Software Spia per Smartphone: L'Installazione Fisica è Obbligatoria
Sì. Per qualsiasi software di monitoraggio legittimo e funzionante che catturi chiamate, messaggi, posizione, tastiera o attività delle app, deve essere installato direttamente sul dispositivo target. Non esiste alcun exploit remoto «over-the-air» che bypassi questo requisito su iOS o Android moderni e aggiornati.
Perché l'Installazione Remota è un Mito
- Architettura Sandbox: iOS (solo App Store, code signing, entitlements) e Android (Play Protect, SELinux, scoped storage) isolano le app. Nessuna installazione silenziosa tramite SMS, MMS, link email o Bluetooth.
- Prompt di Consenso Utente: L'installazione richiede tocchi espliciti: «Installa», «Consenti da questa origine», «Servizio Accessibilità Attivo», «Amministratore Dispositivo», «Accesso Utilizzo». Non può essere automatizzato da remoto.
- Persistenza: Il spyware ha bisogno di demoni/servizi in esecuzione all'avvio. Richiede il permesso `RECEIVE_BOOT_COMPLETED` concesso all'installazione.
Cosa Vendono Effettivamente i Prodotti «Senza Installazione»
| Affermazione di Marketing | Realtà |
|---|---|
| «Installazione remota tramite numero di telefono» | Link di phishing → la vittima *installa* l'APK/profilo da sola. Ingegneria sociale, non exploit remoto. |
| «Solo credenziali iCloud» | Sincronizza solo *dati di backup* (contatti, foto, iCloud Drive, **non** chiamate live, SMS, WhatsApp, tastiera). Richiede bypass 2FA (phishing/sim swap). |
| «SS7 / IMSI catcher» | Strumenti di intelligence nazionale / forze dell'ordine. Intercettano segnalazione SS7 *non crittografata*. Non software consumer. Illegale. |
| «Prossimità Bluetooth / Wi-Fi» | Richiede accettazione associazione, accettazione trasferimento file, accettazione installazione. Non silenzioso. |
Il Monitoraggio Legittimo Richiede
- Accesso Fisico: 5–15 minuti sbloccato.
- Codice/PIN: Per sbloccare, abilitare debug USB (Android) o installare profilo MDM (iOS).
- Compatibilità OS: Verifica le versioni OS supportate dal venditore (es. mSpy, FlexiSPY, Hoverwatch, uMobix elencano specifici Android 10–14 / iOS 14–17).
- Root / Jailbreak (per funzioni *avanzate*): Registrazione chiamate, microfono ambientale, keylogger, decriptazione app crittografate (WhatsApp, Signal) spesso richiedono root (Magisk) o jailbreak (palera1n, doppler). **OS stock = set di dati limitato.**
Confine Legale ed Etico
- Dispositivo Proprio / Figlio Minorenne / Consenso Esplicito del Dipendente (policy BYOD): Generalmente legale (varia per giurisdizione).
- Coniuge / Partner / Adulto Senza Conoscenza: **Crimine di intercettazione / frode informatica** nella maggior parte degli stati USA (consenso 1-party vs 2-party), UE (GDPR), UK (RIPA).
Rilevamento e Rimozione
- Android: Impostazioni > App > Accesso Speciale > Amministratore Dispositivo / Accessibilità / Accesso Utilizzo → revoca sconosciuti. Scansione Play Protect. Ripristino alle impostazioni di fabbrica (l'unico modo sicuro).
- iOS: Impostazioni > Generali > VPN e Gestione Dispositivo → elimina profili sconosciuti. Modalità Blocco (iOS 16+) blocca la maggior parte dei vettori. Ripristino alle impostazioni di fabbrica.
Se qualcuno sostiene di poter spiare un telefono «solo conoscendo il numero», sta vendendo **olio di serpente o un kit per crimini**. Allontanati.