Cercando "app spia per WhatsApp" si trovano centinaia di pagine con la stessa struttura: un conto alla rovescia, una testimonianza emozionante e un pulsante. Questa guida si concentra su ciò che accade dopo aver cliccato sul pulsante, perché il mercato che si cela dietro questa ricerca è, nella maggior parte dei casi, un'industria della frode ben oliata.
Perché WhatsApp non può essere "spiato" nello stesso modo in cui pubblicizzano?
I messaggi WhatsApp utilizzano la crittografia end-to-end: vengono criptati sul dispositivo mittente e ricomposti solo sul dispositivo ricevente. Nemmeno WhatsApp stesso legge il contenuto durante la trasmissione. Questo esclude immediatamente l'intera categoria di prodotti che promettono di "intercettare" i messaggi sulla rete o tramite numero di telefono.
Rimane solo un percorso tecnicamente fattibile: essere entro Dal dispositivo, una volta sbloccato e tenendolo in mano, si procede all'installazione manuale di qualcosa. Qualsiasi promessa che salti questo passaggio è falsa, ed è esattamente ciò che promettono la maggior parte dei siti web.
Le quattro truffe più comuni
1. La firma che non consegna mai
Il sito web richiede il numero target, mostra un'animazione di "monitoraggio", una barra di avanzamento che si blocca a 98% e rivela che non resta che creare l'account. Si forniscono i dati della carta per una piccola somma, a volte pubblicizzata come pagamento una tantum. In realtà, come si legge nelle clausole scritte in piccolo, si tratta di un abbonamento ricorrente. La dashboard promessa non funziona mai, l'assistenza clienti non risponde e per disdire è necessario contattare la banca.
2. Phishing via WhatsApp Web
Qui, il bersaglio sei tu, non l'altra persona. La pagina mostra un codice QR che indica che serve per "collegare il monitoraggio". Chiunque lo scansioni si connette a... account personale al computer di uno sconosciuto, che poi legge tutte le tue conversazioni in tempo reale. È il metodo più comunemente utilizzato per il furto di identità e la truffa del finto parente che chiede denaro.
3. L'APK al di fuori del Play Store
Il download avviene tramite un link diretto, con istruzioni per disabilitare la protezione di Android e consentire l'installazione da "origini sconosciute". Il file di solito contiene un trojan bancario o un ransomware. Hai disabilitato l'unica difesa del dispositivo su richiesta di chiunque voglia hackerarlo.
4. Il prodotto commerciale vero e proprio, venduto per uso illegale.
Esiste una categoria che funziona davvero: i programmi di monitoraggio commerciali, a pagamento mensile. Richiedono l'accesso fisico al dispositivo, l'installazione manuale e, nel caso degli iPhone, le credenziali iCloud. Funzionano, ma installarli sul cellulare di un altro adulto è un reato, punibile con la reclusione da 1 a 4 anni ai sensi dell'articolo 154-A del Codice Penale. Il prodotto è legittimo; l'uso pubblicizzato non lo è.
Come riconoscere una frode prima di pagare
- Promette di funzionare solo con il numero. Non esiste. Questo è il segno inequivocabile.
- Timer per il conto alla rovescia e "3 posti rimanenti". La pressione del tempo ti impedisce di fare ricerche.
- Testimonianze con foto di repertorio e nomi generici, senza un vero profilo alle spalle.
- Ti chiede di scansionare il codice QR. Nessuno strumento di monitoraggio legittimo richiede il tuo account WhatsApp Web.
- Ti chiede di disattivare Play Protect. Vi viene chiesto di abbassare la guardia.
- Addebita una "tassa di rilascio"“ dopo aver già mostrato un risultato parziale. Un classico esempio di frode pianificata passo dopo passo.
Se sei già caduto
- Contatta immediatamente la banca, contesta l'addebito e blocca la carta: gli abbonamenti ricorrenti continueranno a essere addebitati.
- Se hai scansionato il codice QR, apri WhatsApp e vai su Impostazioni › Dispositivi connessi e scollegare tutto. Attivare il verifica in due passaggi nello stesso menu.
- Se hai installato un APK, esegui il backup delle tue foto e ripristina il dispositivo alle impostazioni di fabbrica. Dopodiché, cambia le password da un altro dispositivo, iniziando dal tuo account Google.
- Sporgi denuncia alla polizia. La frode online è un reato e sporgere denuncia è utile in caso di controversie con la banca.
Che cosa è legittimo?
Per la sorveglianza dei bambini minori, il Google Family Link e il Tempo di utilizzo Le funzionalità di sicurezza dell'iPhone sono gratuite, ufficiali e trasparenti: controllano il tempo di utilizzo dello schermo, approvano le installazioni e mostrano la posizione del dispositivo. Nessuna di esse legge le conversazioni, e questo non è un limite tecnico, bensì una scelta di design.
Per ritrovare un cellulare smarrito, Trova il mio dispositivo È Trovare Spencer Risolvono il problema senza alcun costo. Per l'uso aziendale, sono disponibili soluzioni MDM contrattualizzate dall'azienda, con una politica chiaramente comunicata per iscritto al dipendente.
