In breve
- Oggi il tuo telefono contiene più materiale sensibile del tuo portatile: foto, app bancarie, e-mail, cronologia dei messaggi, documenti d'identità, codici a due fattori. Se perdi il telefono, perdi l'accesso a quasi tutto il resto.
- Due impostazioni fermano quasi ogni attacco comune: un blocco schermo robusto che usi davvero (PIN di almeno sei cifre, non solo la biometria), e gli aggiornamenti di sicurezza automatici attivati.
- I rischi maggiori del 2026 non sono i virus. Sono il furto fisico con il telefono sbloccato, il SIM-swap, le app dannose provenienti da fuori dallo store ufficiale, e le richieste di consenso che hai accettato senza leggere.
- Gli iPhone e gli Android vanno entrambi bene se aggiornati. Usa lo store ufficiale delle app, rifiuta i permessi che non corrispondono allo scopo dell'app, e non installare app da fonti esterne (sideload) a meno che tu non sappia davvero perché.
- Configura Dov'è o Gestione dispositivi prima di perdere il telefono. Esercitati una volta con i passaggi della cancellazione da remoto quando è tutto tranquillo.
Cos'è?
Uno smartphone è un computer personale con cinque sensori che la maggior parte dei portatili non ha — microfono, fotocamere, GPS, accelerometro, scanner biometrico — e una connessione di rete costante. Tutto ciò che può girare su un portatile ora gira su un telefono. Tutto ciò che può essere perso su un portatile può essere perso da un telefono — più in fretta, perché i telefoni stanno in tasca e sono spesso incustoditi.
Tre categorie di rischio:
- Compromissione fisica. Il telefono viene rubato mentre è sbloccato, oppure il PIN viene spiato alle spalle prima del furto. Il ladro ha ora accesso diretto a tutto ciò che c'è dentro.
- Compromissione di rete e account. SIM-swap, app di phishing che sembrano vere app bancarie, falsi aggiornamenti, app dannose installate da fonti esterne. Il telefono resta nella tua mano; l'attaccante è altrove.
- Fuga tramite consenso. Installi un'app torcia che vuole accedere ai tuoi contatti, al microfono e alla posizione. Tocchi « Consenti ». Per due anni vende dove sei e cosa dici. Nessun allarme, nessun furto, solo un lento drenaggio della tua vita privata verso gli inserzionisti e peggio.
Le difese sono ben comprese. La difficoltà è trovare venti minuti per impostarle.
Come riconoscere un problema?
Segnali che il tuo telefono è stato compromesso:
- Un consumo della batteria iniziato all'improvviso senza un aggiornamento software o una nuova app pesante.
- Il telefono è insolitamente caldo quando è inattivo.
- Pop-up o reindirizzamenti del browser che prima non c'erano.
- Nuove app che non hai installato, specialmente con nomi vaghi (« System Helper »).
- L'uso dei dati mobili schizza in alto senza che tu stia guardando nulla in streaming.
- Un « amministratore del dispositivo mobile » o un « profilo » che non hai aggiunto — soprattutto su Android. Controlla Impostazioni → Amministratori dispositivo, oppure su iPhone Impostazioni → Generali → VPN e gestione dispositivi.
- Codici a due fattori che arrivano per account su cui non hai provato ad accedere.
- Amici che chiedono perché hai mandato loro uno strano link.
- L'app bancaria che mostra un « nuovo dispositivo registrato » che non hai aggiunto tu.
- Perdita del servizio mobile senza motivo — potrebbe essere un SIM-swap in corso.
Segnali che hai configurato qualcosa in modo sbagliato (non dannoso, ma esposto):
- Il blocco schermo è « scorri » o un PIN a quattro cifre indovinabile dalle ditate untuose.
- Le notifiche mostrano il contenuto completo dei messaggi sulla schermata di blocco, inclusi i codici a due fattori.
- L'account iCloud o Google è connesso ovunque e non rivedi i dispositivi da un anno.
- App con il permesso di posizione che non usi mai.
Cosa fare?
La configurazione in un'unica sessione, in ordine:
- Aggiorna il sistema operativo. Impostazioni → Aggiornamento software → installa. Riavvia. Se il tuo telefono non riceve aggiornamenti da oltre un anno, è troppo vecchio per essere sicuro; metti in preventivo una sostituzione.
- Imposta un blocco schermo robusto. PIN di almeno sei cifre, idealmente una passphrase alfanumerica. La biometria (impronta, volto) va bene per comodità, ma la biometria può essere legalmente imposta in molte giurisdizioni, mentre i PIN a volte no. Entrambi vanno bene; il PIN deve essere robusto.
- Imposta il blocco automatico sotto il minuto. Impostazioni → Schermo → Blocco automatico (iOS) o le impostazioni della schermata di blocco (Android).
