Stalkerware e spyware su smartphone: come accertare la presenza di app spia con valore legale

Per accertare la presenza di uno stalkerware o di uno spyware su uno smartphone con valore legale serve una perizia informatica forense. È un'analisi condotta da un consulente di digital forensics che acquisisce il dispositivo con metodi ripetibili, ne garantisce l'integrità con il codice hash, documenta la catena di custodia e produce una relazione tecnica utilizzabile in sede civile e penale. Antivirus, app di controllo e screenshot possono alimentare un sospetto, ma raramente dimostrano chi ha installato il software, quando e quali dati ha sottratto.

Il fenomeno non è marginale. Nel report di Kaspersky sullo stato dello stalkerware 2021 l'Italia risultava seconda in Europa per persone colpite, con 611 casi rilevati. Anche i consulenti forensi osservano più infezioni confermate: secondo un esperto intervistato dal Sole 24 Ore, si è passati da circa 1 telefono infetto su 20 sospetti nel 2020 a 7-8 su 20.

In questa guida trovi le differenze tra stalkerware e spyware, i segnali da osservare su Android e iPhone (e i miti da ignorare), i motivi per cui il fai-da-te può distruggere le prove, le fasi di una perizia forense smartphone, i reati configurabili e cosa fare, passo dopo passo, se sospetti di essere spiato.

Cosa sono stalkerware e spyware: definizioni e differenze

Stalkerware e spyware sono entrambi software di sorveglianza occulta, ma cambiano per chi li usa, per come vengono installati e per quanto è difficile scoprirli. Inquadrare la categoria è il primo passo, perché orienta il metodo di verifica e il tipo di prova da raccogliere.

Tre forme di sorveglianza sullo smartphone

• Stalkerware: app commerciali, spesso vendute come parental control o "monitoraggio dipendenti", installate da chi ha accesso fisico al telefono. Sono tipiche dei contesti di violenza domestica e relazioni di coppia. Leggono SMS e chat WhatsApp, registrano chiamate, tracciano il GPS, attivano microfono e fotocamera.
• Spyware mercenario: strumenti come Pegasus (NSO Group) o Graphite (Paragon), venduti a governi e agenzie, capaci di infettare il telefono con exploit zero-click, senza alcuna interazione della vittima.
• Sorveglianza tramite account: nessuna app installata. Chi conosce le credenziali iCloud o Google accede a backup, foto, posizione e messaggi; oppure collega WhatsApp Web o attiva la condivisione posizione in "Dov'è". È la forma più frequente su iPhone.

Diverso è il captatore informatico (trojan di Stato): è lecito solo se disposto dall'autorità giudiziaria nell'ambito delle intercettazioni.

Stalkerware e spyware a confronto

Come arriva un'app spia sul telefono

• Accesso fisico al dispositivo con il PIN conosciuto o osservato.
• Telefono regalato o "configurato" da un'altra persona.
• Credenziali Apple ID o account Google condivise o sottratte.
• Link di phishing via SMS, email o chat.
• Profili di configurazione o gestione dispositivo (MDM) installati su iPhone.
• File APK installati da origini sconosciute su Android, a volte dopo root o jailbreak.

Stalkerware: come rilevarlo sullo smartphone, segnali e limiti

Nessun segnale, da solo, prova un'infezione: molti stalkerware sono progettati proprio per non dare sintomi. Gli indizi servono a decidere se far analizzare il telefono, non a concludere che sia compromesso. Il segnale più affidabile, spesso, non è tecnico: un'altra persona conosce informazioni che non dovrebbe avere.

Segnali di allarme su Android

• App sconosciute in Impostazioni > App, anche con nomi generici come "System Service" o "Sync".
• App con permessi di Accessibilità o Amministratore dispositivo che non ricordi di aver concesso.
• Google Play Protect disattivato e installazione da origini sconosciute abilitata.
• Consumo di dati in background anomalo per app di sistema o senza icona.
• Batteria che si scarica o telefono caldo a riposo: indizio debole, spesso dovuto ad altre cause.