Google Family Link
AndroidDomande comuni
È possibile leggere i messaggi di WhatsApp senza installare nulla sul telefono?
No. La crittografia end-to-end impedisce l'intercettazione e, senza installazione, non è possibile accedere al dispositivo. Qualsiasi sito web che affermi il contrario sta diffondendo informazioni fraudolente.
E che dire di quelle che compaiono sul Play Store?
Le app che rimangono nello store sono quelle di controllo parentale trasparenti o basate sulla geolocalizzazione con consenso. La politica di Google richiede che l'app sia visibile e che il monitoraggio sia reso pubblico. Gli strumenti nascosti vengono rimossi non appena vengono identificati.
Scansionare un codice QR da un sito web come quello è pericoloso?
È una cosa seria. Stai cedendo il tuo account. È il passo che trasforma chi cercava di spiare in una vittima di violazione di WhatsApp.
È possibile sapere se qualcun altro sta leggendo i miei messaggi WhatsApp?
Apri Impostazioni › Dispositivi connessi. Qui troverai tutte le sessioni attive, con data e posizione approssimativa. Disconnetti i dispositivi che non riconosci e abilita la verifica in due passaggi.
L'utilizzo di questi programmi comporterà effettivamente azioni legali?
Sì. Oltre all'articolo 154-A, esiste la responsabilità civile per danni morali. E le prove ottenute in questo modo vengono solitamente respinte in tribunale a causa della loro illegalità.
In sintesi
Non esiste un'app in grado di leggere a distanza i messaggi WhatsApp di qualcun altro. Esistono truffe che fingono di esistere, prodotti a pagamento il cui utilizzo pubblicizzato è illegale e strumenti ufficiali e gratuiti per scopi legittimi: monitorare un minore, localizzare un dispositivo smarrito, proteggere il proprio account. Chi cerca scorciatoie finisce quasi sempre per trovarsi dalla parte sbagliata del problema.
Come sfruttarlo al meglio.
- Utilizza lo strumento ufficiale. Google Family Link su Android e Tempo di utilizzo su iPhone: gratuiti, visibili sul dispositivo e senza necessità di disattivare alcuna protezione.
- Rivedete l'accordo ogni pochi mesi. I limiti che non sono commisurati all'età diventano fonte di conflitto e di difficoltà.
- Imposta un limite per singola applicazione, non solo un limite totale. Consentire del tempo di studio libero e limitare il tempo di visualizzazione dei video brevi funziona meglio di un limite unico.
- Unire prima di configurare. Quando si ha un figlio adolescente, un accordo su cosa verrà monitorato vale più di qualsiasi restrizione e resiste meglio nel caso in cui venga scoperto.
Errori comuni che costano caro
- Affidarsi a prove ottenute tramite accesso non autorizzato in un procedimento legale significa scartarle e smascherare chi le ha prodotte.
- Disabilitare Play Protect per installare file da fonti esterne è il vettore più comune per i trojan bancari.
- L'installazione di software nascosto sul telefono cellulare di un adulto costituisce reato ai sensi dell'articolo 154-A, punibile con la reclusione da 1 a 4 anni.
- Vi aspettate di poter leggere le conversazioni di WhatsApp? La crittografia end-to-end lo impedisce, con qualsiasi strumento.
L'alternativa che è già inclusa nel sistema
Per ritrovare un dispositivo smarrito, Trova il mio dispositivo e Trova il mio iPhone sono gratuiti e inclusi di serie: emettono un allarme anche quando il dispositivo è in modalità silenziosa, lo mostrano su una mappa e consentono di bloccarlo e cancellarne i dati da remoto. È consigliabile verificare oggi stesso se sono attivi, perché una volta smarrito non sarà più possibile configurarli.
Cosa protegge la crittografia e cosa non protegge.
L'espressione "crittografia end-to-end" compare in ogni discussione sull'argomento, quasi sempre senza alcuna spiegazione. Significa che il messaggio viene criptato sul dispositivo del mittente e decifrato solo sul dispositivo del destinatario. Il server intermedio trasporta un pacchetto che esso stesso non è in grado di leggere.
È qui che si manifesta il vero limite della protezione. Si occupa di... sentiero. Non si prende cura di suggerimenti.
Protetto
- Contenuti in transito, anche su reti pubbliche o Wi-Fi di terzi.
- Il contenuto memorizzato sui server esiste solo in forma crittografata e per un periodo di tempo limitato fino alla consegna.
- Lettura per coloro che intercettano il traffico lungo il percorso.
Non protetto
- Lo schermo del dispositivo che lo ha ricevuto. Uno screenshot resta pur sempre uno screenshot.
- L'anteprima che appare nella notifica quando il telefono è bloccato.
- Il backup, se non ha la propria crittografia abilitata.
- Chiunque abbia in mano il dispositivo sbloccato.
