--- id: CP-093 slug: sideloading-app-fuori-dagli-store lang: it title: Il sideloading su dispositivi mobili description: Un'app installata fuori dagli store ufficiali può rubare password e SMS. Cosa vede il dipendente, come funziona, cosa fare. canonical_url: https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/ markdown_url: https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Il sideloading su dispositivi mobili», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-071 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/ fr: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ en: https://startbrain.io/cyberpedia/en/articles/mobile-app-sideloading/ de: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ es: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ nl: https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/ sources: - "n": 1 title: Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1444/ accessed: "2026-11-03" - "n": 2 title: Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1475/ accessed: "2026-11-03" - "n": 3 title: Cerberus, Software S0480 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0480/ accessed: "2026-11-03" - "n": 4 title: "Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/002/ accessed: "2026-11-03" - "n": 5 title: Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1626/ accessed: "2026-11-03" - "n": 6 title: Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1628/ accessed: "2026-11-03" - "n": 7 title: Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/ accessed: "2026-11-03" - "n": 8 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 9 title: BusyGasper, Software S0655 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0655/ accessed: "2026-11-03" - "n": 10 title: Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1409/ accessed: "2026-11-03" --- # Il sideloading su dispositivi mobili Su uno smartphone aziendale o personale, le app provengono normalmente da uno store ufficiale, come Google Play o l'App Store. In questa scheda, il sideloading indica l'installazione di un'app attraverso un canale diverso da quello store. Poiché i dispositivi mobili sono spesso configurati per accettare soltanto lo store autorizzato [2], l'attaccante deve convincere la vittima a uscire da questo perimetro. MITRE descrive il metodo: distribuire un malware facendolo passare per un'applicazione legittima [1]. Questa scheda adotta il punto di vista del dipendente. Le fonti citate qui sono le pagine tecniche di MITRE ATT&CK. Descrivono i metodi degli attaccanti su Android e iOS, ma non contengono statistiche sul sideloading. ## In 30 secondi - Dove succede: su un sito che chiede di installare un software, come un falso installer [3], e su un dispositivo a cui l'attaccante accede fisicamente [9]. - Cosa vuole l'attaccante: far installare un'app trappola, poi farle concedere ampi permessi per rubare credenziali e dati di messaggistica [3][4][9]. - Il riflesso: Installi solo dallo store ufficiale e rifiuti ogni richiesta di accessibilità o di amministratore del dispositivo che non ha cercato Lei stesso. - Se è già successo: Avvisi subito l'assistenza informatica e non inserisca alcuna password su quel telefono. ## Domande dirette ### Che cos'è il sideloading? È l'installazione di un'app senza passare dallo store autorizzato del dispositivo. MITRE osserva che i dispositivi mobili sono spesso configurati per consentire le installazioni solo da uno store autorizzato, come Google Play Store o Apple App Store [2]. Un attaccante che non riesce a collocarvi la propria app deve convincere la vittima a scaricarla altrove. ### Lo store ufficiale protegge completamente? Non completamente: MITRE descrive anche il caso in cui l'attaccante cerca di collocare l'app malevola in uno store autorizzato, il che ne permette l'installazione sui dispositivi presi di mira [2]. Le due pagine di MITRE su questo tema riportano un avviso di deprecazione, ma il loro contenuto descrive effettivamente entrambe le vie [1][2]. ### Come viene indotto un dipendente a installare l'app? Le fonti descrivono due stratagemmi. Il primo consiste nel far passare il software per un'applicazione legittima, integrandolo in un'app vera oppure imitandone l'aspetto [1]. Il secondo passa da un sito che invita a installare un software noto: il trojan Cerberus è stato distribuito da siti che spingevano l'utente a «install Adobe Flash Player» e scaricavano un APK malevolo [3]. ### Quali autorizzazioni richiede l'app? Le fonti citano i permessi di accessibilità e di amministratore del dispositivo. Alcune app malevole abusano dell'accessibilità di Android per sapere quale app è in primo piano [4]. Quanto ai permessi di amministratore, MITRE osserva che le app ne hanno molto raramente bisogno e consiglia agli sviluppatori di non ricorrere a questo livello di accesso [5]. ### L'app installata resta visibile? Non necessariamente. MITRE spiega che i sistemi mobili dispongono di interfacce per nascondere elementi come l'icona di un'app e che gli attaccanti le sfruttano in modo improprio [6]. La pagina sulla cattura dell'input invita gli utenti a diffidare dei permessi pericolosi, come l'accesso all'accessibilità [7]. Altri attaccanti sfruttano vulnerabilità del sistema per ottenere privilegi più elevati [8]. ### Serve l'accesso fisico al dispositivo per infettarlo? Nel caso documentato di BusyGasper, sì: questo spyware ha infettato le vittime tramite accesso fisico al dispositivo [9]. ## Nei panni dell'attaccante L'attaccante ha un ostacolo: il dispositivo è spesso configurato per accettare solo lo store autorizzato [2]. Gli serve un pretesto credibile e le fonti ne indicano uno: il nome e l'aspetto di un'app nota [4]. Nel caso di Cerberus, è un falso installer di Adobe Flash Player [3]. Una volta installata l'app, il primo obiettivo è ottenere permessi. Cerberus può iniettare input per concedersi permessi aggiuntivi senza interazione dell'utente e per impedire la rimozione dell'app [3]. Seguono la raccolta dei dati e la discrezione: l'attaccante vuole