Andrea Innocenti Lo smartphone è il bersaglio preferito di chi prova a rubare dati e identità. La buona notizia: con una procedura ordinata e strumenti nativi, la sicurezza mobile può fare un salto di qualità in poche ore. Qui trova spazio un percorso pratico, senza fronzoli, che mette insieme aggiornamentibackup cifratiautenticazione a due fattori e una gestione rigorosa dei permessi.
Non servono competenze avanzate, serve metodo.
L’obiettivo è creare una linea di difesa a strati: ridurre la superficie d’attacco, garantire il ripristino dei dati, bloccare gli accessi abusivi e minimizzare le concessioni inutili. A chiudere, un piano mensile di manutenzione digitale e un recovery kit pronto all’uso per reagire dopo un attacco senza perdere lucidità.
Aggiornamenti: patch, firmware e app senza ritardi
La base è tenere aggiornati sistema operativo e app. Le patch correggono vulnerabilità sfruttabili in attacchi reali. Su Android, aprire Impostazioni > Sistema > Aggiornamento di sistema e abilitare aggiornamenti automatici verificare anche gli aggiornamenti di sicurezza Google Play (Sicurezza > Aggiornamento sicurezza sistema). Su iOS, Impostazioni > Generali > Aggiornamento software e attivare l’opzione per installare automaticamente iOS e Rapid Security Responses.
Aggiornare dal vendor anche firmware di accessori critici (watch, auricolari) per ridurre i rischi su Bluetooth e UWB.
Non trascurare il parco applicazioni: su Play Store e App Store impostare l’auto-update e rimuovere le app non più usate. Ogni app abbandonata è una potenziale porta d’ingresso. Prima di aggiornare, verificare lo spazio libero: poca memoria può bloccare patch cruciali e creare errori in fase di installazione.
Backup cifrati: locali, cloud e verifica del ripristino
Un backup vale solo se è recente, cifrato e ripristinabile. Su Android, abilitare il backup su Google con crittografia lato server e, dove disponibile, la cifratura end-to-end del passkey. Valutare un backup locale cifrato su computer via USB con strumenti di gestione ufficiali e archiviazione su unità esterna protetta. Su iOS, attivare il backup su iCloud con Protezione avanzata dei dati per estendere la cifratura end-to-end, oppure creare un backup crittografato su Mac/PC con password robusta.
Calendario consigliato: snapshot cloud giornaliero, locale settimanale. Al termine, eseguire un restore test su un dispositivo secondario o dopo un reset controllato: verificare che chat, token 2FA e password manager tornino operativi. Senza test, il backup resta un’ipotesi.
Autenticazione a due fattori: SMS fuori, app e passkey dentro
La 2FA riduce in modo drastico i furti di account. Priorità: abbandonare SMS e chiamate vocali, più esposti a SIM swap e intercettazioni. Meglio un authenticator con codici TOTP o, quando possibile, passkey basate su standard FIDO, integrate in Android e iOS. Abilitare 2FA su email principale, cloud, social, banche, e-commerce e password manager. Conservare i codici di recupero offline nel recovery kit, non in galleria foto o note non cifrate.
Per aumentare la resilienza, configurare almeno due metodi: app TOTP + passkey, oppure app TOTP + chiave di sicurezza hardware. Su iOS e Android, proteggere l’authenticator con biometria e PIN complesso; disattivare screenshot nelle app che lo consentono per ridurre l’esposizione dei codici.
Permessi e superficie d’attacco: meno è meglio
La gestione dei permessi è il freno a mano d’emergenza contro spyware e app curiose. Su Android, concedere posizionemicrofonofotocamera solo quando necessario e preferire l’opzione “solo durante l’uso”. Su iOS, controllare Fotocamera, Microfono, Localizzazione e Libretto contatti revocando accessi persistenti a app che non ne hanno bisogno. Disattivare l’accesso in background a Foto e File quando l’uso è occasionale.
Altri interventi rapidi: bloccare l’installazione da origini sconosciute su Android; su entrambi, disattivare profilazione pubblicitaria e limitare il tracciamento. Verificare regolarmente l’elenco VPN e profili di gestione: rimuovere configurazioni non riconosciute. Ogni sei mesi, audit completo dei permessi con gli strumenti di privacy di sistema.
Piano mensile di manutenzione digitale
Un piano breve mantiene lo stato di salute. Sequenza consigliata (30–45 minuti): 1) Applicare aggiornamenti di sistema e app; 2) Controllare lo spazio e liberare cache, file duplicati, app inutilizzate; 3) Verificare lo stato dei backup e svolgere il test di ripristino di un elemento (ad esempio una chat); 4) Rivedere i permessi delle ultime 10 app installate; 5) Audit sicurezza: PIN/biometria attivi, blocco schermo a 30–60 secondi, Trova il mio dispositivo o Dov’è abilitati; 6) Aggiornare l’elenco dispositivi connessi e disconnettere quelli non riconosciuti.
Ogni trimestre, includere: cambio password master del gestore credenziali (se non si usano passkey), revisione metodi 2FA, controllo dei log di accesso degli account principali e bonifica notifiche push sospette. Documentare le modifiche nel registro del recovery kit.
Recovery kit post-attacco: cosa avere pronto e come usarlo
Quando qualcosa va storto, servono strumenti pronti e istruzioni chiare. Il recovery kit dovrebbe contenere: 1) Contatti d’emergenza stampati (banca, operatore, IT di fiducia); 2) Codici di recupero 2FA su carta, sigillati; 3) Elenco account critici con ordine di priorità; 4) Guida rapida per modalità smarrimento e blocco remoto; 5) Check-list per denuncia e richiesta blocco SIM 6) Un’unità USB/Crypto con backup cifrato e la password custodita separatamente.
Procedura di risposta rapida: a) Attivare blocco remoto e localizzazione; b) Revocare sessioni attive dagli account principali; c) Cambiare credenziali partendo dall’email primaria e dal password manager d) Reimpostare 2FA sostituendo SMS con app/passkey; e) Se si sospetta malware, eseguire reset di fabbrica ripristinare da backup verificato e controllare permessi app prima del primo login. Chiudere con audit finale e aggiornamento del recovery kit.