Ecco perché la promessa di leggere le conversazioni altrui "decifrando la crittografia" non ha senso, e perché ogni schema che si presenta in questo modo in realtà attacca un solo obiettivo, quasi sempre con la complicità inconsapevole della vittima.
Dispositivi connessi: l'unico "spionaggio" che esiste davvero.
La funzionalità multi-dispositivo permette di utilizzare lo stesso account contemporaneamente su computer, tablet e browser, anche con il telefono spento. È una funzione legittima e utile, ed è anche il modo reale per leggere le conversazioni altrui nella vita reale.
L'attacco non è di natura tecnica: qualcuno prende il telefono sbloccato per trenta secondi, collega il proprio dispositivo e restituisce il telefono. Da quel momento in poi, le conversazioni vengono replicate su un altro schermo.
La verifica richiede un minuto.
- Apri il menu dell'app e cerca i dispositivi connessi.
- Controlla l'elenco, il sistema utilizzato per ogni elemento e la data dell'ultimo accesso.
- Scollega tutto ciò che non riconosci. In caso di dubbio, scollega tutto e ricollega solo ciò che utilizzi.
- Abilita lo sblocco tramite password, impronta digitale o riconoscimento facciale direttamente nell'app, in modo che la connessione di un nuovo dispositivo richieda l'autenticazione.
Questa verifica vale più di qualsiasi app di "rilevamento". Mostra fatti registrati dal servizio stesso, non supposizioni.
Codice di sicurezza: l'avviso che quasi nessuno capisce.
All'interno di ogni conversazione è presente un codice di sicurezza, rappresentato da una sequenza di numeri e un codice QR. Si tratta dell'impronta digitale di quella coppia di chiavi di crittografia.
Serve a due scopi. Il primo è quello di confermare personalmente che state effettivamente parlando con la persona che pensate di essere: entrambi aprite lo schermo e verificate che il codice corrisponda. Il secondo è l'avviso automatico quando il codice cambia.
Le modifiche al codice possono verificarsi per motivi comuni, come il cambio di telefono, la reinstallazione dell'app o il ripristino di un backup. Possono però accadere anche quando l'account è stato registrato su un altro dispositivo da un'altra persona. Se la notifica compare senza che il contatto abbia cambiato telefono, è consigliabile chiedere conferma telefonicamente prima di proseguire la conversazione.
Esiste un'impostazione per visualizzare questi avvisi, che di solito è disabilitata per impostazione predefinita. Attivarla è una delle impostazioni di sicurezza che offre il miglior equilibrio tra impegno e benefici.
Backup: il punto esterno alla crittografia
Il backup viene spostato dal dispositivo a un servizio cloud. Se non dispone di una propria protezione, non è più coperto dalla crittografia end-to-end e dipende esclusivamente dalla password del tuo account cloud.
Le principali applicazioni offrono già il backup crittografato, con una password impostata dall'utente o una chiave lunga generata automaticamente. Attivarlo è semplice, ma richiede attenzione a un dettaglio: Non esiste alcuna opzione di recupero della password in caso di smarrimento.. Nessuno, nemmeno l'azienda, può aprire quel file.
- Attiva il backup crittografato nelle impostazioni della chat.
- Scegli una password che puoi ricordare o salva la chiave in un gestore di password.
- Non salvare mai questa password in un blocco note sincronizzato con lo stesso account cloud utilizzato per il backup.
- Verifica in seguito che la data dell'ultimo backup sia aggiornata.
Impostazioni sulla privacy che meritano cinque minuti di attenzione.
Gran parte della sensazione di vulnerabilità deriva da impostazioni che sono aperte di default, non da intrusioni. Vale la pena esaminarle una per una.
- Immagine del profilo e messaggio. Limitare l'accesso ai contatti impedisce che la tua foto venga utilizzata in truffe tramite numeri clonati.
- Ultimo accesso e stato online. L'accesso può essere limitato ed è disponibile un'opzione per nascondere il proprio stato online a chiunque si desideri.
- Leggere la ricevuta. Disattivandolo, scompaiono le due linee blu in entrambe le direzioni, risolvendo così gran parte delle richieste di risposta immediata.
- Gruppi. Definisci chi può aggiungerti. Questa è la porta d'accesso alle truffe bancarie e ai gruppi di lavoro fasulli.
- Messaggi temporanei. Possono essere collegati tramite conversazione o utilizzati come impostazione predefinita per le nuove conversazioni.
- Bloccare una conversazione specifica. Lasciate certe conversazioni ai canali digitali, al di fuori della lista principale.
- Mettere a tacere gli sconosciuti. Riduce drasticamente la ricezione di messaggi da numeri sconosciuti.
- Verifica in due passaggi. Un PIN di sei cifre che impedisce a chiunque intercetti il codice di attivazione di registrare il tuo account su un altro dispositivo. È l'impostazione più importante dell'elenco.
Con queste modifiche, il rischio principale rimane quello umano: prestare un cellulare sbloccato e condividere i codici ricevuti tramite SMS. Nessuna misura di sicurezza protegge da questo rischio.