Segnali di allarme su iPhone

• Profili presenti in Impostazioni > Generali > VPN e gestione dispositivi.
• Dispositivi sconosciuti collegati al tuo Apple ID.
• Persone che vedono la tua posizione in "Dov'è": lo strumento Controllo di sicurezza di iOS mostra cosa condividi e con chi.
• Presenza di app da jailbreak come Cydia o Sileo.
• Backup iCloud attivo con una password nota anche ad altri.

Falsi miti sul telefono spiato

Perché il controllo fai-da-te non basta come prova

Un controllo domestico può confermare un sospetto, ma non produce una prova spendibile in giudizio. Anzi, può compromettere quella che c'è. Due aspetti lo spiegano: il rischio di alterare il dispositivo e il debole valore degli strumenti amatoriali.

Il rischio di cancellare o alterare le prove

• Disinstallare l'app elimina file di configurazione, log e spesso i dati che riconducono a chi la controlla. Uno studio presentato a DFRWS EU 2024 ha trovato credenziali, URL della dashboard o token riferibili all'autore o al fornitore in 20 stalkerware su 30 analizzati.
• Molti servizi segnalano al controllore che il dispositivo è offline o che l'app è stata rimossa: la persona viene messa in allarme e la situazione può degenerare.
• Reset, aggiornamenti e nuove installazioni sovrascrivono dati e tracce utili a datare l'infezione.

Screenshot e report antivirus: un valore probatorio limitato

Uno screenshot è facilmente contestabile: non dimostra la data di installazione, né il flusso dei dati, né l'autore, e manca di hash e catena di custodia. Il report di un antivirus indica una possibile minaccia, ma non è una relazione tecnica forense. In un procedimento la controparte può contestarne l'attendibilità, e senza la copia forense del telefono nessun consulente potrà più verificare il dato originale.

Perizia forense smartphone per spyware: come funziona

La perizia trasforma un sospetto in un fatto documentato e verificabile da terzi. Segue il paradigma della mobile forensics: identificazione, acquisizione, analisi, valutazione e presentazione. Di seguito le fasi operative, gli standard che ne garantiscono la tenuta e i limiti di ciò che può dimostrare.

Le fasi della perizia

1. Colloquio e quesito tecnico: si ricostruiscono cronologia, persone con accesso al telefono e informazioni "trapelate", per definire cosa cercare.
2. Messa in sicurezza: il dispositivo viene fotografato, isolato dalla rete quando opportuno e gestito senza modificarne lo stato.
3. Acquisizione forense: copia logica o del file system con strumenti come Cellebrite UFED, MSAB XRY od Oxygen Forensic, con calcolo del codice hash (ad esempio SHA-256) e verbale delle operazioni.
4. Analisi: app installate e nascoste, permessi, servizi di accessibilità, profili di gestione, database e log di sistema, confronto con gli indicatori di compromissione (IOC) tramite il Mobile Verification Toolkit di Amnesty International, analisi del traffico di rete e verifica degli account cloud collegati.
5. Correlazione: data di installazione, account del controllore, server di destinazione dei dati, coerenza con gli episodi riferiti dalla vittima.
6. Relazione tecnica: metodologia, hash, risultati, limiti e allegati, in forma ripetibile da un altro consulente.

Standard e garanzie che danno valore legale

Cosa può dimostrare la relazione, e cosa no

La relazione può accertare la presenza dello spyware, il suo tipo, la data di installazione, i permessi ottenuti, i dati esfiltrati e la loro destinazione. Spesso emergono anche indizi sull'autore, come l'email dell'account di controllo. L'identità certa di chi ha installato l'app, però, richiede in genere riscontri ulteriori, ad esempio gli accertamenti dell'autorità giudiziaria su pagamenti e server. Per lo spyware mercenario vale un limite in più: l'assenza di IOC noti non esclude un'infezione.

Quadro legale: reati configurabili e uso della perizia

Installare un'app spia sul telefono di un'altra persona senza consenso può integrare più reati contemporaneamente. La perizia forense fornisce la base tecnica per dimostrarli e per far valere i propri diritti in sede penale e civile.

