È davvero possibile localizzare un cellulare conoscendo soltanto il numero di telefono?

È una delle domande più frequenti quando si parla di sicurezza degli smartphone. Online non mancano siti, video e servizi che promettono di individuare una persona inserendo semplicemente il suo numero di cellulare.

La realtà tecnica è molto più complessa.

Conoscere un numero telefonico, da solo, normalmente non consente a un privato di aprire una mappa e visualizzare in tempo reale la posizione GPS del proprietario.

Questo non significa però che uno smartphone non possa rivelare informazioni sulla propria posizione. Account compromessi, condivisioni già attive, applicazioni con accesso alla localizzazione, tecniche di ingegneria sociale e altre forme di compromissione possono creare scenari molto differenti.

Vediamo quindi come possono realmente essere ottenute informazioni sulla posizione di uno smartphone, quali sono le tecniche di attacco più conosciute e, soprattutto, cosa un presunto “hacker” non può fare magicamente conoscendo soltanto il tuo numero.

Come viene determinata realmente la posizione di uno smartphone?

Prima di parlare di hacker è necessario comprendere un concetto fondamentale: uno smartphone moderno può determinare la propria posizione utilizzando diverse informazioni e tecnologie.

Tra queste possono rientrare:

• segnali dei sistemi satellitari di navigazione;
• reti Wi-Fi disponibili nelle vicinanze;
• rete mobile;
• Bluetooth e dispositivi nelle vicinanze;
• servizi di localizzazione del sistema operativo;
• informazioni utilizzate dalle applicazioni autorizzate ad accedere alla posizione.

La posizione ottenuta dal telefono può quindi essere utilizzata dalle applicazioni e dai servizi ai quali l’utente ha concesso le relative autorizzazioni.

Il punto importante è questo: il numero telefonico e la posizione GPS sono due informazioni differenti.

Quindi un hacker può localizzarti semplicemente conoscendo il numero?

Nello scenario ordinario, non basta conoscere un numero di cellulare per ottenere automaticamente la posizione GPS in tempo reale del dispositivo.

Se fosse sufficiente inserire un numero telefonico in un programma per vedere chiunque su una mappa, qualsiasi persona che conosce il nostro numero potrebbe seguirci.

I servizi di localizzazione integrati nei principali sistemi operativi sono invece collegati a dispositivi, account, autorizzazioni e impostazioni di sicurezza.

Come può allora un aggressore arrivare alla posizione di un cellulare?

È qui che bisogna distinguere la fantasia dalla sicurezza informatica reale.

In molti casi l’obiettivo di un aggressore non è “violare il GPS”, ma ottenere accesso a qualcosa che già conosce, utilizza o condivide la posizione dello smartphone.

Vediamo alcuni degli scenari più importanti, senza entrare nelle procedure operative che potrebbero essere utilizzate per compromettere dispositivi altrui.

1. Phishing e ingegneria sociale

Una delle tecniche più conosciute nel mondo della sicurezza informatica non consiste nell’attaccare direttamente il telefono, ma nel convincere la persona a compiere un’azione.

Messaggi apparentemente provenienti da servizi conosciuti, comunicazioni urgenti o pagine contraffatte possono essere utilizzati per tentare di ottenere credenziali o altre informazioni.

Questa tecnica prende generalmente il nome di phishing.

Il principio è importante: in molti attacchi l’elemento più vulnerabile non è il GPS, ma la fiducia dell’utente.

Aprire un normale collegamento, tuttavia, non significa automaticamente consegnare a qualcuno il controllo completo del telefono o la posizione GPS permanente.

2. Compromissione dell’account collegato allo smartphone

Questo è uno scenario molto più importante.

Gli smartphone moderni sono profondamente collegati agli account utilizzati dal proprietario.

Servizi legittimi consentono al proprietario di ritrovare i propri dispositivi smarriti e, quando configurato, di condividere la propria posizione con altre persone.

Se un soggetto non autorizzato riesce a ottenere accesso a un account, il problema può quindi andare ben oltre la semplice conoscenza del numero telefonico.

