Spyware sul telefono: chi è davvero a rischio, segnali e difese

La parola «spyware» copre cose molto diverse, e chi mescola i casi sbaglia difesa. Chi teme di essere spiato da un governo spesso trascura il telefono lasciato sbloccato sul tavolo; chi ha un partner o un ex ossessivo spesso non sa che il problema è già qui, in un’app che sembra innocua.

Tre cose diverse con lo stesso nome

La Coalition Against Stalkerware definisce lo stalkerware come strumenti che permettono di spiare di nascosto la vita privata di un’altra persona attraverso il suo dispositivo mobile: funzionano in background, senza che la persona lo sappia e senza il suo consenso, e chi li ha installati può controllare il dispositivo a distanza.

Che cosa è emerso dal caso Paragon

Il caso più documentato in Italia è quello dello spyware Graphite, prodotto dall’azienda israeliana Paragon. Nel giugno 2025 il Citizen Lab dell’Università di Toronto ha pubblicato la prima conferma forense che due giornalisti, uno europeo rimasto anonimo e uno italiano, erano stati presi di mira con Graphite sui loro iPhone. Che cosa dice il rapporto, in sintesi:

• Il 29 aprile 2025 Apple aveva avvisato un gruppo selezionato di utenti iOS di essere stati bersaglio di spyware avanzato, e i due giornalisti avevano ricevuto l’avviso quello stesso giorno.
• Per il giornalista europeo il telefono risultava compromesso tra gennaio e inizio febbraio 2025 con un attacco «zero-click» tramite iMessage: il Citizen Lab ritiene che l’infezione non sarebbe stata visibile alla vittima. Per il giornalista italiano compare nei registri del telefono lo stesso account iMessage usato dall’attaccante, e da questo il Citizen Lab deduce che a colpire entrambi sia stato lo stesso cliente dello spyware.
• Il telefono del giornalista europeo usava iOS 18.2.1. Apple ha detto di aver corretto la vulnerabilità con iOS 18.3.1, uscito il 10 febbraio 2025, e le ha assegnato l’identificativo CVE-2025-43200.
• Il direttore della testata del giornalista italiano aveva ricevuto già a gennaio 2025 un avviso da WhatsApp di essere stato preso di mira con lo stesso spyware; il Citizen Lab non aveva però confermato forensicamente un’infezione sul suo telefono.

La lezione pratica è concreta: la falla è stata chiusa con un aggiornamento, e chi lo installa subito esce da quella specifica minaccia. Nessuno è al sicuro dagli attacchi ancora sconosciuti, ma una parte consistente del rischio sparisce con aggiornamenti tempestivi.

Chi è davvero a rischio

Apple lo scrive in modo esplicito: la Modalità Isolamento è pensata per un numero molto ridotto di persone che potrebbero essere bersaglio personale di attacchi molto sofisticati, e «la maggior parte delle persone non è mai bersaglio di attacchi di questo tipo». I profili tipici sono giornalisti, attivisti, avvocati, politici, dirigenti con accesso a informazioni sensibili e persone che si occupano di diritti umani.

Se non ti riconosci in uno di questi profili, la tua attenzione va soprattutto al secondo e al terzo caso della tabella, che sono molto più comuni.

Stalkerware e controllo da parte di una persona vicina

Il caso tipico non ha nulla di tecnico: qualcuno conosce il tuo codice di sblocco, ha usato il telefono quando eri distratto, conosce la password dell’account o ti ha regalato un dispositivo già configurato. Poi installa un’app che registra ciò che fai, o accede al tuo account da un altro dispositivo e legge i messaggi, la posizione, le foto.

Segnali che meritano attenzione, da valutare insieme e mai da soli:

• Qualcuno conosce cose che hai detto solo per messaggio o che hai fotografato.
• Compaiono app che non hai installato, o con nomi generici come «servizio di sistema».
• Nelle impostazioni di sicurezza dell’account ci sono dispositivi, sessioni o indirizzi di recupero che non riconosci.
• Il telefono è stato fuori dalla tua vista con qualcuno che conosce il codice.
• Le impostazioni di sicurezza sono state cambiate senza che tu l’abbia fatto.

Apple ha una guida dedicata, la Personal Safety User Guide, che spiega come rivedere chi ha accesso ai tuoi dati e ai tuoi dispositivi e come interrompere le condivisioni: su iPhone con iOS 16 o successivo, lo strumento Controllo di sicurezza (Safety Check) permette di cambiare rapidamente ciò che condividi.

Segnali veri e segnali falsi

Molti segnali che si leggono online non dicono nulla: una batteria che scende, un telefono caldo, un rumore in chiamata, un riavvio improvviso hanno quasi sempre cause comuni, come app pesanti, rete debole, aggiornamenti in corso. Contano di più le tracce che riguardano l’accesso:

• Vero segnale: dispositivi o sessioni sconosciuti sull’account, app che non hai installato, impostazioni di sicurezza modificate, una notifica di minaccia del produttore.
• Segnale debole: consumo di batteria, calore, lentezza.
• Mito: il telefono non si «accende da solo» perché qualcuno ti ascolta; la sorveglianza di questo tipo passa quasi sempre per un’app o per un account.

