Lo smartphone è la chiave di tutto il resto: come proteggerlo
Pubblicato il 28 gennaio 2016, riscritto integralmente il 22 agosto 2026.
Lo smartphone che hai in tasca non è un telefono: è la chiave di tutto il resto. La posta, la banca, i documenti, le foto, e soprattutto il codice che serve a recuperare qualunque altra password. Chi entra lì dentro non ha rubato un oggetto da qualche centinaio di euro: ha in mano la tua identità.
Questo articolo l’avevo scritto dieci anni fa, e riscriverlo è stato istruttivo: metà dei consigli di allora oggi non serve più, e le cose che contano davvero nel 2016 quasi non esistevano.
Prima di tutto: il blocco dello schermo
È la misura più noiosa e la più importante di tutte, perché è l’unica che sta fra chi trova il tuo smartphone e tutto quello che c’è dentro.
- Un codice di almeno sei cifre, meglio se alfanumerico. Non la data di nascita, non l’anno del matrimonio, non 123456 — e nemmeno il classico schema a L sul reticolo Android, che si legge dalle ditate sullo schermo.
- Impronta o volto sono comodi, non sostitutivi. Sbloccano più in fretta, ma sotto c’è sempre il codice: se quello è debole, il resto non conta.
- Blocco automatico dopo poco tempo. Uno smartphone sbloccato appoggiato sul tavolo di un bar è uno smartphone aperto a chiunque.
- Nascondi le anteprime delle notifiche a schermo bloccato. Altrimenti il codice che la banca ti manda via SMS si legge senza sbloccare niente.
Quest’ultimo punto è quello che sorprende sempre, e viene prima di qualunque discorso sugli antivirus.
Che cosa fare adesso, in caso di furto
Vale la pena prepararsi prima, perché nel momento in cui succede sei senza il tuo strumento principale.
- Attiva la localizzazione del dispositivo: Dov’è su iPhone, Trova il mio dispositivo su Android. Permettono di bloccare e cancellare il dispositivo a distanza.
- Annota il codice IMEI (si ottiene digitando
*#06#) e tienilo da qualche altra parte: serve per la denuncia e per il blocco. - Se lo perdi: blocca subito la SIM chiamando l’operatore, blocca il dispositivo a distanza, cambia le password dei servizi principali da un altro apparecchio partendo dalla posta, e sporgi denuncia — anche online, al Commissariato di P.S. online.
L’ordine conta: prima la posta elettronica, perché da lì si recuperano tutte le altre password. È il punto da cui si ricostruisce ogni cosa, in bene e in male.
Il numero di telefono è diventato un documento
C’è un attacco che dieci anni fa non esisteva e oggi vedo con regolarità: la sostituzione della SIM.
Funziona così: qualcuno raccoglie i tuoi dati — spesso già circolanti dopo una qualunque violazione — si presenta come te e chiede il trasferimento del tuo numero su una nuova scheda. Da quel momento i codici di verifica che la banca invia via SMS arrivano a lui. Non serve nessuna competenza tecnica: serve convincere un operatore allo sportello.
È il motivo per cui la verifica in due passaggi via SMS è la più debole di tutte. Meglio che niente, ma dove puoi scegliere usa un’applicazione di autenticazione o una chiave fisica. E se lo smartphone perde improvvisamente la linea senza motivo, in una giornata qualunque, non dare per scontato che sia un guasto della rete: chiama subito l’operatore da un altro apparecchio.
Le applicazioni e i loro permessi
Questa parte del consiglio del 2016 è ancora valida, e anzi lo è di più.
Installa dai negozi ufficiali e diffida delle installazioni «laterali», i file che qualcuno ti manda o che un sito ti propone di scaricare direttamente: su Android è la via d’ingresso più usata dai programmi malevoli.
Ma soprattutto guarda cosa chiede un’applicazione rispetto a cosa fa. Una torcia che vuole i contatti, un gioco che vuole il microfono, un’app per le note che vuole la posizione: non è un dettaglio tecnico, è il modello di business. Su entrambi i sistemi si può concedere l’accesso alla posizione «solo mentre uso l’app» o una volta sola, ed è quasi sempre la scelta giusta.
Ogni tanto, mezz’ora ben spesa: apri l’elenco delle applicazioni installate e disinstalla quelle che non usi da un anno. Meno cose ci sono, meno cose possono andare storte.
