Come capire se il tuo telefono è stato hackerato — segnali, rimedi e prevenzione

Il riassunto: un telefono genuinamente hackerato mostra tipicamente un insieme di sintomi, non uno solo. L'indicatore più forte non è «il mio telefono è lento» — è un'attività inaspettata sugli account che non hai avviato tu (email di reset password non richieste, codici di verifica a due fattori che arrivano senza che tu li abbia richiesti, avvisi di accesso da luoghi in cui non sei mai stato). Se noti questo, vai direttamente alla sezione «cosa fare» qui sotto. Se sei qui perché la batteria si scarica velocemente o il telefono sembra lento, la risposta onesta è che quei sintomi non significano quasi mai che sei stato hackerato — ma ti guideremo attraverso la diagnostica completa per escluderlo correttamente.

La tabella diagnostica: sintomi, cause probabili e quando preoccuparsi

Prima di entrare nel dettaglio, ecco la tabella di riferimento. La maggior parte dei sintomi che le persone associano all'hacking ha spiegazioni banali. La colonna di destra indica quando lo stesso sintomo è effettivamente un segnale d'allarme.

Lo schema da osservare: un singolo sintomo non è quasi mai sufficiente. Le vere compromissioni producono tipicamente un insieme — consumo dati imprevisto più batteria che si scarica più un'app che non riconosci, oppure attività sugli account più codici 2FA non richiesti. Se stai vivendo solo un elemento della colonna sinistra senza prove corroboranti, la spiegazione banale è di gran lunga più probabile.

Segnali che il tuo telefono potrebbe essere stato davvero hackerato

Questi sono gli indicatori che i professionisti della sicurezza prendono sul serio — quelli in cui la probabilità di una vera compromissione è abbastanza alta da giustificare un'indagine immediata.

1. Segnali di compromissione dell'account

Ricevi email di reset password che non hai richiesto. Ricevi codici di verifica 2FA via SMS o app di autenticazione che non hai attivato. Vedi avvisi di accesso da dispositivi o luoghi che non riconosci. La cartella «Posta inviata» della tua email contiene messaggi che non hai scritto. I tuoi account social pubblicano contenuti che non hai creato. Questo è l'indicatore con il più alto grado di certezza — significa che le tue credenziali sono compromesse (il che può o meno coinvolgere il tuo telefono) oppure qualcosa sul tuo dispositivo sta intercettando i flussi di autenticazione.

2. Installazioni di app inspiegabili con permessi elevati

Su Android: vai in Impostazioni, poi App, poi ordina per installazione recente. Cerca qualcosa che non riconosci. Poi controlla Impostazioni, poi Sicurezza, poi App amministratore del dispositivo — se un'app che non hai installato ha privilegi di amministratore del dispositivo, è un serio segnale d'allarme. Su iOS: scorri la schermata principale alla ricerca di app non familiari e controlla Impostazioni, poi Generali, poi VPN e gestione del dispositivo per eventuali profili di configurazione che non hai installato. Gli stalkerware e gli spyware richiedono quasi sempre permessi elevati per funzionare — amministratore del dispositivo su Android, profili di configurazione su iOS.

3. Schemi di esfiltrazione dei dati

Controlla il dettaglio del consumo dati per app (Impostazioni, poi Cellulare su iOS; Impostazioni, poi Rete e internet, poi Utilizzo dati su Android). Se un'app che usi raramente sta consumando centinaia di megabyte — o se «Servizi di sistema» o un processo non identificabile sta usando una quantità significativa di dati — vale la pena indagare. Il malware che esfiltra foto, messaggi o registrazioni delle chiamate deve caricare quei dati da qualche parte, e il caricamento appare nelle statistiche dei dati.

4. Attività finanziaria non autorizzata

Addebiti sulla tua bolletta telefonica per servizi SMS a tariffa speciale o chiamate internazionali che non hai effettuato. Transazioni sulle app di pagamento (Venmo, Cash App, Apple Pay, Google Pay) che non hai autorizzato. Spesso è questo il primo segnale concreto che le persone notano perché c'è un importo in denaro allegato. Se la tua bolletta mostra addebiti SMS a tariffazione speciale verso codici brevi, è un forte indicatore di malware che invia SMS.

