App false: come riconoscere le app malevole prima di installarle

Per riconoscere le app false controlla chi ha creato l'app, da quanto tempo esiste e se le recensioni sembrano autentiche, e non installare mai un'app da un file che qualcuno ti manda in chat, via SMS o con un QR code. La maggior parte delle app malevole copia un'app famosa in uno store ufficiale oppure arriva come download diretto accompagnato da una storia urgente. Se un'app ti arriva tramite un messaggio invece che da una tua ricerca su Google Play o nell'App Store, consideralo un segnale d'allarme.

È importante perché un'app malevola può leggere i tuoi messaggi, compresi i codici usa e getta della banca, mostrarti false schermate di accesso o persino permettere a un criminale di controllare lo schermo. Una sola installazione sbagliata può portare a un conto svuotato e ad account rubati. Pochi controlli semplici fermano quasi tutti questi trucchi.

App copiate negli store ufficiali

Google Play e l'App Store controllano le app, ma alcune false riescono comunque a passare per un po' di tempo. Copiano il nome e l'icona di un'app popolare, come quella di una banca, di un corriere o di un servizio pubblico.

Prima di toccare Installa, controlla questi dettagli:

• Nome dello sviluppatore. Confrontalo con il sito ufficiale dell'azienda. L'app di una banca deve essere pubblicata dalla banca stessa, non da un privato o da una società dal nome simile.
• Nome e icona. Cerca piccole differenze: una parola in più come "Pro" o "Plus", errori di ortografia o un'icona leggermente sfocata.
• Download rispetto alle recensioni. L'app vera di una grande banca ha di solito moltissimi download e una lunga storia di recensioni. Una copia ha spesso pochi download ma tante recensioni a cinque stelle.
• Recensioni recenti. Ordinale dalla più nuova. Lodi brevi e generiche pubblicate negli stessi pochi giorni sono sospette, e commenti come "questa non è l'app vera" sono un avvertimento chiaro.
• Permessi. Se un semplice strumento vuole i tuoi SMS, i contatti o i servizi di accessibilità, chiediti perché. La nostra guida ai permessi delle app spiega quali sono rischiosi.

L'abitudine più sicura è seguire il link allo store presente sul sito ufficiale della banca o del servizio, invece di toccare il primo risultato della ricerca, che potrebbe essere un annuncio.

File APK inviati via chat, SMS o QR code

È una delle truffe telefoniche più diffuse oggi, soprattutto su Android. Qualcuno che finge di essere la banca, il fisco, un corriere o le forze dell'ordine ti contatta con una storia urgente:

• "Installa questa app per ricevere il rimborso."
• "Paga la multa con questa app prima che raddoppi."
• "Il tuo pacco è in giacenza. Installa la nostra app di tracciamento per fissare una nuova consegna."

L'"app" è un file APK (il file di installazione delle app Android) inviato come link, allegato in chat o QR code. Una volta installata, chiede l'accesso ai servizi di accessibilità o agli SMS, che permette ai criminali di leggere i codici della banca e vedere il tuo schermo.

Ricorda una regola semplice: le banche vere e gli uffici pubblici non inviano file di app via chat o SMS. Se ricevi una richiesta del genere, riattacca, chiudi la chat e contatta l'ente al suo numero ufficiale.

Se il link è arrivato come QR code, puoi scansionare un QR code online per vedere l'indirizzo completo prima di aprirlo. Un link che finisce in ".apk", o una pagina che avvia subito un download, è un forte segnale di truffa.

Finti pop-up di aggiornamento e avvisi sulle "origini sconosciute"

Falsi messaggi di aggiornamento

I pop-up che dicono "Il tuo browser non è aggiornato" o "Il tuo telefono è infetto" non sono veri messaggi di sistema. Gli aggiornamenti veri arrivano dalle Impostazioni del telefono, dall'App Store o da Google Play. Chiudi la pagina.

L'avviso "Installa app sconosciute" su Android

Android blocca per impostazione predefinita le installazioni al di fuori di Google Play. Per installare un APK devi autorizzare un'app specifica, come il browser o un'app di chat, a "installare app sconosciute", e Android mostra un avviso. Anche Google Play Protect può avvisarti che un'app è dannosa.