I reati più frequenti

Il monitoraggio occulto è spesso solo un tassello. Quando si accompagna a messaggi insistenti, pedinamenti o minacce, può configurarsi il reato di stalking e atti persecutori, e la relazione forense diventa uno degli elementi che documentano la sistematicità delle condotte. La tutela della riservatezza vale anche se il telefono è intestato a chi ha installato l'app o a entrambi i partner. A ciò si aggiungono le violazioni del GDPR e il diritto al risarcimento del danno.

Come si usa la relazione tecnica

• Denuncia-querela: allegata all'atto, rende circostanziato il fatto. Alcuni reati richiedono la querela entro termini precisi, quindi conviene muoversi presto.
• Consulenza tecnica di parte nel procedimento penale, a supporto dell'avvocato.
• Separazione e affidamento: documenta condotte di controllo rilevanti per l'addebito e per le decisioni sui figli.
• Contesto aziendale: dispositivi di manager e dipendenti compromessi a scopo di spionaggio industriale.

Cosa fare se sospetti un'app spia: guida passo passo

L'ordine delle azioni conta quanto le azioni stesse. Prima si protegge la persona, poi la prova, infine si elimina la minaccia.

Le azioni da compiere, nell'ordine

1. Non disinstallare, non resettare e non aggiornare il telefono sospetto.
2. Usa un dispositivo sicuro (un altro telefono o un computer non condiviso) per cercare aiuto e comunicare.
3. Non affrontare la persona sospettata prima di avere un piano e le prove al sicuro.
4. Tieni un diario degli episodi: date, informazioni che l'altro non poteva conoscere, comportamenti anomali del telefono.
5. Se temi per la tua incolumità, contatta il 112 o il 1522, il numero antiviolenza e stalking.
6. Affida il dispositivo a un consulente di digital forensics per la perizia.
7. Solo dopo l'acquisizione forense procedi alla bonifica, al cambio delle password e all'attivazione dell'autenticazione a due fattori.

Perizia forense e bonifica: due interventi diversi

Le bonifiche telefoniche di cellulari servono a eliminare la minaccia e a ripristinare la riservatezza del dispositivo; la perizia serve a documentarla. Invertire l'ordine significa spesso perdere la prova.

In Phersei, agenzia investigativa con autorizzazione prefettizia, il team di Digital Forensics gestisce entrambi i momenti in sequenza: prima acquisizione e relazione tecnica con valore giuridico, poi bonifica del dispositivo e degli account. Il primo colloquio di consulenza è gratuito e riservato.

Domande frequenti su app spia e perizia forense

Le domande che seguono sono quelle che ricorrono più spesso in forum, community e richieste di consulenza.

Un iPhone può essere spiato senza jailbreak?

Sì. Le app spia classiche su iOS richiedono il jailbreak, ma chi conosce le credenziali iCloud può accedere a backup, foto e posizione senza installare nulla. Anche un profilo di gestione installato con l'inganno consente forme di controllo.

Il ripristino di fabbrica elimina lo spyware?

Nella maggior parte dei casi rimuove lo stalkerware, ma cancella anche le prove. Inoltre non risolve un accesso agli account già compromessi: se la password resta la stessa, il controllo può riprendere.

Chi ha installato l'app si accorge se la rimuovo?

Spesso sì. Il pannello di controllo dello stalkerware mostra quando il dispositivo smette di inviare dati, e questo può mettere in allarme l'autore.

Si può scoprire chi ha installato l'app spia?

La perizia spesso individua l'account di registrazione, i server di destinazione e la data di installazione. Incrociati con chi aveva accesso al telefono in quel momento, sono indizi rilevanti; per identificare l'autore con certezza servono in genere accertamenti dell'autorità giudiziaria.

Quanto dura una perizia forense su smartphone?

Dipende da modello, versione del sistema operativo, cifratura e quantità di dati. L'acquisizione richiede in genere alcune ore; analisi e relazione possono richiedere più giorni.

Il datore di lavoro o il genitore possono installare app di monitoraggio?

Solo entro limiti precisi. Sui dispositivi aziendali valgono lo Statuto dei Lavoratori e il GDPR, che escludono il controllo occulto. Per i figli minori un parental control dichiarato rientra nella responsabilità genitoriale, ma non autorizza a intercettare le conversazioni di terzi.