5. Il tuo telefono fa cose quando non lo stai toccando

Lo schermo si illumina e naviga da solo. Le app si aprono senza il tuo intervento. Le impostazioni cambiano — il WiFi si attiva, il Bluetooth si abilita, la modalità aereo si attiva e disattiva. Se qualcuno ha accesso remoto al tuo dispositivo (tramite un RAT — trojan ad accesso remoto), il dispositivo tradirà occasionalmente questa presenza eseguendo azioni senza input fisico. Questo è più raro di un tempo perché i moderni RAT per mobile sono migliori nel restare invisibili, ma quando accade è inconfondibile.

Segnali che sembrano sospetti ma di solito non lo sono

Internet è piena di articoli «15 segnali che il tuo telefono è stato hackerato» che includono sintomi così comuni da applicarsi praticamente a qualsiasi telefono. Siamo onesti su cosa significano davvero.

«Il mio telefono è lento» — quasi certamente non è un hack

Un telefono con il 90% dello spazio di archiviazione occupato, 47 app con l'aggiornamento in background abilitato e una batteria di 18 mesi sembrerà lento. È fisica, non malware. Il malware mobile moderno è progettato per essere leggero — un keylogger o un ladro di credenziali usa una CPU trascurabile perché l'aggressore vuole restare nascosto. Se il malware rendesse il tuo telefono notevolmente lento, sarebbe un malware scritto male che viene rilevato rapidamente. Il materiale sofisticato è invisibile al monitoraggio delle prestazioni.

«La batteria si scarica velocemente» — controlla prima la salute della batteria

Su iOS: Impostazioni, poi Batteria, poi Salute della batteria e ricarica. Se la Capacità massima è inferiore all'80%, la batteria è degradata e questo spiega lo scaricamento. Su Android: Impostazioni, poi Batteria, poi Utilizzo batteria mostra quali app hanno consumato di più. I servizi di localizzazione in background (app meteo, fitness tracker, app di navigazione che non si sono chiuse correttamente) sono i maggiori responsabili del consumo della batteria. Se la salute della batteria è superiore al 90% e nessuna singola app spiega lo scaricamento, allora hai qualcosa che vale la pena investigare — ma inizia riavviando il telefono e monitorando per un giorno prima di ipotizzare una compromissione.

«Vedo pubblicità mirata» — è solo l'ecosistema pubblicitario che funziona

Vedere un annuncio per qualcosa di cui hai parlato vicino al telefono sembra sorveglianza, ed è il trigger più comune per le ricerche «penso di essere stato hackerato». La realtà: il tuo telefono non sta ascoltando le tue conversazioni tramite il microfono per la targetizzazione pubblicitaria. Ciò richiederebbe un'elaborazione audio costante, drenerebbe la batteria in modo visibile e genererebbe traffico di rete rilevabile. Quello che succede è che le reti pubblicitarie sono straordinariamente brave nella targetizzazione inferenziale — conoscono la tua posizione, la cronologia di navigazione, la cronologia degli acquisti, il tuo grafo sociale e il comportamento di persone demograficamente simili a te. Questo è sufficiente per produrre annunci che sembrano psichicamente accurati. È inquietante, ma non è hacking. È il modello di business. Il blocco dei tracker affronta questo problema interrompendo la raccolta di dati che alimenta il motore di inferenza della rete pubblicitaria.

«Pop-up casuali» — probabilmente notifiche del browser, non malware

Ad un certo punto hai visitato un sito web e hai toccato «Consenti» su una richiesta di permesso di notifica. Ora quel sito invia notifiche push che sembrano pop-up. La soluzione: su iOS, vai in Impostazioni, poi Safari, poi Avanzate, poi Dati dei siti web e cancella, oppure gestisci le notifiche per sito. Su Android, apri Chrome, poi Impostazioni, poi Notifiche, poi Siti e revoca quelle che non riconosci. Sono fastidiose ma non sono prove di compromissione — sono una funzione dell'API di notifica web abusata da siti aggressivi.

Cosa fare se pensi che il tuo telefono sia stato hackerato

Se hai identificato un vero insieme di indicatori sospetti dalla sezione precedente, ecco la risposta passo dopo passo. L'ordine è importante — eseguili in sequenza, non in parallelo.

