Mai scaricare app fuori dagli store ufficiali. I ricercatori della Threat Intelligence di NordVPN hanno individuato decine di finte app di Android, che imitano quelle di notissime compagnie aeree, come Ryanair, Emirates o Qatar Airways.
Queste app, diffuse tramite siti web con dominio contraffatto, come rycnair[.]com o emirates[.]vsago[.]cc., contengono in realtà un malware per Android che installa sul dispositivo un trojan di accesso remoto (RAT) e un trojan bancario.
Una volta installato, il trojan funziona in background senza dare nell'occhio e rimane attivo anche dopo il riavvio del telefono. Richiede autorizzazioni di cui nessuna compagnia aerea o app governativa avrebbe mai bisogno: accesso a SMS, rubrica e registri delle chiamate, acquisizione dello schermo, registrazione di audio e attivazione della fotocamera.
L'intercettazione degli SMS è particolarmente pericolosa: molte banche e sistemi di carte di pagamento inviano codici di verifica monouso proprio utilizzando i messaggi di testo. La compromissione dell'autenticazione a due fattori permette di fatto ai criminali di accedere alle app bancarie e approvare le transazioni fraudolente.
A cosa stare attenti
Cadere vittima di questo attacco è allo stesso tempo difficile e facile. Da un lato, dobbiamo "abboccare" a una finta comunicazione, ricevuta via SMS, WhatsApp, email o social media, che ci invita a scaricare una app e allega un link.
In genere, questi messaggi cercano di metterci fretta con diversi trucchi. Un'offerta di lavoro importante, oppure un rimborso fiscale da incassare, un volo a prezzo stracciato.
Se clicchiamo sul link, finiamo su un sito web che sembra legittimo, ma che in realtà ha un dominio contraffatto. E ci chiede di installare la app sul nostro dispositivo Android.
Insomma, dobbiamo essere noi a scaricare il malware. Allo stesso tempo, cadere vittima di questi attacchi è purtroppo facile, perché sia il messaggio iniziale sia il sito web sono scritti in italiano corretto e sembrano reali. Il consiglio è sempre lo stesso: mantenere la calma, verificare la veridicità di ciò che ci viene scritto e, soprattutto, non scaricare app a caso.
«Ciò che rende pericolosa questa campagna è l'apparente ordinarietà dell'esca. Un rimborso fiscale o un'offerta vantaggiosa per un volo non sembrano minacce, bensì buone notizie - afferma Marijus Briedis, Chief Technology Officer di NordVPN. Ma non appena installata l'app, il telefono non è più tuo: l'hacker può spiarne lo schermo, leggere i codici di verifica inviati tramite SMS e prosciugare dall'interno i tuoi account».
Altri siti colpiti
La campagna prende di mira anche altri settori ritenuti affidabili dai cittadini: Uffici tributari, enti di previdenza sociale, registri pubblici e strutture sanitarie. Spesso, però, si tratta di realtà situate in paesi esteri e che non riguardano l'Italia.
L'operazione è attiva almeno da agosto 2025 e cambia continuamente la propria infrastruttura. I nomi di dominio vengono registrati con estensioni usa e getta come .cc, .lol, .xyz e .mom. La quasi totalità di questi siti sfrutta in modo illecito Cloudflare per mascherarsi e, non appena viene dismessa, lascia rapidamente il posto a nuovi cloni.
Come proteggersi
Marijus Briedis consiglia agli utenti Android di tenere a mente queste buone abitudini di igiene digitale per proteggere la propria sicurezza:
- Non installare mai un'app da un link ricevuto in un messaggio. Le compagnie aeree, le banche e le autorità governative autentiche distribuiscono le proprie app tramite Google Play, non via SMS o WhatsApp;
- Considerare il senso di urgenza come un segnale di allarme. È bene reputare sospetto, e non dare alcun seguito, a qualsiasi messaggio che richieda un'azione immediata: ad esempio perché un premio è disponibile solo per poco, sta per scadere il termine di richiesta di un rimborso o un account è stato bloccato;
- Controllare attentamente l'indirizzo web. I servizi governativi e aziendali legittimi non si avvalgono di domini che terminano in .cc, .lol, .xyz, .mom o .pw;
- L'icona del lucchetto non basta. Una connessione HTTPS indica semplicemente che la connessione è crittografata, non che il sito sia autentico;
- Se per sbaglio è stata installata un'app sospetta, bisogna immediatamente disconnettere il telefono da internet, disinstallarla, cambiare le password usando un altro dispositivo e contattare la propria banca.
