Come funzionano le scansioni antimalware: cosa vedono e dove si fermano

Il telefono si scalda in tasca, la batteria non arriva a sera, e ti chiedi se dentro ci sia qualcosa che non dovrebbe esserci. La tentazione è installare la prima app che promette di ripulire tutto. Prima, conviene sapere che il telefono ha già diversi strumenti per rispondere a quella domanda, e che ciascuno vede una parte diversa del quadro.

Capire come funzionano le scansioni antimalware aiuta a leggerne i risultati senza ansia: un “nessuna minaccia trovata” non è una garanzia assoluta, e una segnalazione non è sempre una catastrofe. Il malware è un software progettato per danneggiare il dispositivo o sottrarre dati, spesso di nascosto; gli strumenti che lo cercano lavorano per indizi, non per certezze.

Questo post passa in rassegna quegli strumenti, con vantaggi e limiti reali, senza indicare prodotti. È il completamento tecnologico della raccomandazione su come riconoscere il malware sul telefono: gli strumenti osservano, ma i segnali quotidiani li noti prima tu.

Come leggere questo elenco

Le tecnologie sono organizzate in quattro funzioni, le stesse usate nel post su cosa fare se il telefono ha un malware:

• prevenzione — impedire che un’app dannosa si installi o resti attiva;
• rilevazione — accorgersi che qualcosa, sul telefono, si comporta in modo anomalo;
• risposta — isolare il problema e riportare il telefono a uno stato pulito;
• governance — le abitudini che tengono il sistema in ordine nel tempo, anche in famiglia o al lavoro.

Per ciascuna trovi il rischio che riduce, i vantaggi, i limiti onesti e la complessità d’uso. Nessuna, da sola, dice con certezza che il telefono è pulito.

1. Tecnologie di prevenzione

Protezione integrata del sistema

Il servizio di sicurezza incluso nel sistema operativo del telefono, attivo per impostazione predefinita su gran parte dei dispositivi. Controlla le app quando le installi e le ricontrolla periodicamente. Il controllo all’installazione è descritto nel post sulla protezione integrata contro le app dannose; qui interessa ciò che accade dopo.

• Rischio ridotto: app dannose già presenti sul telefono, anche arrivate da fuori dallo store ufficiale.
• Vantaggi: lavora in background, senza che tu debba avviarla; conosce il sistema dall’interno, quindi vede cose che un’app esterna non vede; quando trova qualcosa, può disattivare l’app o proporti di rimuoverla.
• Limiti: è più efficace contro le minacce note che contro quelle nuove; se la disattivi per installare un’app che bloccava, smette di proteggerti proprio quando serve.
• Complessità: nessuna per te, se la lasci attiva.

Firme dei malware conosciuti

Il metodo più antico e diffuso. Una firma è una sorta di impronta digitale di un malware già studiato: un insieme di caratteristiche che lo identifica. La scansione confronta ogni app con un grande elenco di impronte.

• Rischio ridotto: malware già individuato e catalogato, che continua a circolare in copie identiche o quasi.
• Vantaggi: è preciso, rapido e produce pochi falsi allarmi.
• Limiti: riconosce solo ciò che qualcuno ha già visto; una versione modificata del malware può sfuggire finché l’elenco non viene aggiornato.
• Complessità: nessuna per te.

Aggiornamenti del sistema e delle definizioni

Gli elenchi di firme, le regole di analisi e le correzioni del sistema arrivano con gli aggiornamenti. Uno strumento di scansione vale quanto la sua ultima versione.

• Rischio ridotto: malware che sfrutta falle già corrette e minacce che la protezione non conosce ancora.
• Vantaggi: con gli aggiornamenti automatici del software la protezione migliora da sola, mentre tu fai altro.
• Limiti: un telefono che non riceve più aggiornamenti resta scoperto sulle falle nuove; ne parla la Risorsa sul telefono senza aggiornamenti.
• Complessità: base.

2. Tecnologie di rilevazione

Analisi del comportamento

Invece di chiedersi “questa app assomiglia a un malware noto?”, l’analisi del comportamento si chiede “questa app si comporta come un malware?”. Osserva ciò che un’app fa: se si avvia di nascosto, se nasconde la propria icona, se chiede permessi sproporzionati, se manda dati in continuazione verso indirizzi insoliti.

• Rischio ridotto: malware nuovo o modificato, che nessuna firma conosce ancora.
• Vantaggi: può accorgersi di minacce mai viste; completa le firme, che guardano indietro, osservando ciò che succede adesso.
• Limiti: lavora per probabilità, quindi a volte segnala app legittime che fanno cose insolite; un malware prudente, che si attiva solo di rado, può passare inosservato.
• Esempio d’uso: un’app torcia installata ieri chiede l’accesso alle notifiche e lavora in background tutta la notte; il sistema la segnala come sospetta.
• Complessità: nessuna per te; serve solo leggere la segnalazione con calma.

