Se c’è una cosa che ho imparato gestendo server e dispositivi per anni, è che la sicurezza parte sempre dai permessi. Questo vale per Linux, per WordPress, e vale anche per il nostro smartphone Android. Ogni app che installiamo chiede accesso a risorse del telefono – fotocamera, microfono, posizione, contatti – e troppo spesso premiamo “Consenti” senza pensarci. Il risultato? App che raccolgono dati sensibili, consumano batteria in background, e nei casi peggiori si comportano come vero e proprio malware.
Nella mia esperienza quotidiana con Android, ho sviluppato una procedura sistematica per controllare i permessi delle app, identificare quelle sospette e rimuoverle prima che facciano danni. In questo articolo vi mostro come faccio, passo dopo passo, con gli strumenti integrati di Android e qualche accorgimento extra che ho testato sul campo. Se avete già letto la mia guida su DNS privato e protezione tracciamento su Android, considerate questa come il capitolo successivo: dopo aver protetto la connessione, proteggiamo le app.
Il tema è più attuale che mai: secondo i dati di Kaspersky, nel 2025 il numero di minacce Android rilevate è cresciuto di quasi il 50%, con un’impennata del 38% solo nel terzo trimestre. I trojan bancari come Mamont hanno colpito 36 volte più utenti rispetto all’anno precedente. E il vettore di attacco? Spesso sono proprio i permessi eccessivi concessi a app apparentemente innocue.
Perché i Permessi delle App Android Sono Così Importanti
Android classifica i permessi in diverse categorie: install-time permissions (concessi automaticamente all’installazione), runtime permissions (richiesti durante l’uso) e special permissions. Quelli che ci interessano di più dal punto di vista della sicurezza sono i cosiddetti permessi pericolosi (dangerous permissions), che danno accesso a dati sensibili come posizione, contatti, fotocamera, microfono, SMS e storage.
Un’analisi di NowSecure su oltre 378.000 app Android ha rivelato che il 62% richiede uno o più permessi pericolosi. E secondo una ricerca di CyberNews sulle 50 app più popolari del Play Store, le app richiedono in media 11 permessi pericolosi ciascuna. App di comunicazione e social come WhatsApp, Facebook e Instagram sono tra le più “affamate” di dati.
Il problema non è che un’app chieda un permesso – è quando quel permesso non ha senso per la funzione dell’app. Una calcolatrice che chiede accesso agli SMS? Un gioco che vuole la fotocamera e i contatti? Questi sono i campanelli d’allarme che ho imparato a riconoscere.
Come Controllo i Permessi delle App: Procedura Step-by-Step
Step 1: Accedere al Gestore Permessi
Il primo passo è aprire le impostazioni del vostro dispositivo Android e navigare nella sezione dedicata. Ecco il percorso:
- Aprite Impostazioni
- Toccate App (o “App e notifiche”)
- Selezionate l’app che volete controllare (se non la trovate, toccate “Mostra tutte le app”)
- Toccate Permessi
Qui vedrete l’elenco dei permessi concessi e negati. Per modificarli, toccate il singolo permesso e scegliete tra Consenti, Non consentire, oppure per posizione, fotocamera e microfono potrete anche scegliere “Solo durante l’uso dell’app” o “Chiedi ogni volta”.
Step 2: Revisione per Tipo di Permesso
Personalmente preferisco fare una revisione per tipo di permesso, perché è più rapida ed efficace. Su Android, andate in:
- Impostazioni → Sicurezza e privacy → Privacy → Gestione permessi
- Vedrete le categorie: Fotocamera, Posizione, Microfono, Contatti, Telefono, SMS, ecc.
- Toccate ciascuna categoria per vedere quali app hanno quel permesso attivo
Questo è il mio metodo preferito perché vi permette di individuare subito le anomalie. Se trovate un’app torcia con accesso alla posizione, sapete che qualcosa non va.
Step 3: I Permessi Più Pericolosi da Monitorare
Dalla mia esperienza, ecco i permessi Android pericolosi su cui concentro sempre l’attenzione:
- Posizione – Permette il tracciamento GPS. Concedete “Solo durante l’uso” quando possibile
- Fotocamera e Microfono – Possono essere usati per spionaggio. Su Android 15 vedrete un promemoria se un’app accede alla posizione in background
- SMS e Registro chiamate – I trojan bancari come Anatsa/TeaBot richiedono proprio questi permessi per intercettare codici OTP
- Accessibilità – Uno dei permessi più potenti e abusati dal malware. Può simulare tocchi, leggere lo schermo, auto-concedersi altri permessi
- Amministratore dispositivo – Concede controllo quasi totale sul telefono
- Installazione da fonti sconosciute – Permette il sideloading di APK potenzialmente pericolosi
- Sovrapposizione su altre app – Può essere usata per attacchi di tapjacking
Step 4: Disattivare la Fotocamera e il Microfono Globalmente
Una funzione che uso spesso e che molti ignorano: Android permette di disattivare completamente l’accesso a fotocamera e microfono per tutte le app. Andate in:
- Impostazioni → Sicurezza e privacy → Privacy → Controlli privacy
- Disattivate Accesso fotocamera e/o Accesso microfono
Questo è l’equivalente di uno “switch globale”. Quando avete bisogno di usare la fotocamera, vi basta riattivarlo. Lo trovo particolarmente utile in contesti dove la privacy è critica.