Passo 1: Disconnetti e preserva le prove

Metti il telefono in modalità aereo. Questo interrompe qualsiasi esfiltrazione di dati attiva e taglia l'accesso remoto dell'aggressore. Prima di fare qualsiasi altra cosa, fai screenshot di: le app sospette, il dettaglio del consumo dati, eventuali avvisi di account insoliti e i log recenti di chiamate/SMS. Se la situazione dovesse diventare una questione per le forze dell'ordine o un reclamo assicurativo, avrai bisogno delle prove.

Passo 2: Cambia le password critiche da un altro dispositivo

Usando un computer o un altro telefono di cui ti fidi, cambia le password per: la tua email (questa è la chiave maestra — la maggior parte dei reset delle password passa per l'email), la tua banca, il tuo Apple ID o account Google e qualsiasi account su cui hai visto attività sospetta. Abilita l'autenticazione a due fattori ovunque sia disponibile. Non farlo dal telefono potenzialmente compromesso — se è presente un keylogger, consegneresti anche le nuove password.

Passo 3: Controlla e rimuovi le app sospette

Su iPhone:

1. Vai in Impostazioni, poi Generali, poi VPN e gestione del dispositivo. Elimina eventuali profili di configurazione che non hai installato.
2. Vai in Impostazioni, poi Generali, poi Spazio iPhone. Esamina tutte le app — elimina qualsiasi cosa non familiare.
3. Controlla Impostazioni, poi Privacy e sicurezza, e verifica quali app hanno accesso a Posizione, Microfono, Fotocamera e Contatti. Revoca qualsiasi cosa sospetta.

Su Android:

1. Vai in Impostazioni, poi Sicurezza, poi App amministratore del dispositivo. Disattiva qualsiasi cosa non autorizzata da te.
2. Vai in Impostazioni, poi App. Ordina per installazione recente. Disinstalla qualsiasi cosa non familiare — se un'app non si disinstalla, probabilmente ha privilegi di amministratore del dispositivo (torna al passo 1 e disattiva prima).
3. Controlla Impostazioni, poi App, poi Accesso speciale alle app. Esamina «Installa app sconosciute», «Sovrapponi ad altre app» e «Accesso all'utilizzo» — revoca le autorizzazioni da qualsiasi cosa non riconosci.
4. Esegui una scansione con Google Play Protect (Play Store, poi tocca il tuo profilo, poi Play Protect, poi Scansione).

Passo 4: Aggiorna tutto

Installa eventuali aggiornamenti del sistema operativo in sospeso. Aggiorna tutte le app. Gli aggiornamenti del sistema operativo spesso correggono le vulnerabilità specifiche che il malware sfrutta — una volta corrette, il malware potrebbe perdere il suo punto d'appoggio anche senza un ripristino alle impostazioni di fabbrica. Su iOS, vai in Impostazioni, poi Generali, poi Aggiornamento software. Su Android, vai in Impostazioni, poi Sistema, poi Aggiornamento di sistema. Poi apri l'app store e aggiorna tutte le app.

Passo 5: Ripristino alle impostazioni di fabbrica (se le operazioni precedenti non hanno risolto)

Se il comportamento sospetto continua dopo aver rimosso le app e aggiornato, un ripristino alle impostazioni di fabbrica è l'opzione nucleare che funziona. Esegui il backup delle foto e dei dati essenziali su un computer (non sul cloud dal dispositivo compromesso, poiché alcuni malware persistono attraverso il ripristino dal cloud). Poi: su iOS, vai in Impostazioni, poi Generali, poi Trasferisci o inizializza iPhone, poi Inizializza contenuto e impostazioni. Su Android, vai in Impostazioni, poi Sistema, poi Opzioni di reset, poi Cancella tutti i dati (ripristino dati di fabbrica). Configura come nuovo dispositivo — non ripristinare dal backup, poiché il backup potrebbe contenere l'app compromessa o il profilo di configurazione. Reinstalla le app manualmente dallo store ufficiale.

Passo 6: Contatta il tuo operatore (se si sospetta uno scambio SIM)

Se hai improvvisamente perso il segnale cellulare e poi hai visto attività di compromissione dell'account, potresti essere vittima di uno scambio SIM. Chiama il tuo operatore immediatamente da un altro telefono. Chiedi loro di: confermare se è stato elaborato uno scambio SIM, bloccare il tuo account contro ulteriori modifiche SIM, aggiungere un requisito PIN o passphrase per le modifiche all'account. La guida CISA sull'autenticazione a più fattori raccomanda gli autenticatori basati su app rispetto al 2FA basato su SMS proprio a causa del vettore di scambio SIM.

