Da anni circolano elenchi delle "migliori app spia" con gli stessi nomi, sempre con un link di affiliazione alla fine. Questo testo fa l'opposto: spiega cosa sia questa categoria di software dal punto di vista della sicurezza, perché le aziende di antivirus la considerino una minaccia e cosa succede di solito a chi la acquista.
L'aspetto legale è semplice e si può riassumere in una frase: monitorare il cellulare di un adulto senza il suo consenso è... intrusione nel dispositivo informatico, L'articolo 154-A del Codice penale, punibile con la reclusione da 1 a 4 anni e una multa, viola anche la riservatezza delle comunicazioni garantita dall'articolo 5, comma XII, della Costituzione. Il resto di questo articolo tratta di un argomento che quasi nessuna lista menziona.
Questa categoria ha un nome tecnico: stalkerware.
I programmi progettati per essere eseguiti in modo nascosto sul dispositivo di un'altra persona, raccogliendo messaggi, posizione, chiamate e screenshot, sono classificati dal settore della sicurezza come... software per stalker — a volte chiamato anche software per coniugi. Non si tratta di un soprannome dispregiativo inventato dai critici: è la categoria di rilevamento utilizzata dai prodotti antivirus, che rimuovono questi programmi allo stesso modo in cui rimuovono qualsiasi altro codice dannoso.
Esiste persino una coalizione internazionale, formata da produttori di antivirus e organizzazioni a sostegno delle vittime di violenza domestica, specificamente dedicata all'individuazione e al contrasto di questo tipo di software. Ciò la dice lunga sul contesto in cui viene utilizzato nella pratica.
Perché l'installazione richiede lo smontaggio dei dispositivi di sicurezza?
Gli store ufficiali non accettano app che si nascondono dal dispositivo dell'utente: si tratta di una regola esplicita sia di Google Play che dell'App Store. La conseguenza diretta è che, per installare uno di questi programmi, è necessario uscire dallo store.
Lo schema è sempre simile e ogni passaggio abbatte uno strato di protezione:
- Scarica un file APK da qualsiasi sito web, al di fuori del Play Store.
- Consentire l'installazione da origini sconosciute su Android.
- Disattiva Play Protect, che bloccherebbe l'app.
- Concedere il permesso di accessibilità — lo stesso che ti permette di leggere tutto ciò che appare sullo schermo.
- Concedere il permesso di amministratore del dispositivo, il che rende difficile la disinstallazione.
Sugli iPhone, il processo è ancora più invasivo: in genere richiede le credenziali iCloud della vittima, ovvero il jailbreak. Alla fine, ci si ritrova con due dispositivi con la sicurezza compromessa e un programma con pieno accesso in esecuzione su uno di essi, controllato da un'azienda sconosciuta.
Chi finisce davvero in possesso dei dati?
Questo è il punto che il marketing di queste aziende non mette mai in evidenza. I dati raccolti Non accederanno al tuo cellulare.. I dati vengono caricati sul server dell'azienda e si possono consultare tramite una dashboard. In altre parole, a quel punto il materiale diventa di proprietà dell'azienda.
Il settore ha una pessima reputazione in fatto di attacchi hacker, con la conseguente esposizione dei contenuti delle vittime e dei dati di registrazione di coloro che hanno sottoscritto il servizio: nomi, email e informazioni di pagamento dei clienti sono già emersi in fughe di dati segnalate. Chi ha installato il servizio pensando di ottenere informazioni si è ritrovato a far parte di un database violato.
Il modello di business tipico: abbonamento, promesse esagerate e un sito web che scompare.
In questo mercato si ripetono tre caratteristiche.
Cobrança recorrente
Il modello prevede un abbonamento mensile, semestrale o annuale, con un forte sconto iniziale. Disdire l'abbonamento è solitamente molto più complicato che abbonarsi, e si registrano frequenti segnalazioni di addebiti successivi alla richiesta di disdetta.
Promessa maior que a entrega
Le funzionalità pubblicizzate come "invisibili", "senza accesso al dispositivo" o "solo con un numero di telefono" non esistono. Senza contatto fisico con il dispositivo o senza le credenziali di accesso, l'installazione non è possibile. Chiunque prometta il contrario sta vendendo qualcosa che non manterrà.
