Come utente Android, potresti pensare che sia sicuro scaricare app dal Play Store di Google. È comprensibile, ma non del tutto esatto.

I severi controlli di sicurezza rendono il Play Store il posto più sicuro in cui scaricare app Android, ma non del tutto sicuro. L’app store di Google è un bersaglio primario sia per i cybercriminali sia per gli sviluppatori che monetizzano (e quindi compromettono) i tuoi dati, e non sarà mai privo di rischi al 100%.

Ecco perché devi scegliere le app con consapevolezza: esamina attentamente le app prima di scaricarle, controlla quelle che hai già scaricato e proteggi i dati sul tuo dispositivo in caso di violazione.

Come le app dannose aggirano Google

L’anno scorso, Google ha bloccato la pubblicazione di 1,75 milioni di app che violavano le policy(nuova finestra) e ha bannato oltre 80.000 account di sviluppatori. Google Play Protect(nuova finestra), integrato nella maggior parte dei dispositivi Android, ha bloccato 266 milioni di tentativi di installazione a rischio.

Ma l’azione di Google ha dei limiti. I cybercriminali trovano continuamente il modo di aggirare le scansioni preventive prima della pubblicazione e dell’installazione eseguite da Google.

Strategie comuni:

  • Inviare app pulite per la revisione per poi introdurre attività dannose tramite aggiornamenti da remoto.
  • Camuffare app dannose da semplici (e funzionali) utility, come uno scanner di documenti o un lettore PDF.
  • Camuffare app dannose da app per la sicurezza o antivirus, un travestimento particolarmente subdolo ed efficace: se un utente ha fretta di risolvere un problema, sarà meno propenso a fare controlli prima di installare.

Ogni giorno sul Play Store vengono pubblicate 2.029 app(nuova finestra), quindi è inevitabile che alcune app dannose sfuggano ai controlli di Google. L’anno scorso, Bitdefender ha scoperto una campagna di frode pubblicitaria chiamata Vapor(nuova finestra) che ha coinvolto almeno 331 app dannose, alcune delle quali raccoglievano credenziali e dati delle carte di credito degli utenti.

Queste app sono state scaricate dal Play Store oltre 60 milioni di volte.

Le app legittime possono comunque mettere a rischio i tuoi dati

Le app dannose non sono gli unici pericoli da cui guardarsi sul Play Store. Esistono anche app legittime che raccolgono e memorizzano silenziosamente i tuoi dati personali e di tracciamento per poi condividerli con terze parti, como le reti pubblicitarie.

L’anno scorso, NowSecure ha testato 25.000 app(nuova finestra) su iOS e Android, riscontrando che il 75% delle app iOS e il 70% delle app Android analizzate raccoglieva sia dati sensibili sia domini di tracciamento.

Google consente la presenza di queste app sul Play Store perché i loro sviluppatori dichiarano apertamente quali dati raccolgono e perché nella sezione relativa alla sicurezza dei dati della pagina del prodotto dell’app.

Google ha inasprito le sue policy nel 2025, bloccando 255.000 app(nuova finestra) per impedire che ottenessero un “accesso eccessivo” ai dati sensibili. Questo lascia sbloccate migliaia di app che raccolgono dati rispettando alla lettera le policy di Google, ma che comunque vanno ben oltre ciò che gli utenti si aspetterebbero.

Questa non è solo una preoccupazione per la privacy: è anche un pericolo. App legittime ma avide di dati condividono regolarmente i dati degli utenti con SDK pubblicitari e partner di analisi. Queste terze parti possono poi trasmettere tali dati a data broker senza scrupoli.

Ogni anello di questa catena è un potenziale punto di violazione. Se i tuoi dati vengono compromessi, potresti non scoprirlo prima che sia troppo tardi.

A cosa prestare attenzione: una checklist in cinque punti

Non esiste una lista nera autorevole e aggiornata a cui fare riferimento per le app bannate (o che dovrebbero esserlo).