Come i telefoni vengono davvero compromessi nel 2026

Capire i veri vettori di attacco è più importante che memorizzare i sintomi. Se sai come avvengono le compromissioni, puoi evitare i comportamenti che le consentono. Ecco i vettori che rappresentano la stragrande maggioranza delle compromissioni mobile reali nel 2026, classificati per frequenza.

1. Link di phishing (di gran lunga il più comune)

Un SMS, un'email, un messaggio WhatsApp o un DM sui social media contiene un link. Lo tocchi. Il link porta a una pagina che: (a) sembra una pagina di accesso per la tua banca/email/account social e raccoglie le tue credenziali, (b) ti chiede di installare un'app o un profilo di configurazione, oppure (c) sfrutta una vulnerabilità del browser per installare qualcosa senza un permesso esplicito (raro ma reale — questi sono exploit zero-day e sono costosi, quindi sono tipicamente riservati ad attacchi mirati su giornalisti, attivisti e dirigenti, non consumatori casuali).

Nel 2026, i messaggi di phishing generati dall'AI sono significativamente più difficili da individuare rispetto anche a soli due anni fa. Gli errori ortografici e la grammatica goffa che erano segnali affidabili sono scomparsi. I messaggi di phishing moderni sono contestualmente rilevanti — fanno riferimento a un pacco reale che stai aspettando, a una banca reale che utilizzi o a un evento reale che si sta verificando nella tua area. Il rilevamento delle minacce AI di Casper valuta i link a livello DNS e di rete prima che raggiungano il tuo browser, bloccando le infrastrutture di phishing note e utilizzando modelli ML per segnalare i domini di phishing zero-day che non hanno ancora raggiunto le blocklist.

2. App malevole (principalmente un problema Android)

App che sembrano legittime ma contengono malware. Su Android, questo accade tramite: APK sideloaded dall'esterno del Play Store (il rischio maggiore), app nel Play Store che hanno superato la revisione e in seguito hanno inviato aggiornamenti dannosi, e app negli store di terze parti. Google Play Protect cattura molto, ma il suo rilevamento è in ritardo rispetto ai nuovi malware di ore o giorni — la finestra è reale. Su iOS, il rischio è molto più basso perché il sideloading richiede un'azione deliberata (AltStore, jailbreak o il nuovo percorso di sideloading EU DMA), e la revisione dell'App Store, pur non essendo perfetta, cattura la maggior parte dei malware prima che vengano distribuiti.

I tipi di app malevole che riescono nel 2026: app «utility» torcia/calcolatrice/scanner QR che richiedono permessi eccessivi, versioni trojanizzate di app legittime distribuite al di fuori degli store ufficiali, e app che sono pulite all'installazione ma scaricano payload malevoli dopo la revisione. Il filo comune è che hanno bisogno di permessi per fare danni — un'app malevola senza permessi concessi non può accedere ai tuoi contatti, alla fotocamera o ai messaggi.

3. Attacchi di scambio SIM

Un aggressore convince il tuo operatore mobile a trasferire il tuo numero di telefono su una SIM card che controlla. Una volta ottenuto il tuo numero, riceve i tuoi codici 2FA basati su SMS e può reimpostare le password sui tuoi account. Questo attacco non compromette il tuo telefono fisico — compromette il tuo numero di telefono, il che è probabilmente peggio perché così tanti servizi usano SMS per l'autenticazione.

Gli scambi SIM avvengono tramite ingegneria sociale (chiamando l'operatore e impersonandoti), tramite dipendenti dell'operatore corrotti o compromessi (documentati in più casi FBI) o sfruttando la sicurezza dell'account dell'operatore che si basa su informazioni facilmente ottenibili (ultime quattro cifre del codice fiscale, indirizzo di fatturazione, PIN dell'account che il cliente ha impostato su «1234»). La difesa: imposta un PIN forte e unico sul tuo account dell'operatore, usa il 2FA basato su app (non SMS) ovunque possibile e considera un operatore che supporta funzionalità di blocco SIM.

