Etica dell'hacking dei telefoni: limiti e rischi legali

Ogni mese milioni di persone cercano online come accedere al telefono di qualcun altro. Le motivazioni sono quasi sempre comprensibili: il sospetto che il partner nasconda qualcosa, la preoccupazione per ciò che un figlio adolescente fa sullo smartphone, il timore di essere sorvegliati senza saperlo. Il problema è che la risposta proposta da quegli annunci, accesso a messaggi, cronologia delle chiamate, galleria fotografica e posizione in tempo reale, è quasi sempre falsa o criminale.

Questa guida affronta il tema dal lato difensivo. Spiega che cosa comprende davvero l'espressione «hacking del telefono», perché nella maggior parte dei casi configura un reato e produce un danno concreto, come si riconosce uno spyware installato sul proprio dispositivo e quali strade lecite esistono per chi ha un bisogno legittimo di verifica. Non contiene istruzioni per violare un telefono: nessun professionista serio le pubblicherebbe.

Che cosa comprende davvero l'hacking del telefono

Dietro la stessa espressione convivono attività con statuti giuridici opposti, e confonderle è il primo errore da evitare.

Accesso remoto non autorizzato. È ciò che la maggior parte delle persone immagina: un servizio che consegna messaggi, registro delle chiamate, foto e posizione GPS di un terzo. In Italia e nel resto dell'Unione europea, così come negli Stati Uniti, nel Regno Unito, in Canada e in Australia, questo comportamento è un reato. Il Computer Fraud and Abuse Act statunitense e il Computer Misuse Act britannico perseguono l'accesso non autorizzato a un dispositivo, e gli ordinamenti europei lo trattano come accesso abusivo a un sistema informatico.

Installazione di stalkerware. È il software commerciale venduto come «controllo genitoriale» o «monitoraggio dei dipendenti» che, una volta installato fisicamente sul telefono, trasmette in silenzio comunicazioni, posizione e attività delle app a un terzo. Lo stato giuridico dipende interamente dal consenso e dalla trasparenza: su un adulto, senza la sua conoscenza, è illegale quasi ovunque. Nei contesti di violenza domestica è uno degli strumenti principali usati per controllare la vittima.

Sostituzione della SIM. Il SIM swapping è un attacco di ingegneria sociale contro il gestore telefonico: l'attaccante convince l'operatore a trasferire il numero della vittima su una SIM che controlla. Da quel momento intercetta i codici monouso inviati via SMS e assume il controllo di posta, home banking e social. È un reato e una minaccia concreta per chi ha un profilo di rischio alto, come chi detiene criptovalute o ricopre ruoli dirigenziali.

Sfruttamento di SS7. Il sistema di segnalazione SS7 è l'infrastruttura su cui viaggia la telefonia mondiale. Vulnerabilità note permettono, a chi ha accesso a quel livello, di intercettare chiamate e SMS e di localizzare un telefono senza toccarlo. Non è un servizio che si compra con un bonifico da cinquanta euro: richiede accesso a infrastrutture di telecomunicazione o risorse statali. Chi promette tracciamento SS7 a basso costo vende una truffa o gestisce un'organizzazione criminale.

Verifica autorizzata del dispositivo. È la versione legittima: un professionista certificato, su autorizzazione scritta del proprietario o dell'organizzazione, analizza il telefono per individuare vulnerabilità, malware installato, configurazioni deboli ed esposizione dei dati. È lecita, utile e sempre tracciabile in un rapporto scritto.

Perché l'accesso non autorizzato è reato, anche in Italia

L'articolo 615-ter del Codice penale punisce l'accesso abusivo a un sistema informatico o telematico, e l'articolo 617 riguarda la cognizione e l'interruzione illecite delle comunicazioni telefoniche. A queste disposizioni si aggiungono le norme sulle interferenze illecite nella vita privata, sulla detenzione abusiva di codici di accesso e sulla frode informatica. La conseguenza pratica è doppia: chi installa lo spyware rischia una condanna, e chi usa le informazioni ottenute rischia di vederle dichiarate inutilizzabili in un procedimento.

Sul piano della protezione dei dati, il GDPR si applica appena si trattano contenuti di comunicazioni, rubriche, posizione e cronologia di utilizzo. Un'applicazione installata di nascosto non ha base giuridica: manca il consenso, manca un contratto, manca un obbligo di legge. Se il monitoraggio ha comportato una violazione di dati personali, scatta l'obbligo di notifica al Garante per la protezione dei dati personali entro 72 ore. Per gli incidenti che coinvolgono infrastrutture rilevanti il riferimento tecnico è l'ACN, l'Agenzia per la cybersicurezza nazionale; per la parte penale la denuncia si presenta alla Polizia Postale.

Vale la pena ripeterlo perché è il punto più sottovalutato: la relazione tra le parti non modifica il reato. Un coniuge, un genitore di un figlio maggiorenne, un datore di lavoro o un ex partner non ricevono automaticamente il diritto di leggere le comunicazioni private di qualcuno.

