installate e segnala quelle sospette: va lasciato attivo. È utile inoltre proteggere il telefono con un codice di sblocco robusto o con il riconoscimento biometrico, e attivare la verifica in due passaggi sugli account più importanti, come posta elettronica, social network e servizi bancari, preferendo quando possibile le app di autenticazione o le notifiche dell'app ufficiale rispetto agli sms.
I segnali che qualcosa non va
Alcuni sintomi possono indicare la presenza di un'app malevola: la batteria che si scarica molto più in fretta del solito, il consumo di dati mobili insolitamente elevato, il telefono che si surriscalda senza motivo, finestre pubblicitarie che compaiono continuamente, applicazioni che non ricordiamo di aver installato, addebiti sconosciuti sul credito telefonico o sull'estratto conto. Singolarmente questi segnali possono avere altre spiegazioni, ma meritano un controllo.
In caso di sospetto, il primo passo è disinstallare le app recenti o sconosciute e revocare i permessi sospetti. Se un'app impedisce la propria rimozione, può essere necessario toglierle prima i privilegi di amministratore dalle impostazioni o, nei casi più gravi, ripristinare il telefono alle condizioni di fabbrica dopo aver salvato i dati importanti. Se si teme che siano state sottratte credenziali, è importante cambiare subito le password dei servizi principali da un altro dispositivo sicuro e, per qualsiasi sospetto che riguardi conti o carte, contattare immediatamente la propria banca attraverso i canali ufficiali.
La prudenza resta la difesa migliore
La maggior parte degli attacchi sfrutta la fretta e la fiducia delle persone più che sofisticate falle tecniche. Un messaggio urgente, un'offerta troppo bella per essere vera, un link che promette di risolvere un problema: sono queste le esche più comuni. Fermarsi un attimo prima di installare, leggere i permessi richiesti e scaricare solo da fonti affidabili sono gesti semplici che riducono drasticamente il rischio e permettono di usare lo smartphone con maggiore tranquillità.