Il telefono è spiato? Come si accerta, e come si prova
Il sospetto di essere sorvegliati attraverso il proprio telefono è una delle ragioni più frequenti per cui si cerca un tecnico forense — e una di quelle in cui internet dà i consigli peggiori. Conviene separare tre piani: i segnali, che quasi mai dimostrano qualcosa; l'accertamento, che è un lavoro preciso; e la prova, che ha regole sue e si distrugge con facilità.
I segnali: che cosa vale e che cosa no
La lista canonica — batteria che si scarica, dispositivo caldo, traffico dati anomalo, fruscii in chiamata — è quasi inutilizzabile: ciascuno di quei sintomi ha dieci spiegazioni innocenti per ogni spiegazione maligna, a partire da un aggiornamento di sistema o da una batteria invecchiata. Costruire un sospetto su questa base produce soprattutto ansia.
Meritano invece attenzione i fatti puntuali e verificabili: un avviso di accesso al proprio account da un dispositivo che non si riconosce; sessioni attive che non si ricordano di aver aperto; un profilo di gestione (di quelli usati dalle aziende per amministrare i telefoni dei dipendenti) presente su un dispositivo personale; applicazioni con privilegi profondi — accessibilità, amministrazione del dispositivo — installate in date che coincidono con momenti sospetti; gli avvisi che i sistemi operativi e alcune piattaforme inviano quando riconoscono software di sorveglianza noto. E un criterio esterno alla tecnica: qualcuno mostra di sapere cose che poteva sapere solo dal telefono. Nella pratica è spesso il segnale più attendibile di tutti.
Come si finisce sorvegliati, in pratica
Il mercato della sorveglianza domestica — i cosiddetti stalkerware — non usa tecniche da servizi segreti. Usa l'accesso fisico al telefono: pochi minuti con il dispositivo sbloccato bastano a installare un'applicazione che si nasconde e riferisce. Oppure usa le credenziali: chi conosce la password dell'account cloud del partner non ha bisogno di toccare il telefono, perché backup, posizioni, foto e talvolta messaggi si consultano comodamente da un browser. Una parte consistente dei «telefoni spiati» è in realtà questo: un account condiviso troppo a lungo, o una password che l'altro conosce.
Questa distinzione — dispositivo compromesso o account acceduto — cambia l'accertamento, la prova e perfino il rimedio. Ed è una delle prime cose che un esame serio deve stabilire.
In che cosa consiste l'accertamento
Un accertamento tecnico non è «passare l'antivirus». Si parte fissando lo stato del dispositivo con un'acquisizione, per lavorare su una copia e non sull'originale; poi si esaminano, con metodo, gli strati in cui la sorveglianza lascia tracce: le applicazioni installate e i loro pacchetti, i profili di configurazione, i permessi concessi e la loro cronologia, i processi e i servizi, i registri diagnostici del sistema, il comportamento di rete del dispositivo osservato in condizioni controllate. Molti prodotti commerciali di sorveglianza sono catalogati e riconoscibili; per il resto si procede per anomalie ed esclusione.
Due avvertenze oneste. La prima: su un telefono moderno non tutto è ispezionabile dall'esterno, e l'esito «nessuna traccia trovata» non equivale a «nessuna sorveglianza mai esistita» — un accertamento serio dichiara i propri limiti. La seconda: la verifica va fatta prima di qualunque pulizia, perché ogni reinizializzazione riporta il dispositivo allo stato di fabbrica e cancella, insieme allo spyware, ogni possibilità di dimostrarne l'esistenza.
Dalla scoperta alla prova
Trovare non basta: bisogna poter dimostrare. Installare software di sorveglianza sul telefono di un'altra persona integra, a seconda dei casi, reati anche gravi — dall'accesso abusivo al sistema informatico all'intercettazione illecita — e i risultati dell'esame possono sostenere una denuncia o una causa. Ma valgono le regole di tutta la prova digitale: ciò che si è trovato va legato al dispositivo con un'acquisizione documentata, verbali delle operazioni e verifiche di integrità, secondo il metodo della copia forense. Uno screenshot dell'applicazione sospetta, fatto di fretta prima di resettare il telefono, è poco più di un ricordo.
Conta anche il contesto: date di installazione da mettere in relazione con chi aveva accesso al dispositivo, credenziali cambiate o meno, accessi all'account da indirizzi riconducibili. È il lavoro di ricostruzione che trasforma un reperto tecnico in un fatto raccontabile in un atto.
La bonifica, al momento giusto
L'ordine corretto delle operazioni
- Prima si documenta: acquisizione dello stato del dispositivo, inventario di ciò che vi è installato, verbale.
- Poi si mette in sicurezza: cambio delle password da un dispositivo diverso e sicuro, verifica delle sessioni attive e dei dispositivi collegati agli account, autenticazione a due fattori.
- Solo alla fine si bonifica: reinizializzazione completa, reinstallazione manuale delle sole applicazioni necessarie, senza ripristinare il backup integrale che potrebbe riportare a bordo il problema.
Un'ultima considerazione, non tecnica. Se il sospetto nasce dentro una relazione difficile, la sicurezza personale viene prima della prova: nei casi seri esistono centri e professionisti a cui rivolgersi, e la strategia — anche quella tecnica — va coordinata con il proprio legale prima di fare mosse che avvisino chi sorveglia.
Dispositivi mobili: come intervengo → · Torna agli approfondimenti