leggere gli SMS, ottenere i contatti e l'elenco delle app, poi mostrare false schermate sopra le app che ha scelto [3]. Le fonti descrivono anche attaccanti che prendono di mira il sistema stesso. Alcuni sfruttano vulnerabilità del sistema operativo per passare da un livello di accesso limitato ai privilegi di superutente (root) [8]. MITRE cita Pegasus per Android, che tenta di sfruttare vulnerabilità note di Android, e Pegasus per iOS, che sfrutta vulnerabilità di iOS [8]. ## Cosa si vede sullo schermo La vittima vede per prima la pagina o il messaggio che la invita a installare un software. Le fonti citate qui non descrivono l'avviso di installazione del dispositivo: questa fase non è quindi trattata in dettaglio. Dopo l'installazione i segnali sono rari, per costruzione. MITRE spiega che i sistemi mobili offrono interfacce per nascondere elementi, come l'icona di un'app, e che queste interfacce hanno usi legittimi che gli attaccanti sfruttano in modo improprio [6]. Cerberus nasconde la propria icona dal drawer delle app dopo il primo avvio [3]. BusyGasper abbassa la luminosità dello schermo al minimo e disattiva l'audio quando è attivo [9]. Il segnale più evidente è una falsa richiesta di inserimento dati. MITRE spiega che le app malevole imitano elementi dell'interfaccia di sistema per chiedere informazioni sensibili e che le dimensioni ridotte dello schermo di un dispositivo mobile rendono più difficile verificare il contesto [4]. Possono anche inviare false notifiche che aprono una richiesta quando vengono toccate [4]. Infine, una richiesta può comparire sopra un'app legittima [4]. ## Sotto il cofano Le fonti descrivono prima la sovrapposizione e l'accessibilità, poi la persistenza. - La sovrapposizione: l'app disegna una finestra sopra un'altra. Deve detenere il permesso SYSTEM_ALERT_WINDOW, che secondo MITRE viene concesso automaticamente, almeno in certe condizioni, alle app installate da Google Play [4]. Android 10 limita l'avvio di un'attività sopra un'altra app [4]. Android 12 aggiunge il permesso HIDE_OVERLAY_WINDOWS, che permette di nascondere queste finestre [7]. - L'accessibilità: un uso improprio permette di sapere quale app è in primo piano [4]. MITRE segnala inoltre app che registrano la pressione dei tasti o acquisiscono informazioni sui gesti sullo schermo [7]. - La persistenza: Cerberus disattiva Google Play Protect per evitare di essere scoperto e rimosso in seguito [3]. Può aggiornare il proprio codice su comando [3]. MITRE precisa inoltre che l'isolamento delle app limita l'accesso ai dati di un'altra app, tranne in tre casi: archiviazione esterna non protetta, archiviazione interna con permessi poco sicuri od ottenimento dei privilegi root [10]. ## Autopsie ### Cerberus, trojan bancario in affitto Cerberus è un trojan bancario per Android il cui uso viene affittato su forum clandestini [3]. I suoi autori affermano di averlo usato in privato per due anni prima di metterlo in affitto [3]. I riferimenti della pagina MITRE comprendono un rapporto di ThreatFabric dell'agosto 2019 e un articolo del 16 agosto 2019 su falsi installer di Adobe Flash Player [3]. Il software poteva leggere gli SMS, ottenere i contatti e l'elenco delle app, generare false notifiche e lanciare attacchi di sovrapposizione contro le app scelte dall'attaccante [3]. ### BusyGasper, spyware (dal maggio 2016) BusyGasper è uno spyware per Android in uso dal maggio 2016 [9]. Sono note meno di dieci vittime, tutte apparentemente in Russia e tutte infettate tramite accesso fisico al dispositivo [9]. Può registrare l'audio e la fotocamera, copiare le foto e la cronologia del browser, leggere SMS e dati di WhatsApp, Viber e Facebook [9]. Il riferimento della pagina è un articolo di Alexey Firsh del 29 agosto 2018 [9]. ## Cosa fa Lei - Installi solo dallo store ufficiale del dispositivo. Un invito a scaricare un file o un «installer» da un sito è sospetto, anche per un software noto [3]. - Rifiuti i permessi di accessibilità, di tastiera o di amministratore che un'app richiede senza un motivo chiaro. MITRE consiglia all'utente di diffidare dei permessi pericolosi o invasivi, come la registrazione di una tastiera o l'accesso all'accessibilità [7]. - Tenga il telefono bloccato e a portata di mano: un caso documentato comincia con un accesso fisico [9]. - Aggiorni il sistema: alcune protezioni, come le restrizioni di Android 10 e di Android 12, dipendono dalla versione [4][7]. - Su un dispositivo gestito, l'azienda può limitare i servizi di accessibilità consentiti con un elenco esplicito, tramite uno strumento di gestione dei dispositivi (EMM o MDM) [7]. ## Le insidie Lo store ufficiale non è una garanzia completa [2]. Un'app malevola può inoltre nascondere la propria icona, per cui l'assenza di un'icona sospetta non prova nulla [6]. MITRE scrive che questo tipo di tecnica non si contrasta facilmente con controlli preventivi, poiché abusa di funzioni del sistema [6]. Un'impostazione di sicurezza che cambia senza un Suo intervento è un segnale: Cerberus disattiva Google Play Protect [3]. In questo caso, o se un'app sconosciuta chiede permessi estesi, contatti l'assistenza. ## Fonti 1. MITRE ATT&CK, «Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1444/ (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1475/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Cerberus, Software S0480 | MITRE ATT&CK®». https://attack.mitre.org/software/S0480/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/002/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1626/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1628/ (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/ (consultato il 3 novembre 2026) 8. MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultato il 3 novembre 2026) 9. MITRE ATT&CK, «BusyGasper, Software S0655 | MITRE ATT&CK®». https://attack.mitre.org/software/S0655/ (consultato il 3 novembre 2026) 10. MITRE ATT&CK, «Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1409/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.