Fornecedor que desaparece
Diversi nomi comparsi in elenchi di questo tipo sono semplicemente scomparsi: i siti web erano inattivi o si rifiutavano di connettersi. Poiché il pagamento è anticipato e l'attività è legalmente delicata, non c'è più nessuno a cui sporgere denuncia.
Cosa fare invece
Se devi monitorare un bambino minorenne, esiste uno strumento ufficiale, gratuito e trasparente: su Android, Collegamento alla famiglia Google; Sull'iPhone, il Tempo di utilizzo, già integrate nel sistema. Entrambe consentono di impostare limiti di tempo, controllare l'installazione delle app, filtrare i contenuti e tracciare la posizione, e sono visibili sul dispositivo monitorato, il che le rende legittime.
Se l'esigenza è quella di gestire i dispositivi aziendali, la soluzione risiede in un sistema di gestione dei dispositivi aziendali (DMS), con una politica interna scritta, riconosciuta e firmata dal dipendente, e che limiti l'utilizzo ai soli dispositivi forniti dall'azienda.
Se l'obiettivo è risolvere la sfiducia in una relazione, nessuno di questi strumenti sarà efficace. Trasformano soltanto un problema personale in un problema criminale.
Come capire se qualcosa è stato installato sul tuo dispositivo.
Controlla tre posizioni su Android: autorizzazioni per accessibilità, l'elenco di amministratori di dispositivi ...e app con l'autorizzazione a sovrapporsi ad altri schermi. Tutto ciò che non riconosci merita di essere esaminato. Le app di questo tipo spesso utilizzano nomi di sistema generici per passare inosservate.
Segnali indiretti: batteria che si scarica molto più velocemente del normale, consumo di dati mobili elevato e inspiegabile, surriscaldamento del dispositivo quando è inattivo. Se riscontri uno qualsiasi di questi problemi, cambia le password da un altro dispositivo e abilita la verifica in due passaggi prima di disinstallare il programma.
VEDI DI PIÙ:
- Un'app che scatta una foto a chi ha inserito la password errata sul tuo telefono.
- Applicazione che sblocca il tuo cellulare con la voce
- App sicure per chattare con persone nelle vicinanze.
Il prezzo legale per chi installa
La conversazione di solito verte su chi viene monitorato, ma la responsabilità legale ricade su chi installa il sistema. L'articolo 154-A del Codice Penale disciplina l'accesso non autorizzato al dispositivo informatico di un'altra persona al fine di ottenere, modificare o distruggere dati senza l'autorizzazione del proprietario, e la pena aumenta quando vengono acquisiti contenuti di comunicazioni private o segreti commerciali.
Oltre a ciò, ci sono altri aspetti da considerare. La Carta dei diritti di Internet brasiliana tutela la riservatezza delle comunicazioni, la LGPD (Legge generale sulla protezione dei dati) disciplina i dati personali di terzi e la Costituzione considera inammissibili le prove ottenute illegalmente, il che significa che l'acquisizione, oltre ad essere rischiosa, tende ad essere inutile nei procedimenti legali. In sede civile, è inoltre possibile richiedere un risarcimento per danni morali.
Nel contesto dei conflitti familiari, l'effetto è persino peggiore: la sorveglianza segreta viene spesso interpretata come un comportamento controllante e può nuocere a chi l'ha praticata nelle controversie per l'affidamento dei figli o nelle richieste di provvedimenti cautelari. È un rischio che si paga a lungo per ottenere informazioni che raramente vengono confermate.
Ciò che questi strumenti semplicemente non possono fornire
Escludendo la pubblicità, l'elenco delle limitazioni è lungo. Nessuna di queste soluzioni legge i messaggi protetti da crittografia end-to-end durante la trasmissione, poiché il contenuto esiste in chiaro solo all'interno dei dispositivi di entrambe le estremità. Pertanto, i fornitori si affidano alla registrazione dello schermo o della tastiera, che è fragile, pesante e visibile.
Nessuno di questi sistemi funziona senza accesso fisico al dispositivo o senza le credenziali di accesso dell'utente. Nessuno di essi resiste bene a un aggiornamento di sistema, perché i produttori bloccano proprio i percorsi che utilizzano. E nessuno di essi è in grado di nascondere il consumo aggiuntivo di batteria e dati causato dal costante invio di informazioni.