- Nascondi le anteprime dei messaggi sulla schermata di blocco. Un telefono rubato che mostra i tuoi codici 2FA è peggio di un telefono rubato che mostra uno schermo nero.
- Attiva Dov'è (iOS) o Trova il mio dispositivo (Android), inclusa la cancellazione da remoto. Poi esercitati — assicurati di riuscire ad accedere al sito di recupero (icloud.com/find o google.com/android/find) da un altro dispositivo.
- Imposta un PIN per la SIM. Il PIN che protegge la scheda SIM stessa, distinto dallo sblocco del telefono. Senza di esso, un ladro può spostare la tua SIM nel proprio telefono all'istante. Impostazioni → Cellulare / Rete mobile → PIN della SIM.
- Imposta un PIN di portabilità con il tuo operatore. Un secondo PIN che protegge il tuo numero di telefono dal trasferimento. Sui siti degli operatori o con una telefonata. Senza di esso, un attacco SIM-swap funziona.
- Attiva gli aggiornamenti automatici del sistema operativo e delle app nelle impostazioni dell'App Store o del Play Store.
- Rivedi le app installate; disinstalla quelle che non usi davvero. Riduce la superficie d'attacco e i permessi ricorrenti.
- Per ogni app rimanente, rivedi i permessi. Impostazioni → Privacy e sicurezza. Una torcia non ha bisogno dei contatti. Una calcolatrice non ha bisogno del microfono. Revoca in modo ampio; l'app richiederà di nuovo il permesso se ne ha davvero bisogno.
- Accedi al tuo account principale da un computer (icloud.com, google.com) e rivedi ogni dispositivo mostrato. Rimuovi quelli che non riconosci o che non usi più.
- Attiva la 2FA sull'account principale se non è già attiva. Usa un'app di autenticazione, idealmente con sincronizzazione cloud — se perdi il telefono, è il ripristino da cloud dell'app di autenticazione a farti rientrare.
- Fai il backup del telefono — su iCloud o Google One automaticamente, e occasionalmente su un computer come seconda copia.
Quando qualcosa non va:
Pensi che il telefono sia compromesso ma ce l'hai ancora.
- Da un dispositivo diverso, cambia la password del tuo account principale (Apple ID o Google) e attiva o reimposta la 2FA.
- Disconnettiti da ogni altro dispositivo di quell'account.
- Cerca nelle Impostazioni eventuali amministratori del dispositivo o profili che non riconosci; rimuovili.
- Disinstalla qualsiasi app che non ricordi di aver installato.
- Se qualcosa continua a sembrare sbagliato, esegui un ripristino di fabbrica del telefono. Ripristina dal backup più recente fatto prima dell'inizio del problema; se non puoi esserne sicuro, configuralo come nuovo e reinstalla solo ciò che usi davvero.
Il telefono è stato perso o rubato.
- Da qualsiasi altro dispositivo, vai su icloud.com/find (iOS) o google.com/android/find (Android). Contrassegna il dispositivo come smarrito; avvia una cancellazione da remoto se opportuno.
- Chiama il tuo operatore per segnalare la SIM smarrita e chiedere una nuova SIM per te, non per il ladro — conferma la tua identità con il PIN di portabilità impostato in precedenza.
- Disconnettiti da ogni altro dispositivo del tuo account da un computer.
- Cambia le password di e-mail e banca.
- Presenta una denuncia alla polizia; molti paesi la richiedono per le richieste di risarcimento assicurativo, e la segnalazione dell'IMEI a volte può portare al recupero.
SIM-swap in corso (il segnale sparisce senza spiegazione).
- Chiama il tuo operatore da un altro telefono immediatamente.
- Chiama la linea antifrode della tua banca.
- Sposta qualsiasi 2FA via SMS su un'app di autenticazione nel momento in cui riprendi il controllo. La 2FA via SMS è la superficie d'attacco del SIM-swap.
Cosa NON fare
- Non installare app da siti a caso. Le versioni « moddate » di app a pagamento sono il modo in cui si diffonde la maggior parte del malware per Android di livello consumer.
- Non usare le stazioni di ricarica USB pubbliche in aeroporti o hotel senza un blocca-dati. Il « juice jacking » è raro ma reale; un blocca-dati USB da 5 € è un'assicurazione economica, oppure usa semplicemente un caricatore da muro.
- Non accettare le richieste di permesso a raffica. Fermati; chiediti perché l'app ne ha bisogno. Rifiuta se hai dubbi — potrai riconcedere il permesso più tardi.
- Non riutilizzare il PIN del blocco schermo come PIN bancario. Segreti diversi.
- Non condividere il tuo Apple ID o account Google completo con la famiglia. Usa invece la Condivisione in famiglia; ognuno mantiene il proprio account con i vantaggi condivisi.