Come Identifico e Rimuovo le App Pericolose
Segnali di Allarme: Come Riconosco un’App Sospetta
Negli anni ho sviluppato un mio “checklist” per identificare le app potenzialmente pericolose:
- Permessi eccessivi rispetto alla funzione dichiarata (un gioco che chiede SMS e contatti)
- Sviluppatore sconosciuto senza sito web o altre app pubblicate
- Recensioni sospette – troppo positive e generiche, o recenti lamentele su comportamenti anomali
- Consumo anomalo di batteria o dati in background
- Richiesta di permesso Accessibilità senza un motivo legittimo
- Comparsa improvvisa di pubblicità o reindirizzamenti nel browser
All’inizio non prestavo sufficiente attenzione alla richiesta del permesso di Accessibilità, fino a quando ho scoperto che i ricercatori di sicurezza avvertono da tempo che trojan bancari e spyware abusano proprio di questo permesso per rubare codici OTP e registrare dati sensibili. Da quel momento, ogni volta che un’app richiede l’Accessibilità senza essere un autentico strumento per disabilità, la considero automaticamente sospetta.
Google Play Protect e Live Threat Detection
Un alleato fondamentale nella lotta contro le app malevole è Google Play Protect, che è attivo di default su tutti i dispositivi con Google Mobile Services. La funzione che più mi ha impressionato è la Live Threat Detection, che utilizza modelli di intelligenza artificiale on-device per analizzare il comportamento delle app in tempo reale.
Play Protect analizza i segnali comportamentali legati all’uso di permessi sensibili e alle interazioni con altre app e servizi. Se rileva un comportamento sospetto, invia un avviso in tempo reale per permettervi di agire immediatamente. La cosa interessante è che questa analisi avviene interamente sul dispositivo attraverso il Private Compute Core, quindi la vostra privacy è preservata.
Per verificare che sia attivo sul vostro dispositivo:
- Aprite il Google Play Store
- Toccate l’icona del vostro profilo
- Selezionate Play Protect
- Verificate che la scansione sia attiva e lanciate una scansione manuale
Google sta anche preparando una pagina dedicata alla Live Threat Detection che elencherà le app identificate come minacce, rendendo il sistema ancora più trasparente e accessibile.
Rimozione Sicura delle App Pericolose
Quando identifico un’app sospetta, seguo questa procedura per rimuoverla in sicurezza:
- Revocate tutti i permessi – Andate in Impostazioni → App → [nome app] → Permessi e negate tutto
- Revocate il permesso Amministratore dispositivo se concesso – Impostazioni → Sicurezza → App amministratore dispositivo
- Forzate l’arresto dell’app – dalla schermata informazioni app, toccate “Forza arresto”
- Cancellate cache e dati – Sempre nella schermata app, toccate Archiviazione → Cancella cache → Cancella dati
- Disinstallate l’app – Toccate “Disinstalla”
- Eseguite una scansione con Google Play Protect
Se l’app non si lascia disinstallare (alcuni malware più aggressivi si rendono persistenti), potrebbe essere necessario riavviare in Modalità Provvisoria e riprovare da lì. In casi estremi, un factory reset potrebbe essere l’unica soluzione.
Novità Android 2026: Advanced Protection Mode e Permessi Accessibilità
Una novità recentissima che ho trovato molto interessante riguarda l’Advanced Protection Mode di Android. Google sta testando un aggiornamento che blocca le app non essenziali dall’uso dell’AccessibilityService API. Il sistema identifica automaticamente quali app sono genuini strumenti di accessibilità e quali no, verificando la presenza di un tag specifico (isAccessibilityTool) nel codice dell’app.
Se attivate l’Advanced Protection Mode, il sistema non solo impedirà di concedere permessi di accessibilità ad app non essenziali, ma revocherà automaticamente i permessi già concessi. Questo è un passo avanti enorme per la sicurezza, soprattutto per utenti ad alto rischio come giornalisti o funzionari governativi. Se volete approfondire le ultime novità di Android, ho dedicato diversi articoli alle novità di Android 16 e alle ultime patch di sicurezza Android.
Inoltre, su Android 15 e versioni successive, le app installate tramite sideloading non possono più richiedere facilmente permessi sensibili come Accessibilità e Amministratore dispositivo. Questa è una protezione fondamentale considerando che l’analisi di Google ha rilevato oltre 50 volte più malware da fonti sideloaded rispetto alle app disponibili tramite Google Play.