Ma ci sono elementi a cui puoi prestare attenzione per individuare le app a rischio:

  1. Controlla la sezione sulla sicurezza dei dati: lo sviluppatore ha spiegato quali dati raccoglie e come li utilizzerà? Una sezione vuota è ovviamente un importante campanello d’allarme, ma lo è anche una policy non coerente con le funzionalità dell’app. Un’app torcia non dovrebbe aver bisogno di accedere ai tuoi contatti.
  2. Leggi le autorizzazioni all’installazione: una volta installata un’app, questa spesso richiederà l’accesso a posizione, contatti, archiviazione e/o microfono. A volte ha senso, ma altre volte potrebbe sembrare eccessivo. Di nuovo, un’app per sfondi ha davvero bisogno di conoscere la tua posizione?
  3. Controlla il nome e la cronologia dello sviluppatore: lo sviluppatore è un’azienda registrata con altre app pubblicate e una presenza sul web? Oppure si tratta di un account individuale con un’unica app a proprio nome e nessuna traccia che fornisca un contesto? 
  4. Verifica se le recensioni sono reali: le recensioni false tendono a presentarsi secondo schemi evidenti. Una sfilza di recensioni a cinque stelle pubblicate in un breve periodo è una nota tattica di manipolazione. Verifica se ci sono recensioni critiche intervallate da recensioni positive e se le date sono distribuite su un lungo arco di tempo.
  5. Fai attenzione alle utility gratuite: i travestimenti più comuni sia per le app dannose sia per quelle che raccolgono dati sono app gratuite per torcia e batteria, tastiere, editor di foto gratuiti, app meteo con accesso alla posizione e giochi con annunci pubblicitari. Se un’app è gratuita e non capisci in che modo le sue funzioni possano far guadagnare gli sviluppatori, allora la risposta potrebbe essere che il loro modello di ricavo sono i tuoi dati.

Come proteggere i tuoi dati

Anche se hai fatto tutte le dovute verifiche, potresti comunque scaricare un’app dannosa dal Play Store. Ma con le giuste protezioni attive, puoi limitare i danni che l’app può causare.

Crittografa la tua connessione con Proton VPN

Le app dannose spesso cercano di trasmettere i tuoi dati (tra cui cronologia di navigazione, posizione e identificatori del dispositivo) tramite una connessione non crittografata.

Ecco che entra in gioco Proton VPN: una VPN sicura(nuova finestra) che

  • Crittografa tutti i dati da e verso il tuo telefono a livello di rete, rendendo significativamente più difficili la trasmissione e l’intercettazione di cronologia di navigazione, posizione e identificatori del dispositivo
  • Previene la sorveglianza a livello di rete sul WiFi pubblico (un comune vettore di attacco(nuova finestra) per le app compromesse) 
  • Blocca le trasmissioni di dati su cui si basano gli SDK di analisi (tramite il blocco dei tracker integrato NetShield(nuova finestra)), limitando i dati che gli sviluppatori possono condividere con terze parti

Proteggi le tue credenziali con Proton Pass

Le app dannose utilizzano keylogger invisibili e overlay di phishing per rubare le credenziali di accesso. Questo può essere particolarmente dannoso se, come molti, riutilizzi le stesse password su più account.

Proton Pass è un gestore di password sicuro che risolve entrambi i problemi:

  • Genera password univoche per ogni account che crei, in modo che se uno subisce una violazione, non la subiscano tutti
  • Protegge password, chiavi di accesso e carte di credito con la crittografia zero-knowledge end-to-end. Ciò significa che le tue credenziali vengono crittografate sul tuo dispositivo prima di essere inviate, e nemmeno Proton può accedervi.

Scopri come rimuovere i malware

Se temi che il tuo dispositivo sia stato compromesso, o vuoi sapere cosa cercare in tal caso, assicurati di saper riconoscere i segnali che indicano che il tuo telefono è stato violato.