- Non fidarti delle app antivirus di aziende sconosciute. Molte sono esse stesse raccoglitrici di dati. La sicurezza nativa del sistema operativo è la difesa principale; un antivirus affidabile (Bitdefender, ESET, Sophos) aggiunge uno strato su Android, meno necessario su iOS.
- Non tenere il telefono sbloccato in mano in pubblico. Un ladro che passa di corsa con un telefono sbloccato ha minuti di accesso completo prima che il blocco rientri in funzione.
Usare l'IA per aiutarti
Verificare la tua configurazione attuale:
« Ho un [modello di iPhone / marca e modello di Android] con [versione iOS / versione Android]. Qui sotto c'è l'elenco delle app installate e dei permessi che ho concesso a ciascuna (puoi chiedermi di aggiungere dettagli). Ti chiedo di verificare la mia configurazione e dirmi: (a) le tre app o i tre permessi più rischiosi da revocare, (b) le tre impostazioni che probabilmente non ho attivato ma dovrei, (c) una cosa che sto facendo bene e non dovrei cambiare, e (d) cosa fare il backup prima di qualsiasi ulteriore modifica. »
Pianificare il recupero da un telefono perso:
« Il mio telefono è appena stato perso o rubato. È un [iPhone / Android] con [versione]. Ho accesso a [elenca — portatile, telefono del partner, computer di lavoro]. Guidami attraverso i prossimi 60 minuti passo per passo: cosa contrassegnare come smarrito, cosa cancellare da remoto, quali account mettere in sicurezza per primi, cosa dire al mio operatore, e quali passaggi di denuncia alla polizia contano per l'assicurazione e per proteggere le persone che il ladro potrebbe contattare usando la mia identità. »
Un promemoria: l'IA non conosce i menù specifici della versione attuale del tuo sistema operativo, e i menù di Android variano da produttore a produttore. Usa l'IA per pianificare; verifica ogni passaggio nelle impostazioni del dispositivo stesso o sulla pagina di supporto del produttore.
Chi chiamare?
L'ordine: operatore per la SIM e la protezione del numero, la piattaforma (Apple o Google) per il recupero dell'account, banca se si sta muovendo del denaro o se sono memorizzate delle carte, polizia per furto e frode grave.
Trovare i contatti più recenti per il tuo paese con l'IA:
« Sono in [il tuo paese] e uso [iPhone / Android]. Elenca i canali ufficiali per gli incidenti di sicurezza dello smartphone — la linea antifrode / telefono smarrito del mio operatore (indica i principali operatori di questo paese), il supporto Apple o il recupero dell'account Google, l'ente nazionale di segnalazione del cybercrimine, l'autorità per la protezione dei dati per spyware o tracciamento non autorizzato, e il registro dei furti di cellulari della polizia locale se esiste. Per ognuno, fornisci il sito ufficiale e il numero di telefono pubblico. Dimmi quale chiamare per primo a seconda che (a) il telefono sia stato rubato ed è acceso, (b) la SIM sia stata sostituita, (c) sia stato installato uno spyware, oppure (d) le credenziali bancarie siano a rischio. Cita ogni fonte. Segnala tutto ciò che potrebbe essere obsoleto. »
Un breve elenco curato:
- Supporto Apple — apple.com/support; segnala il dispositivo come smarrito tramite icloud.com/find.
- Recupero account Google — accounts.google.com/signin/recovery; cancellazione del dispositivo smarrito tramite google.com/android/find.
- Italia — Polizia Postale (commissariatodips.it).
- Svizzera (IT) — Centro nazionale per la cybersicurezza (ncsc.admin.ch).
Quando escalare oltre la chat
- Il telefono è sparito e la banca è a rischio attivo — prima la linea antifrode della banca, poi l'operatore, poi il sito per trovare il dispositivo. In quest'ordine.
- Sospetti uno spyware — soprattutto da parte di un ex partner o di un familiare abusante. Questo è il territorio dello stalkerware; il dispositivo potrebbe aver bisogno di un ripristino completo, e la dimensione della sicurezza personale potrebbe richiedere una linea di aiuto contro la violenza domestica prima di qualsiasi passaggio tecnico.
- Il telefono di tuo figlio è stato compromesso e ha ricevuto messaggi preoccupanti — il recupero tecnico è un binario; la conversazione su cosa è stato inviato o condiviso è quella più importante. Vedi l'articolo Sicurezza dei minori online.
- Telefono di lavoro con dati sensibili — avvisa subito l'IT. Potrebbero esserci obblighi di cancellazione da remoto e di segnalazione dell'incidente.
Fonti e letture aggiuntive
- Apple Platform Security Guide — annuale, pubblica
- Google Android Security — white paper, annuale, pubblico
- NIST SP 800-124 — linee guida per la sicurezza dei dispositivi mobili
- EFF Surveillance Self-Defense — sezione smartphone
- Citizen Lab — ricerca pubblicata sullo spyware per dispositivi mobili