Statistiche della batteria per app

La sezione delle impostazioni che mostra quanta batteria ha consumato ciascuna app, spesso separando l’uso a schermo acceso da quello in background, cioè quando l’app lavora senza che tu la stia usando.

• Rischio ridotto: app che lavorano di nascosto e restano attive quando il telefono sembra a riposo.
• Vantaggi: è un dato prodotto dal sistema stesso, non da un’app di terze parti; permette di confrontare ciò che vedi con ciò che ti aspetti. Come leggere i consumi anomali è spiegato nel post sulla batteria che si scarica in fretta.
• Limiti: non dice perché un’app consuma; un malware può usare un nome simile a un componente di sistema; una batteria invecchiata riduce l’autonomia senza colpe di nessuna app.
• Esempio d’uso: un gioco che non apri da giorni è tra le prime voci di consumo, quasi tutto in background. È un indizio da approfondire, non una prova.
• Complessità: base.

Utilizzo per app: dati, memoria e archiviazione

Il sistema conta anche quanti dati usa ogni app, quanta memoria occupa e quanto spazio riempie. Per i dati c’è un post dedicato, su come monitorare il consumo di dati; qui basta sapere che le statistiche si leggono meglio insieme.

• Rischio ridotto: app che trasmettono informazioni o usano risorse senza una ragione legata alla loro funzione.
• Vantaggi: incrociare più statistiche riduce i falsi sospetti: un’app che consuma batteria e dati in background, senza che tu la usi, merita più attenzione di una che fa solo una delle due cose.
• Limiti: le voci cambiano nome e posizione da un telefono all’altro; app legittime, come quelle di backup o di navigazione, consumano molto per natura.
• Complessità: base.

Scansione con un’app di sicurezza da fonti ufficiali

App dedicate che eseguono scansioni su richiesta o programmate, usando anch’esse firme e analisi del comportamento. Si installano solo dallo store ufficiale e da sviluppatori riconoscibili.

• Rischio ridotto: malware sfuggito agli altri controlli, soprattutto sui telefoni che non ricevono più aggiornamenti di sistema.
• Vantaggi: offrono un secondo parere; alcune aggiungono il controllo dei link.
• Limiti: sul telefono ogni app vive in uno spazio isolato, quindi un’app di sicurezza vede meno di quanto farebbe su un computer; alcune mostrano allarmi esagerati per spingere a pagare. Esistono anche imitazioni che sono esse stesse il problema: ne parla la Risorsa sulle app di sicurezza false. Una sola app basta; più app insieme non sommano la protezione, spesso solo i consumi.
• Complessità: base.

3. Tecnologie di risposta

Modalità provvisoria

Su molti telefoni esiste un avvio che carica solo il sistema e le app preinstallate, lasciando spente quelle aggiunte da te. Si chiama modalità provvisoria o sicura, e si attiva in modo diverso da un modello all’altro.

• Rischio ridotto: app dannose che si riavviano da sole o che impediscono di essere rimosse mentre sono attive.
• Vantaggi: è un esperimento semplice: se in modalità provvisoria il telefono torna veloce e la batteria dura, la causa è molto probabilmente un’app installata; spesso, in questa modalità, l’app sospetta si lascia disinstallare più facilmente.
• Limiti: non tutti i sistemi la offrono; non dice quale app è responsabile, e va combinata con le statistiche.
• Esempio d’uso: in modalità provvisoria la pubblicità a tutto schermo che compariva fuori dalle app sparisce: il problema è in un’app installata di recente.
• Complessità: intermedia.

Rimozione dell’app e revoca dei permessi speciali

La disinstallazione dell’app sospetta, preceduta dalla revoca dei permessi più delicati: accesso alle notifiche, accessibilità, amministrazione del dispositivo. Quest’ultimo è un permesso speciale che, se concesso a un’app dannosa, può impedirne la rimozione finché non viene tolto.

• Rischio ridotto: app che continuano a leggere dati, notifiche e codici di verifica.
• Vantaggi: risolve gran parte dei casi comuni; come riconoscere le app da togliere lo spiega la raccomandazione su come rimuovere le app sconosciute dal telefono.
• Limiti: se l’app ha già letto password o codici, rimuoverla non basta: le credenziali vanno cambiate, meglio da un altro dispositivo.
• Complessità: base.

Ripristino di fabbrica

L’operazione che cancella tutti i dati, le app e le impostazioni, riportando il telefono allo stato in cui è uscito dalla fabbrica.

• Rischio ridotto: infezioni che resistono agli altri rimedi.
• Vantaggi: è il rimedio più radicale alla portata di chiunque, efficace contro la grande maggioranza delle infezioni comuni; al termine hai un telefono di cui sai cosa contiene.
• Limiti: senza un backup perdi foto e documenti; ripristinando il backup in blocco rischi di reinstallare la stessa app; non ripara gli account già compromessi. È l’ultima opzione, non la prima.
• Esempio d’uso: dopo la rimozione dell’app sospetta i sintomi continuano; salvi foto e contatti, esegui il ripristino e reinstalli dallo store solo le app che usi davvero.
• Complessità: intermedia.