Notifiche di minaccia e Modalità Isolamento di Apple

Apple avvisa le persone che ritiene possano essere state prese di mira individualmente da spyware mercenario, probabilmente per chi sono o per ciò che fanno. L’avviso compare sulla schermata di blocco e nelle Impostazioni, arriva via email da Apple Threat Notifications e compare come banner sul sito dell’account Apple dopo l’accesso. Apple li descrive come avvisi ad alta affidabilità, e precisa che le indagini non possono mai dare certezza assoluta e che non spiega che cosa li fa scattare. Raccomanda di attivare la Modalità Isolamento, di rivolgersi a un supporto esperto come la Digital Security Helpline di Access Now, di tenere i dispositivi aggiornati e di usare passkey o password solide. Ricorda inoltre che Apple non chiede mai link, password o codici di verifica per email o per telefono: per verificare un avviso, accedi direttamente al tuo account.

La Modalità Isolamento (Lockdown Mode) è una protezione facoltativa ed estrema che riduce ciò che il telefono può fare, per diminuire la superficie d’attacco. Secondo Apple:

• In Messaggi la maggior parte degli allegati è bloccata e le anteprime dei link non funzionano.
• La navigazione web blocca tecnologie complesse, quindi alcuni siti vanno più lenti o non funzionano.
• Le chiamate FaceTime in arrivo sono bloccate se non hai chiamato quella persona negli ultimi 30 giorni.
• Per collegare accessori o computer il dispositivo deve essere sbloccato.
• Non si possono installare profili di configurazione né iscrivere il dispositivo a un sistema di gestione aziendale.
• Si attiva su ogni dispositivo separatamente, da Impostazioni, Privacy e sicurezza.

Chiamate, messaggi di solo testo e funzioni di emergenza restano disponibili. Il costo è la comodità: per questo è pensata per chi ha motivi concreti di temere un attacco mirato, non per tutti.

Se per il tuo lavoro puoi essere un bersaglio

1. Aggiorna subito, dal momento in cui esce un aggiornamento di sicurezza.
2. Valuta la Modalità Isolamento e l’uso di un dispositivo dedicato alle attività più delicate.
3. Non toccare il telefono dopo un avviso grave. Un ripristino di fabbrica cancella anche le tracce che permetterebbero di capire che cosa è successo. Prima, chiedi aiuto.
4. Contatta la Digital Security Helpline di Access Now: è gratuita, attiva 24 ore su 24, offre assistenza anche in italiano e risponde alle richieste entro due ore. Si rivolge a società civile, media, giornalisti e difensori dei diritti umani, con una verifica preliminare.
5. Conserva le prove: schermate dell’avviso, data e ora, versione del sistema.
6. Per tecnici e laboratori: il Mobile Verification Toolkit, sviluppato dal Security Lab di Amnesty International, permette un’analisi forense consensuale dei dispositivi iOS e Android alla ricerca di tracce di compromissione. È uno strumento per specialisti: un esito negativo non prova l’assenza di compromissioni.

Per le aziende

• Individua le persone ad alto rischio: dirigenti, chi tratta operazioni straordinarie, chi ha accesso ad ampie basi di dati, chi gestisce relazioni con le autorità.
• Imposta aggiornamenti automatici e un limite di tempo entro cui un dispositivo non aggiornato perde l’accesso ai dati aziendali.
• Per i telefoni con dati sensibili, prevedi un sistema di gestione dei dispositivi e un modo per cancellarli da remoto.
• Distingui i dispositivi personali dai dispositivi di lavoro e le chat personali da quelle aziendali, come nella guida sulla messaggistica.
• Scrivi che cosa fa chi riceve un avviso del produttore: a chi lo segnala, quali dispositivi isola, chi può chiedere assistenza esterna.

Domande frequenti

Fonti

• Citizen Lab, Graphite Caught: First Forensic Confirmation of Paragon’s iOS Mercenary Spyware Finds Journalists Targeted (giugno 2025)
• The Hacker News, Apple Zero-Click Flaw in Messages Exploited in Paragon Spyware Attacks (giugno 2025)
• Apple, Informazioni su Modalità Isolamento (Lockdown Mode)
• Apple, About Apple threat notifications and protecting against mercenary spyware
• Apple, Personal Safety User Guide
• Access Now, Digital Security Helpline
• Amnesty International Security Lab, Mobile Verification Toolkit (MVT)
• Coalition Against Stalkerware
• Racconti di chi lavora o ha lavorato in questi ambienti: testimonianze, riportate come tali.