Le cose che nel 2016 dicevo e oggi non direi più
Le elenco perché è utile sapere anche cosa non serve: gran parte dei consigli sulla sicurezza invecchia senza che nessuno lo dica.
| Si diceva | Oggi |
|---|---|
| «Controlla che il sito usi HTTPS» | ormai lo usano tutti, compresi i siti fraudolenti: il lucchetto dice che la connessione è cifrata, non che dall’altra parte ci sia gente onesta. Guarda l’indirizzo, non il lucchetto |
| «Non usare il wi-fi pubblico» | meno rischioso di una volta, perché il traffico è cifrato quasi sempre. Ma la rete vede comunque dove vai e può manipolare le risposte: la risposta giusta non è evitarlo, è usarci sopra una VPN |
| «Installa un antivirus sullo smartphone» | cercare virus non è più il punto: sullo smartphone la minaccia sono i collegamenti truffa, i permessi eccessivi e i programmi spia. Gli strumenti seri di oggi fanno esattamente quello — ne parlo qui sotto |
| «Non salvare le password sullo smartphone» | al contrario: un buon gestore di password è la cosa migliore che puoi fare. Il problema non era salvarle, era salvarle in chiaro in un file di note |
Due strumenti che invece consiglio
Ho appena scritto che l’antivirus per smartphone nel senso classico serve a poco. Vale la pena spiegare cosa metto al suo posto, perché non è la stessa cosa con un altro nome.
Una VPN sulle reti che non sono tue. Il motivo non è più quello del 2016. Il traffico oggi è cifrato quasi sempre, quindi nessuno legge il contenuto di quello che fai. Ma chi gestisce la rete vede comunque quali servizi contatti, può dirottare le risposte del sistema dei nomi verso pagine che non sono quelle vere, e nei portali di accesso — quelli che ti chiedono di accettare le condizioni per navigare — può infilare cose che non hai chiesto. Una VPN chiude tutto questo: dallo smartphone esce un unico canale cifrato e la rete dell’albergo, dell’aeroporto o del bar non vede più nulla.
Serve soprattutto in due situazioni: quando ti colleghi a una rete che non controlli, e quando su quella rete accedi ai dati dell’azienda. Nel secondo caso, in molte aziende, non è un consiglio ma una regola.
Un gestore di password, sempre. È la singola cosa che migliora di più la sicurezza di una persona normale, e l’ho già detto qui sopra: il problema non era mai stato salvare le password, era salvarle in chiaro dentro una nota. Un gestore le tiene cifrate, ne genera di diverse per ogni servizio, le riempie da solo — e siccome le riempie solo sul sito giusto, ti protegge anche dalle pagine false, che è un effetto collaterale che quasi nessuno considera.
Entrambi li usiamo e li forniamo ai clienti in Dottor Marc, insieme a una protezione per dispositivi mobili che non si limita a cercare virus: blocca i collegamenti truffa prima che si aprano, segnala le applicazioni che chiedono permessi che non c’entrano con quello che fanno e riconosce i programmi spia di cui parlo più avanti. Sono le tre cose che sullo smartphone contano davvero, e sono anche quelle che la protezione integrata copre peggio.
Quello che invece è peggiorato
Gli aggiornamenti restano decisivi, ma con una differenza: gli smartphone hanno una scadenza. Quando il produttore smette di distribuire aggiornamenti — e su molti modelli economici succede dopo due o tre anni — quello smartphone continua a funzionare ma non viene più corretto. Se ci tieni la posta e la banca, è un problema, ed è una cosa da valutare al momento dell’acquisto più che dopo.
I messaggi truffa si sono spostati qui. SMS del corriere, avvisi di consegna, messaggi da numeri sconosciuti su WhatsApp, il classico «ciao mamma, ho cambiato numero». Sullo smartphone si legge tutto più in fretta e con meno attenzione, e gli indirizzi dei collegamenti sono più difficili da verificare che su un computer. Le contromisure sono le stesse di sempre, e le ho messe in fila in riconoscere un messaggio falso.
Un capitolo di cui si parla poco: i programmi spia installati da chi ti sta vicino. Esistono applicazioni pensate per controllare posizione, messaggi e chiamate di un’altra persona, e vengono installate quasi sempre da qualcuno che ha avuto lo smartphone in mano per qualche minuto. Se sospetti qualcosa, i segnali sono la batteria che si esaurisce senza motivo, lo smartphone caldo da fermo, applicazioni che non ricordi di aver installato. È una situazione delicata anche fuori dall’informatica: se ti riguarda, parlane con qualcuno prima di toccare il dispositivo.
E i dati che ci tieni sopra
Un’ultima cosa, che riguarda l’altro modo di perdere tutto: lo smartphone che cade, si bagna o semplicemente smette di accendersi.
Le foto e i messaggi di anni stanno lì e da nessun’altra parte. La copia automatica sul cloud è attiva e funzionante? L’ultima volta che è andata a buon fine è ieri o è due anni fa? Vale quello che vale per i computer: una copia che nessuno ha mai verificato non è una copia.
Se in casa ci sono ragazzi, lo stesso dispositivo pone un problema diverso: non sanno usarlo meno di te, ma saper usare non è saper valutare.
Per approfondire il quadro normativo su come vengono trattati i tuoi dati, il Garante per la protezione dei dati personali pubblica materiale divulgativo fatto bene e in italiano.
Lascia un commento