L’allarme
Da spyware a stalkerware: così le app spia alimentano la violenza domestica

Da spyware a stalkerware: così le app spia alimentano la violenza domestica

Usati dai governi per controllare dissidenti, attivisti e giornalisti, questi software evolvono e diventano strumenti di un preoccupante tutti contro tutti, con scopi molto vari. E molto poco nobili

3 minuti di lettura

Gli spyware, software usati per raccogliere informazioni sulle attività delle persone online senza che ne siano consapevoli, sono argomento noto e sono strumenti utilizzati dai governi per controllare movimenti ritenuti degni di attenzione.

La novità è che stanno prendendo sempre più piede software chiamati stalkerware, cioè spyware acquistabili per poche decine di euro, che permettono a chiunque di controllare i dispositivi mobili delle loro vittime: c’è chi vuole controllare il partner, genitori che vogliono tenere sott’occhio i figli, persino datori di lavoro troppo invadenti.

Sono applicazioni che trasmettono ogni tipo di informazione senza che la vittima se ne renda conto: telefonate, sms, app per la messaggistica istantanea, fotografie, cronologia del browser, mail e localizzazione del telefono; lavorano senza sosta e in background, ovvero la vittima non ha modo di notare alcunché di strano solo guardando il display dello smartphone.

Il fenomeno non è nuovo

In realtà, gli stalkerware esistono da anni, tanto che a ottobre 2021 un exploit (una vulnerabilità) è stata utilizzata per violare uno di questi software e sottrarre dati di migliaia di persone. Sono applicazioni che sono sul mercato da anni e sulle quali si ritorna oggi a causa della loro diffusione che, fatto salvo il periodo di lockdown imposto dal coronavirus, è in crescita.

Non se ne fa uso soltanto al di là dell’oceano, tant’è che l’azienda di sicurezza Kaspersky Lab fornisce un report annuale attraverso cui monitora la diffusione degli stalkerware. L’edizione 2020 del report segnala che, a livello globale, le vittime sono state 53.870, meno delle 67.500 del 2019. Questo calo, non strutturale, è dovuto alle serrate che si sono registrate praticamente ovunque nel mondo: se controllanti e controllati sono rimasti sotto lo stesso tetto, le necessità di controllo sono diminuite.

Se Kaspersky si è basata su ricerche proprietarie, i giornalisti di TechCrunch hanno avviato un’indagine di più ampio respiro, stimando che la vulnerabilità individuata a ottobre abbia compromesso almeno 400mila dispositivi nel mondo, individuando anche 9 app che agiscono nello stesso identico modo e quindi riconducibili a un gruppo ristretto di sviluppatori: sono Copy9, ExactSpy, FoneTracker, GuestSpy, iSpyoo, MxSpy, SecondClone, TheSpyApp e TheTruthSpy.

Tutte queste applicazioni hanno la stessa interfaccia grafica e permettono al controllante di accedere a una pagina web sulla quale vengono raccolti tutti i dati trasmessi dai dispositivi mobili del controllato.

Sono per lo più app scritte e sviluppate al riparo dai più elementari parametri di sicurezza e piene di bug, tant’è che chi le produce è rimasto vittima della propria grossolaneria. Le falle più riscontrate riguardano i bug definiti Idor (la sigla sta per Insecure direct object references), vulnerabilità nel controllo degli accessi che, nel caso specifico e tradotto in modo semplice, permette a chi ne ha la capacità di accedere anche ai dati raccolti da altri controllanti. Normalmente queste lacune possono essere colmate direttamente sui server, senza necessità di aggiornare le applicazioni.

Sono applicazioni sviluppate da organizzazioni difficilmente rintracciabili, i cui siti sono riconducibili ad aziende non più esistenti, come il caso di Jexpa che, pur essendo stata radiata nel 2009 dai registri di commercio Usa, è ancora viva e vegeta (e nascosta). La ricerca di TechCrunch ha portato a un’azienda vietnamita chiamata 1Byte.

Non sono soltanto numeri

La diffusione degli stalkerware è ovviamente importante, ma spesso è un segnale, un indice di un problema più grave, una sorta di estensione digitale di un atteggiamento oppressivo e violento cui le vittime sono sottoposte nel quotidiano.

Secondo Kaspersky Lab, il 6% degli italiani intervistati ha ammesso di aver usato uno stalkerware e le attività di monitoraggio del partner sarebbero moralmente accettabili per il 26% degli intervistati; questo dato fa tra l’altro il paio con quel 24% di partner che sospetta di essere vittima di invadenza digitale.

Come difendersi: i primi passi

Gli stalkerware appartengono più al mondo Android che a quello iOS, perché le politiche di Cupertino in materia di privacy sono più stringenti, così come sono più rigorosi i controlli svolti sulle app prima di consentirne la pubblicazione sull’Apple Store.

Ci sono accorgimenti che possono essere presi a prescindere: considerato che queste app devono essere istallate sul dispositivo della vittima, è consigliabile non lasciare il proprio smartphone incustodito e, in ogni caso, proteggerlo con un pin laddove non fosse già necessario sbloccarlo con impronta digitale o riconoscimento del volto.

Va da sé che, trasmettendo dati ai server, il traffico internet ne risente e quindi, davanti a quelli che sembrano essere consumi anormali, sarebbe necessario indagare più a fondo. Allo stesso modo, queste app tendono a consumare batteria in modo abnorme e, non da ultimo, i carichi di lavoro a danno di processore e Ram, scaldano il dispositivo.

Sugli store digitali di Google e di Apple ci sono molte applicazioni in grado di rilevare la presenza di molti stalkerware, ma c’è il rischio che il controllante venga avvertito della rimozione dell’app sul dispositivo controllato. Ci sono soluzioni migliori che richiedono conoscenze tecniche più elevate, ma (è bene ricordarlo) se si è vittime di stalkerware occorre fare finta di nulla per non avviare una reazione violenta del controllante e rivolgersi alle forze dell’ordine o ad associazioni specifiche, tra le quali Donne in Rete contro la Violenza. Cancellare traccia degli stalkerware sui propri dispositivi può coincidere anche con il cancellare le prove della violenza subita, quindi è bene rivolgersi il prima possibile alle autorità.