4. Tecnologie di governance

Sono ciò che rende le altre tecnologie efficaci nel tempo, soprattutto quando i telefoni da seguire sono più di uno.

Backup regolari

Copie periodiche di foto, contatti e documenti, su un servizio di archiviazione o su un altro dispositivo.

• Rischio ridotto: dover rinunciare al ripristino di fabbrica per paura di perdere tutto.
• Vantaggi: trasforma l’ultima opzione in una scelta serena; utile anche per furti e guasti.
• Limiti: un backup delle app, oltre che dei dati, può riportare indietro anche il problema.
• Complessità: base.

Gestione dei telefoni in famiglia e al lavoro

Il controllo parentale sui telefoni dei figli e, nelle organizzazioni, la gestione centralizzata dei dispositivi: un sistema che applica le stesse regole di sicurezza a tutti i telefoni di lavoro.

• Rischio ridotto: protezioni disattivate per errore e installazioni fatte senza pensarci.
• Vantaggi: tiene attive le protezioni anche sui telefoni di persone meno esperte; permette di intervenire in fretta su un dispositivo compromesso.
• Limiti: va spiegata, non imposta; sui telefoni di lavoro deve rispettare la sfera personale di chi li usa.
• Complessità: intermedia.

Tabella comparativa

Come scegliere

Se sei una persona singola. Lascia attiva la protezione integrata, accetta gli aggiornamenti e guarda le statistiche di batteria e dati una volta al mese: chi conosce i consumi normali riconosce subito quelli anomali. Se qualcosa non torna, la modalità provvisoria ti dice se la causa è un’app. Un’app di sicurezza aggiuntiva ha senso soprattutto se il telefono non riceve più aggiornamenti.

Se hai una famiglia. Controlla che la protezione integrata sia attiva anche sui telefoni di figli e genitori, e imposta un backup automatico per tutti. Spiega che un avviso di “virus” che compare navigando e chiede di installare qualcosa è quasi sempre un inganno: è il tema della Risorsa sui falsi avvisi di virus.

Se usi il telefono per lavoro, o gestisci una piccola organizzazione. Aggiungi la gestione centralizzata dei dispositivi e una procedura concordata per chi nota un comportamento strano: chi avvisare, come isolare il telefono, chi cambia le credenziali.

Una regola pratica. Le scansioni antimalware riducono molto il rischio, ma nessuna vede tutto: le firme non conoscono il nuovo, l’analisi del comportamento a volte sbaglia, le app esterne vedono meno del sistema. La combinazione che dà il risultato migliore rispetto allo sforzo è protezione integrata attiva + aggiornamenti + uno sguardo mensile alle statistiche: la tecnologia cerca il noto, la tua conoscenza del telefono nota ciò che è fuori posto.

Collegamento al Framework Cyber Welfare

Livello di riferimento: FL3 — Autonomo. È il livello in cui si usano gli strumenti del proprio dispositivo senza una guida passo per passo, sapendo interpretare ciò che mostrano e quando chiedere aiuto.

Conclusione

Nessuna scansione antimalware è infallibile, e nessuna ha bisogno di esserlo: le firme riconoscono il noto, l’analisi del comportamento osserva il presente, le statistiche mostrano ciò che l’occhio non vede, e modalità provvisoria e ripristino offrono una strada per uscirne. Conoscerli toglie spazio alla paura e lo restituisce alle decisioni.

Per capire quanto sono solide le tue abitudini digitali nel loro insieme, puoi partire dall’autovalutazione della resilienza digitale.

Azione consigliata. Verifica nelle impostazioni che la protezione integrata sia attiva e guarda le statistiche della batteria degli ultimi giorni. Annota le tre app che consumano di più: saranno il tuo riferimento per il prossimo controllo.

Contenuti collegati

• Riconoscere il malware sul telefono — la raccomandazione di riferimento
• Cosa fare se il telefono ha un malware — come mettere in pratica queste tecnologie, in ordine
• Malware nascosto nelle app — le minacce che le scansioni cercano
• Batteria che si scarica in fretta — i segnali da leggere nelle statistiche del telefono

Risorse correlate

Approfondimenti brevi della sezione Risorse, per chi vuole fermarsi su un singolo aspetto:

• Telefono lento: è malware o è solo l’età del dispositivo?
• App di sicurezza false: riconoscere le imitazioni
• Falsi avvisi di virus: quando l’allarme è esso stesso l’attacco

Inizia dal primo passo: il Programma “Proteggi la Tua Privacy Digitale” ti accompagna gratuitamente, una raccomandazione alla volta.