4. WiFi pubblico e attacchi a livello di rete

Connettersi a una rete WiFi malevola — tipicamente un evil twin che imita una rete di cui il tuo telefono si fida — consente all'aggressore di osservare le tue query DNS, tentare il phishing tramite captive portal ed eseguire l'analisi del traffico. La paura «possono vedere le tue password» è per lo più superata (HTTPS lo previene), ma l'esposizione dei metadati, lo snooping DNS e il furto di credenziali tramite captive portal sono reali nel 2026. Ne abbiamo parlato in dettaglio nella nostra guida agli attacchi WiFi pubblici.

5. Stalkerware (installato da qualcuno con accesso fisico)

Un partner abusivo, un partner controllante o un datore di lavoro sospettoso installa software di monitoraggio direttamente sul tuo telefono mentre ha accesso fisico. Questa è una categoria distinta perché il vettore di attacco è la fiducia, non la tecnologia — la persona conosce il tuo codice di accesso o può accedere al tuo telefono sbloccato. Lo stalkerware può registrare le chiamate, leggere i messaggi, tracciare la posizione e attivare la fotocamera/microfono. Su Android, richiede tipicamente l'abilitazione di «Installa da fonti sconosciute» e la concessione dei privilegi di amministratore del dispositivo. Su iOS, storicamente richiedeva il jailbreak, sebbene esista stalkerware basato su profili di configurazione che non lo richiede.

Se sospetti che lo stalkerware sia stato installato da qualcuno nella tua vita, le risorse della FTC sullo stalking e la sorveglianza includono indicazioni che tengono conto della pianificazione della sicurezza — semplicemente rimuovere il software può avvisare l'abusante che lo hai scoperto, il che potrebbe aggravare la situazione.

Come prevenire che il tuo telefono venga hackerato

La prevenzione è sostanzialmente più facile della remediation. Queste pratiche affrontano i veri vettori di attacco sopra descritti, non quelli ipotetici.

Mantieni il sistema operativo e le app aggiornati

Questa è la pratica di sicurezza con il maggiore impatto. La maggior parte degli exploit utilizzati nel malware mobile prende di mira vulnerabilità che sono già state corrette — il malware funziona perché il bersaglio non ha installato l'aggiornamento. Abilita gli aggiornamenti automatici. Su iOS: Impostazioni, poi Generali, poi Aggiornamento software, poi Aggiornamenti automatici — attiva tutto. Su Android: Impostazioni, poi Sistema, poi Aggiornamento di sistema, poi controlla regolarmente gli aggiornamenti e abilita l'aggiornamento automatico nelle impostazioni del Play Store.

Non toccare link in messaggi inaspettati

Il link di phishing è il principale punto di ingresso. Se ricevi un messaggio su un pacco, un avviso bancario o un problema con un account — e non te lo aspettavi — non toccare il link. Invece, apri l'app o il sito web direttamente (digita tu stesso l'URL o usa un segnalibro) e controlla lì. Questo singolo cambiamento di comportamento blocca la maggior parte degli attacchi di phishing perché l'aggressore ha bisogno che tu visiti il suo dominio, non quello legittimo.

Usa il 2FA basato su app, non SMS

L'autenticazione a due fattori basata su SMS è vulnerabile agli attacchi di scambio SIM. Passa a un'app di autenticazione (Google Authenticator, Authy, 1Password o l'autenticatore integrato del tuo sistema operativo) per ogni account che lo supporta. Le chiavi di sicurezza hardware (YubiKey, Google Titan) sono ancora più robuste ma meno comode. Le Linee guida sull'identità digitale del NIST (SP 800-63B) scoraggiano formalmente l'autenticazione basata su SMS a causa dei rischi di scambio SIM e intercettazione SS7.

Rivedi regolarmente i permessi delle app

Ogni pochi mesi, controlla quali app hanno accesso alla tua posizione, microfono, fotocamera, contatti e foto. Su iOS: Impostazioni, poi Privacy e sicurezza — tocca ogni categoria. Su Android: Impostazioni, poi Privacy, poi Gestione autorizzazioni. Revoca qualsiasi cosa che non abbia senso. Un'app torcia non ha bisogno dei tuoi contatti. Una calcolatrice non ha bisogno della tua posizione. Limitare i permessi limita i danni che un'app compromessa o malevola può fare.