Consenso e trasparenza: dove passa la linea etica

Se c'è una regola che riassume l'intera questione è questa: il monitoraggio è lecito ed etico quando la persona controllata lo conosce, lo accetta e l'accordo è documentato. Ne sono esempi il controllo genitoriale dichiarato su un minore affidato, la policy aziendale resa nota prima dell'uso del dispositivo e il software di gestione installato con il consenso del dipendente.

Fuori da quella linea non esiste una zona grigia accettabile. Le giustificazioni emotive, «sospettavo un tradimento», «ero preoccupato», «mi servivano prove per il tribunale», non sono autorizzazioni: i tribunali non le accettano come tali e le prove raccolte con accesso non autorizzato vengono di norma escluse. Nei casi di violenza domestica lo stalkerware serve a isolare la vittima, e la cronologia degli accessi diventa essa stessa un elemento di rischio.

Come si nasconde lo spyware su Android e iOS

Chi sospetta di essere monitorato deve sapere dove guardare. Su Android i punti di ingresso più comuni sono i servizi di accessibilità concessi ad app che non ne hanno bisogno, lo stato di amministratore del dispositivo, l'accesso alle notifiche e l'esecuzione in background. Su iOS i segnali più frequenti sono un profilo di configurazione o un certificato installato senza ragione, una VPN personale sempre attiva, un arruolamento MDM non ricordato e app arrivate tramite TestFlight.

Gli indicatori tecnici che ricorrono in quasi tutti i casi sono quattro: consumo anomalo della batteria, aumento inspiegabile del traffico dati, dispositivo caldo quando è inattivo, app sconosciute nell'elenco completo e non solo nella schermata iniziale. A questi si aggiungono attività di account non riconosciute, come avvisi di accesso da località inattese o codici di verifica ricevuti senza averli richiesti.

Segnale osservabile	Cosa suggerisce	Dove verificare
Batteria in calo senza uso intenso	Processi attivi in modo continuo	Impostazioni > Batteria, uso per app
Picco di traffico dati	Esfiltrazione verso server remoti	Impostazioni > Rete > Uso dati
Dispositivo caldo da inattivo	Attività di CPU non giustificata	Elenco delle app in background
App non ricordata nell'elenco completo	Installazione successiva all'acquisto	Elenco app e amministratori del dispositivo
Profilo o certificato su iOS	Configurazione imposta da terzi	Impostazioni > Generali > VPN e gestione dispositivi

Nessuno di questi segnali, da solo, dimostra la presenza di spyware: la combinazione di più indicatori, però, giustifica un controllo approfondito.

Cosa fare se sospetti di essere monitorato

La prima regola è di sicurezza fisica, non tecnica. Se il monitoraggio è collegato a una relazione violenta, non usare il dispositivo compromesso per cercare aiuto: ricerche, chiamate e messaggi possono essere letti da chi ti controlla. Rivolgiti prima a un dispositivo separato, il telefono di una persona di fiducia o un computer pubblico, e contatta un centro antiviolenza o le forze dell'ordine.

Se il rischio non è fisico, la sequenza difensiva è questa. Aggiorna sistema operativo e applicazioni: molti strumenti sfruttano vulnerabilità note di software datato. Esegui una scansione con un prodotto di sicurezza mobile affidabile. Rivedi i permessi di accessibilità, posizione, microfono, fotocamera e contatti, revocando quelli che non servono all'app. Controlla sessioni attive e applicazioni collegate in Google, Apple ID e sui social, revocando ciò che non riconosci. Cambia le password di posta, gestore telefonico, banca e social da un dispositivo pulito. Sostituisci l'SMS con un'app di autenticazione o una chiave hardware, eliminando il SIM swapping come vettore. Se sospetti software installato, valuta il ripristino di fabbrica con backup dei soli dati essenziali: reinstallare da un backup completo può reintrodurre il malware. Una checklist più dettagliata per iOS è nella guida su come proteggere l'iPhone dagli hacker.

La perizia autorizzata al posto dell'intrusione

Quando il sospetto è fondato e il rischio è alto, come nel caso di dirigenti, giornalisti, attivisti o persone che escono da una relazione violenta, la scansione commerciale non basta. Con autorizzazione scritta del proprietario e un perimetro definito, un professionista certificato può svolgere un esame forense del dispositivo per verificare la presenza di spyware non commerciale, analizzare il traffico di rete autorizzato alla ricerca di indicatori di comando e controllo, produrre un rapporto scritto con metodi, risultati e riscontri, e consigliare una sostituzione sicura del dispositivo. I passaggi tecnici e i limiti di questo lavoro sono descritti nella guida all'esame forense del telefono.

La differenza rispetto all'intrusione non è il livello tecnico: è il titolo giuridico. La stessa competenza che servirebbe a violare un telefono serve a dimostrare che è stato violato, ma solo la seconda attività produce un risultato utilizzabile davanti a un giudice o a un'autorità.

Le truffe che circondano questo mercato

Chi cerca un servizio di hacking del telefono incontra un'infrastruttura criminale strutturata, e i modelli ricorrenti sono quattro.