Prendi sul serio questi avvisi. Se qualcuno al telefono ti sta guidando ad attivare questa impostazione, fermati: è esattamente ciò che fanno i truffatori. Se in passato l'hai attivata, cerca "installa app sconosciute" nelle Impostazioni e disattivala.

Trucchi su iPhone: profili di configurazione e app aziendali

• Profili di configurazione. Un sito può chiederti di scaricare un "profilo" per avere Wi-Fi gratis, un premio o un "certificato di sicurezza". Un profilo malevolo può far passare il tuo traffico attraverso l'attaccante. Controlla Impostazioni > Generali > VPN e gestione dispositivi. Se vedi un profilo che non riconosci e che non è stato installato dal tuo datore di lavoro o dalla scuola, rimuovilo.
• App aziendali e di prova. Le aziende possono installare app interne senza passare dall'App Store, e gli sviluppatori possono invitare persone a provare le app. I truffatori ne approfittano per false app di investimento e bancarie. Se ti chiedono di dare "fiducia" a uno sviluppatore nelle impostazioni prima che l'app si apra, o di installare una "versione beta" di un'app di trading, è quasi certamente una truffa.

Al di fuori del lavoro o della scuola, un normale utente iPhone non dovrebbe avere bisogno di nessuna delle due cose.

Cosa fare se hai installato un'app falsa

1. Scollegati. Attiva la modalità aereo, così l'app non può inviare dati né ricevere comandi.
2. Togli i diritti speciali. Su Android controlla le "app di amministrazione del dispositivo" (spesso in Sicurezza) e le impostazioni di accessibilità, e disattiva tutto ciò che non riconosci. Altrimenti l'app potrebbe rifiutarsi di farsi disinstallare.
3. Disinstalla l'app. Su Android, se ancora non va via, riavvia in modalità provvisoria e riprova. Su iPhone elimina l'app e ogni profilo sconosciuto.
4. Chiama la banca. Usa il numero sulla carta e chiedi di controllare i movimenti e di bloccare l'accesso se necessario.
5. Cambia le password da un altro dispositivo. Comincia da email, banca e social network. Attiva l'autenticazione a due fattori dove non l'hai ancora fatto.
6. Controlla e tieni d'occhio il telefono. Avvia Google Play Protect su Android, installa gli aggiornamenti e verifica i sintomi descritti nella nostra guida sui virus sul telefono. Se i problemi continuano, fai un backup delle foto e un ripristino ai dati di fabbrica.

Checklist rapida

1. Installa app solo da Google Play o dall'App Store, mai da un file inviato in chat, via SMS o con un QR code.
2. Confronta il nome dello sviluppatore con il sito ufficiale dell'ente o dell'azienda.
3. Confronta il numero di download con quello delle recensioni, e leggi le recensioni più recenti.
4. Diffida di qualsiasi app che promette un rimborso, notizie su un pacco o una multa ridotta.
5. Tieni disattivato "installa app sconosciute" su Android.
6. Ignora i pop-up che ti chiedono di installare un aggiornamento da un sito web.
7. Su iPhone non installare mai un profilo e non dare "fiducia" a uno sviluppatore, a meno che non te lo chieda il datore di lavoro o la scuola.
8. Se hai installato qualcosa di sospetto, scollegati, disinstalla, chiama la banca e cambia le password da un altro dispositivo.

FAQ

Le app false possono arrivare su Google Play o nell'App Store?

Sì, a volte, anche se entrambi gli store le rimuovono quando le scoprono. Controllare il nome dello sviluppatore, il numero di download e le recensioni recenti ti aiuta a smascherarle.

È sicuro installare un file APK?

Solo se sei assolutamente sicuro della sua provenienza. Un APK inviato da qualcuno che dice di essere una banca, un ufficio pubblico o un corriere è una truffa.

Come faccio a capire se un'app è sicura?

Chiediti: è nello store ufficiale, lo sviluppatore è la vera azienda, le recensioni sembrano naturali e i permessi hanno senso? Se anche una sola risposta è no, non installarla.

Anche su iPhone può finire un'app falsa?

Sì. Ogni tanto nell'App Store compaiono delle copie, e i truffatori usano profili, app aziendali e inviti di prova per aggirarlo.

La maggior parte delle app false arriva tramite un link o un QR code in un messaggio urgente. Prima di aprirlo, controlla dove porta davvero con lo scanner QR online gratuito di QR-TH, e se l'indirizzo finisce in ".apk", fermati lì.