Installa app solo dagli store ufficiali

Su iOS, questa è l'impostazione predefinita (e il sideloading richiede uno sforzo deliberato). Su Android, mantieni «Installa da fonti sconosciute» disabilitato per tutte le app (Impostazioni, poi App, poi Accesso speciale alle app, poi Installa app sconosciute — tutto dovrebbe dire «Non consentito»). Il Play Store non è perfetto, ma esegue scansioni Play Protect e ha un processo di revisione. I siti APK di terze parti non hanno nessuno dei due.

Usa la protezione a livello di rete

Ecco dove Casper's Cloak si inserisce nello stack di prevenzione — e saremo specifici su cosa fa e cosa non fa. Casper opera a livello di rete: un tunnel VPN WireGuard crittografa il tuo traffico in modo che le reti ostili non possano osservare o iniettare nulla; il filtraggio a livello DNS blocca le connessioni a domini malevoli noti (infrastrutture di phishing, server di comando e controllo del malware, tracker pubblicitari che costruiscono i profili che abilitano l'ingegneria sociale mirata); e il rilevamento delle minacce basato su AI valuta i nuovi domini rispetto a modelli ML addestrati su schemi di phishing, rilevando le minacce zero-day che non hanno ancora raggiunto le blocklist statiche.

Cosa non fa Casper: non esegue la scansione dei file sul tuo dispositivo, non monitora le app installate, non rileva lo stalkerware e non può impedirti di digitare la tua password in una pagina di phishing che hai già caricato. È una difesa a livello di rete — blocca la connessione all'infrastruttura malevola prima che la minaccia raggiunga il tuo dispositivo. Per le minacce che non comportano una connessione di rete (stalkerware ad accesso fisico, ingegneria sociale tramite una telefonata), hai bisogno di altre difese. Il blocco dei tracker affronta specificamente la raccolta di dati delle reti pubblicitarie che alimenta la profilazione mirata che molte persone scambiano per essere «hackerate».

Usa un codice di accesso del dispositivo forte e unico

Un codice numerico a 6 cifre è il minimo. Un codice alfanumerico è meglio. Evita: 000000, 123456, la tua data di nascita, il tuo numero di telefono. Abilita lo sblocco biometrico (Face ID, Touch ID, impronta digitale) in modo che il codice forte non rallenti la tua routine quotidiana ma sia richiesto per le operazioni sensibili. Su iOS, considera di abilitare la Protezione dispositivo rubato (Impostazioni, poi Face ID e codice, poi Protezione dispositivo rubato) — questo aggiunge ritardi temporali e requisiti biometrici per le modifiche sensibili quando sei lontano da luoghi familiari.

Conclusione

La maggior parte delle paure «il mio telefono è stato hackerato?» si risolvono in comportamento ordinario una volta controllata la tabella diagnostica. Gli indicatori genuini — segnali di compromissione dell'account, app con permessi elevati inspiegabili, schemi di esfiltrazione dei dati, attività finanziaria non autorizzata — sono specifici e verificabili. Se li vedi, segui la risposta passo dopo passo: disconnetti, cambia le password da un altro dispositivo, rimuovi le app sospette, aggiorna tutto ed esegui un ripristino alle impostazioni di fabbrica se necessario.

La prevenzione è più gestibile del rilevamento. Le pratiche che contano davvero sono: mantieni il sistema operativo aggiornato (corregge gli exploit su cui si basa il malware), non toccare link in messaggi inaspettati (blocca il principale punto di ingresso), usa il 2FA basato su app (sconfigge gli attacchi di scambio SIM), rivedi i permessi delle app (limita il raggio di esplosione) e usa la protezione a livello di rete per bloccare le connessioni all'infrastruttura malevola prima che raggiungano il tuo dispositivo.

La valutazione onesta: nessun singolo prodotto ti rende inattaccabile. La sicurezza è a strati. Il sistema operativo fornisce uno strato (sandboxing, modello dei permessi, aggiornamenti automatici). Il tuo comportamento ne fornisce un altro (non toccare link di phishing, usare password forti, rivedere i permessi). Gli strumenti a livello di rete come Casper ne forniscono un terzo (blocco dei domini malevoli noti, crittografia del traffico su reti ostili, segnalazione delle minacce zero-day). Aggiungi i livelli e la probabilità di una compromissione riuscita diminuisce drasticamente.