La truffa del pagamento anticipato è la più diffusa: il sedicente hacker chiede un acconto tramite bonifico, criptovaluta o carte regalo, poi sparisce. La consegna parziale con richieste crescenti funziona diversamente: arrivano screenshot fabbricati o dati di posizione generici, seguiti dalla richiesta di un secondo pagamento per un presunto problema tecnico. La fabbricazione di prove colpisce chi è in una causa di separazione o di affidamento: le conversazioni consegnate sono inventate, e usarle in giudizio è un reato che ha portato più di un cliente in carcere. La contro-estorsione chiude il cerchio: l'organizzazione identifica chi ha pagato e lo ricatta minacciando di rivelare al coniuge o al datore di lavoro che cosa aveva commissionato.

Prima di valutare un fornitore vale la pena leggere i criteri con cui si distingue un incarico legittimo da una truffa: ne parliamo nella guida su quando è legale assumere un hacker.

Alternative lecite, in ordine di rischio crescente

Esiste una scala di opzioni che copre quasi tutti i bisogni reali senza esporre nessuno a un procedimento penale. Al primo gradino c'è il consenso scritto: chiedere, spiegare perché e mettere per iscritto l'accordo è la soluzione più economica e l'unica che regge in giudizio. Al secondo, il controllo genitoriale trasparente su un minore affidato, con il ragazzo informato nella misura adatta all'età. Al terzo, la gestione dei dispositivi aziendali tramite MDM, che consente di verificare la conformità di un telefono aziendale senza leggere i contenuti personali. Al quarto, la perizia autorizzata su un dispositivo di cui si è proprietari. All'ultimo, la denuncia: alla Polizia Postale per il reato, al Garante per il trattamento illecito dei dati.

Domande frequenti

È mai lecito accedere al telefono di un'altra persona?

Sì, quando c'è un accordo esplicito e documentato. Un genitore può monitorare il dispositivo di un figlio minore con un controllo dichiarato, un datore di lavoro può monitorare un dispositivo aziendale secondo una policy nota, e chiunque può accedere a un telefono di sua proprietà. Senza quell'accordo l'accesso è generalmente illecito, indipendentemente dal rapporto tra le parti.

Lo spyware può essere installato a distanza, senza toccare il telefono?

La maggior parte degli stalkerware commerciali richiede accesso fisico al dispositivo. Gli strumenti statali più sofisticati riescono nell'installazione remota tramite exploit zero-click, ma sono rari e indirizzati a bersagli di alto profilo. Se non sei un giornalista, un attivista o un dirigente, il tuo modello di minaccia è probabilmente diverso e passa da phishing, link malevoli e profili di configurazione.

Come verifico la presenza di spyware senza cancellare le prove?

Se ti serve una certezza utilizzabile, l'ordine corretto è prima l'esame forense su un'immagine del dispositivo e solo dopo l'eventuale ripristino. Il ripristino di fabbrica elimina quasi tutti gli spyware commerciali, ma cancella anche gli elementi che servirebbero a identificare chi ha installato il software. Se il dispositivo è collegato a una situazione di violenza, la priorità resta la sicurezza della persona.

Posso usare in tribunale le prove trovate sul telefono del mio partner?

Di norma no. Le prove raccolte con accesso non autorizzato a un dispositivo sono considerate illecite e vengono escluse, e chi le ha raccolte può essere chiamato a rispondere penalmente. In una causa di separazione la strada corretta è la richiesta di esibizione documentale tramite il difensore o un accertamento tecnico disposto dal giudice, non l'accesso diretto al telefono.

Serve un professionista per un telefono aziendale?

Dipende dal perimetro. Per la conformità di un parco dispositivi la risposta è quasi sempre un MDM ben configurato, non un intervento forense. Per un sospetto concreto di compromissione in un'organizzazione con dati sensibili, il piano di risposta all'incidente deve prevedere l'acquisizione dell'immagine del dispositivo e l'analisi prima del ripristino.

A chi segnalo una truffa legata a un servizio di hacking?

Conserva tutte le comunicazioni, le ricevute di pagamento e i materiali ricevuti come risultato: sono prove. In Italia la denuncia si presenta alla Polizia Postale o ai Carabinieri, mentre la segnalazione di un trattamento illecito dei dati va al Garante per la protezione dei dati personali. Se il danno è patrimoniale, aggiungi la comunicazione alla tua banca e, per i pagamenti con carta, la richiesta di storno.

In sintesi

L'hacking del telefono non autorizzato è reato in praticamente ogni ordinamento e produce danni reali a chi lo subisce. La maggior parte dei servizi che lo promette è una truffa costruita per sottrarre denaro, fabbricare prove o estorcere. Lo stalkerware è una minaccia concreta, soprattutto nei contesti di violenza domestica, e va affrontata prima come problema di sicurezza personale e poi come problema tecnico. Gli indicatori difensivi e le contromisure di base coprono la maggior parte dei casi consumer; per i profili ad alto rischio la strada corretta resta la perizia autorizzata, con consenso scritto e rapporto formale.