Inoltre, non è prevista alcuna installazione remota tramite numero di telefono, nonostante quanto suggerito dalle pubblicità. Quando questa è la promessa, il prodotto reale è tutt'altro: un abbonamento ricorrente, la raccolta dei tuoi dati o un software dannoso sul tuo cellulare.
Come proteggere il dispositivo in modo che nessuno possa installare nulla.
La difesa è economica e funziona per tutti, a prescindere dai sospetti. L'idea è di eliminare le tre condizioni necessarie a qualsiasi programma di sorveglianza: pochi minuti con il telefono sbloccato, permessi elevati concessi senza che nessuno se ne accorga e un account protetto solo da una password.
- Utilizza un blocco schermo con password o PIN a sei cifre, non una sequenza di sblocco, che è facile da individuare.
- Non prestare il tuo dispositivo sbloccato, nemmeno per un breve periodo, a chiunque insista per tenerlo tutto per sé.
- Attiva la verifica in due passaggi sui tuoi account principali e nell'app di messaggistica.
- Rivedi mensilmente il menu di accessibilità e l'elenco degli amministratori dei dispositivi.
- Mantieni il sistema aggiornato e Play Protect attivo, con la scansione periodica abilitata.
- Controlla l'elenco dei dispositivi collegati ai tuoi account e disconnetti quelli che non riconosci.
- Nascondi il contenuto delle notifiche sulla schermata di blocco.
Se il sospetto è fondato e sussiste un rischio personale, la procedura migliore è la seguente: non affrontare la persona in questione prima di aver documentato tutto, consultare un legale e valutare la possibilità di cambiare la password da un altro dispositivo, poiché manomettere il proprio telefono potrebbe allertare chi ha installato il malware.
Segnali di truffa aziendale ed errori che le persone commettono quando li cercano.
Questo marketplace ha uno schema ripetitivo. Una pagina con testimonianze generiche, video dimostrativi che non mostrano mai l'installazione vera e propria, una garanzia di rimborso che nessuno può richiedere, assistenza clienti solo tramite messaggi e un prezzo giornaliero pubblicizzato per mascherare l'abbonamento annuale. Quando il cliente si lamenta, il dominio ha già cambiato nome.
- Il pagamento può essere effettuato in criptovaluta, tramite bonifico istantaneo o con carta regalo.
- La protezione del sistema deve essere disabilitata prima dell'installazione.
- Promette di funzionare senza toccare il dispositivo di destinazione, il che è tecnicamente impossibile.
- Sito web privo di identificazione aziendale, indirizzo o rappresentante legale.
- Questo programma richiede l'accesso per motivi di accessibilità, i privilegi di amministratore del dispositivo e l'autorizzazione per installare altre applicazioni.
L'errore fondamentale è credere che esista una scorciatoia tecnica per risolvere un problema relazionale. Nei casi legittimi, come il monitoraggio di un minore, la soluzione risiede in strumenti di supervisione ufficiali, trasparenti e visibili a entrambe le parti, non in un programma nascosto acquistato da un venditore anonimo.
Quali sono le domande più frequenti su questo argomento?
Se for o celular que eu paguei, posso monitorar?
Il pagamento della bolletta non trasferisce la proprietà dei dati della persona che utilizza il dispositivo. Tra adulti, è il consenso che distingue la legittima supervisione dall'invasione della privacy legalmente consentita, anche se la linea telefonica è intestata a te.
É possível descobrir quem instalou?
Non sempre il dispositivo stesso può farlo. Il registro di installazione può indicare la data e l'ora, il che spesso aiuta a ricostruire l'evento, ma attribuire la paternità con valore probatorio è compito di un esperto, non di un'applicazione.
Formatar resolve?
Sì, un ripristino delle impostazioni di fabbrica rimuove quel tipo di programma. L'importante è non ripristinare immediatamente un backup dell'app effettuato mentre il dispositivo era compromesso e cambiare le password in seguito, preferibilmente da un altro dispositivo.
Ferramenta de segurança detecta esse tipo de programa?
Molti sistemi rilevano e classificano questa categoria come applicazione indesiderata. Tuttavia, la revisione manuale da parte degli amministratori dell'accessibilità e dei dispositivi rimane il metodo più affidabile perché non si basa sul rilevamento delle firme.