Permessi Automatici: Revoca per App Inutilizzate
Una funzione che consiglio sempre di attivare è la revoca automatica dei permessi per le app inutilizzate. A partire da Android 11, se non usate un’app per alcuni mesi, il sistema revoca automaticamente i permessi sensibili concessi. Per verificare che sia attiva:
- Impostazioni → App → Selezionate un’app
- Cercate “Metti in pausa l’attività dell’app se inutilizzata” sotto le impostazioni app inutilizzate
- Attivate il toggle
Questo è particolarmente utile per quelle app che installate per un uso specifico e poi dimenticate. Tra l’altro, la mia guida su come liberare spazio su Android è un ottimo complemento a questa procedura: meno app inutili avete, meno rischi correte.
Consigli Pratici dalla Mia Esperienza sul Campo
Dopo anni di gestione della sicurezza su diversi dispositivi, vi lascio i miei consigli più importanti:
- Fate un audit mensile dei permessi – Dedicate 10 minuti al mese per controllare il Gestore Permessi. È la miglior prevenzione
- Preferite i permessi “Solo durante l’uso” – Per posizione, fotocamera e microfono, è quasi sempre sufficiente
- Non installate APK da fonti sconosciute – Se proprio dovete, scaricate solo dai siti ufficiali e verificate l’URL
- Leggete attentamente gli avvisi del sistema durante l’installazione – Android vi dice esattamente cosa l’app vuole fare
- Tenete aggiornato Android – Ogni patch di sicurezza chiude vulnerabilità che gli attaccanti sfruttano attivamente
- Non concedete mai l’Accessibilità a un’app che non sia un lettore di schermo o uno strumento per disabilità certificato
Per chi vuole alzare ulteriormente il livello di protezione, consiglio di combinare queste pratiche con una configurazione sicura della rete Wi-Fi domestica e un DNS privato configurato correttamente.
FAQ
Come faccio a vedere tutti i permessi concessi alle app sul mio Android?
Andate in Impostazioni → Sicurezza e privacy → Privacy → Gestione permessi. Qui troverete tutte le categorie di permessi (Posizione, Fotocamera, Microfono, ecc.) e potrete vedere quali app hanno accesso a ciascuna risorsa. In alternativa, potete controllare i permessi di una singola app andando in Impostazioni → App → [nome app] → Permessi.
Quali sono i permessi Android più pericolosi da evitare?
I permessi più rischiosi sono Accessibilità (può controllare tutto il dispositivo), Amministratore dispositivo (controllo quasi totale), SMS e Registro chiamate (usati dai trojan bancari per intercettare OTP), Posizione in background (tracciamento costante) e Installazione da fonti sconosciute. Concedete questi permessi solo ad app di cui vi fidate completamente e che ne hanno realmente bisogno.
Google Play Protect è sufficiente per proteggermi dalle app pericolose?
Google Play Protect è un’ottima prima linea di difesa, soprattutto con la nuova Live Threat Detection che analizza il comportamento delle app in tempo reale tramite AI on-device. Tuttavia, non è infallibile: app malevole riescono ancora a superare i controlli del Play Store. Vi consiglio di combinarlo con un controllo manuale periodico dei permessi e con buone abitudini come evitare il sideloading di APK da fonti non verificate.
Cosa succede se revoco un permesso a un’app che ne ha bisogno?
L’app continuerà a funzionare, ma la funzionalità che richiede quel permesso sarà disabilitata. Ad esempio, se togliete l’accesso alla fotocamera a WhatsApp, non potrete scattare foto dall’app ma potrete comunque chattare. Android vi chiederà nuovamente il permesso quando proverete a usare quella funzione specifica.
Come posso proteggermi dalle app che abusano del permesso Accessibilità?
Su Android aggiornato, potete attivare l’Advanced Protection Mode che blocca automaticamente l’uso dell’AccessibilityService API da parte di app non essenziali. In generale, concedete il permesso di Accessibilità solo a veri strumenti per disabilità (lettori di schermo, switch control). Controllate periodicamente in Impostazioni → Accessibilità quali app hanno questo permesso attivo e revocatelo a quelle che non lo necessitano.
Conclusione: Controllare i Permessi delle App Android È una Priorità
La gestione dei permessi delle app su Android non è un’attività da fare una volta e dimenticare. È un processo continuo che richiede attenzione, ma che ripaga enormemente in termini di sicurezza e privacy. Con le nuove funzionalità di Android 15 e 16, come l’Advanced Protection Mode, la Live Threat Detection di Play Protect e le restrizioni più severe sul sideloading, Google sta facendo passi avanti importanti. Ma la difesa più efficace resta la consapevolezza dell’utente.
Spero che questa guida vi sia utile per riprendere il controllo del vostro smartphone Android. Se avete domande sulla procedura o volete condividere la vostra esperienza con app sospette, lasciate un commento qui sotto – sono sempre curioso di confrontarmi con altri appassionati di sicurezza!