Per questo sono fondamentali:

• password robuste e non riutilizzate;
• autenticazione a più fattori;
• controllo dei dispositivi collegati all’account;
• verifica delle sessioni sconosciute;
• protezione delle procedure di recupero dell’account.

3. Condivisione della posizione dimenticata o configurata in passato

Non sempre dietro una posizione conosciuta da un’altra persona esiste un attacco informatico.

A volte la spiegazione può essere molto più semplice.

Uno smartphone può essere stato configurato in passato per condividere la posizione con un familiare, un partner o un altro account e quella condivisione può essere rimasta attiva.

Prima di concludere di essere vittima di un hacker, è quindi opportuno verificare con chi viene attualmente condivisa la posizione e quali dispositivi hanno accesso ai propri account.

4. Applicazioni con accesso alla posizione

Numerose applicazioni possono richiedere l’accesso alla posizione per svolgere funzioni perfettamente legittime.

Mappe, navigazione, mobilità, meteo e altri servizi possono utilizzare informazioni geografiche quando l’utente concede l’autorizzazione prevista dal sistema operativo.

Il problema nasce quando un’applicazione dispone di autorizzazioni che l’utente non ricorda di aver concesso oppure quando sul dispositivo sono presenti software di provenienza dubbia.

Controllare periodicamente quali applicazioni possono utilizzare la posizione è quindi una buona pratica di sicurezza.

5. Spyware e stalkerware: cosa significa realmente?

Con termini come spyware o stalkerware vengono generalmente indicati software progettati o utilizzati per raccogliere informazioni dal dispositivo.

A seconda del software, del sistema operativo, delle autorizzazioni ottenute e del livello di compromissione, le informazioni accessibili possono essere molto differenti.

È però sbagliato trasformare questo concetto nell’affermazione secondo cui chiunque conosca il numero telefonico possa installare magicamente un’applicazione sullo smartphone della vittima.

L’installazione o la compromissione di un dispositivo richiedono condizioni tecniche specifiche che cambiano notevolmente in base allo scenario.

L’accesso non autorizzato a dispositivi e dati altrui può inoltre costituire una grave violazione della privacy e avere conseguenze giuridiche.

6. SIM swap: significa poter vedere dove si trova il telefono?

Il termine SIM swap viene spesso citato quando si parla di attacchi agli smartphone.

In termini generali, l’obiettivo di questa frode è ottenere il controllo del numero telefonico della vittima trasferendolo indebitamente verso un’altra SIM o eSIM.

Questo può creare rischi molto seri, soprattutto quando il numero viene utilizzato nelle procedure di recupero o autenticazione degli account.

Ma è importante distinguere le due cose.

Controllare un numero telefonico non equivale automaticamente a conoscere la posizione GPS dello smartphone originale.

Il pericolo principale è piuttosto la possibilità che il controllo del numero venga utilizzato come passaggio verso la compromissione di altri servizi.

7. Esistono attacchi molto più sofisticati?

Sì. Nel settore della sicurezza informatica esistono vulnerabilità e strumenti estremamente sofisticati.

Alcuni attacchi avanzati possono sfruttare vulnerabilità del sistema operativo, delle applicazioni o dei servizi di comunicazione e non devono essere confusi con le normali applicazioni commerciali.

Si tratta però di scenari molto differenti dal sito web che promette:

“Inserisci il numero e scopri immediatamente dove si trova.”

La semplice esistenza di tecniche informatiche avanzate non rende vera l’affermazione che chiunque possa localizzare qualsiasi smartphone conoscendone soltanto il numero.

Cosa NON può fare automaticamente qualcuno conoscendo soltanto il tuo numero?

Questa è probabilmente la parte più importante dell’intero articolo.

La sola conoscenza di un numero telefonico non equivale automaticamente a poter:

• visualizzare in tempo reale il GPS dello smartphone;
• aprire la fotocamera del telefono;
• attivare automaticamente il microfono;
• leggere tutte le conversazioni presenti sul dispositivo;
• installare liberamente qualsiasi applicazione;
• entrare negli account del proprietario;
• ottenere il controllo completo dello smartphone.

Perché una di queste situazioni possa verificarsi devono esistere ulteriori condizioni: accessi, autorizzazioni, credenziali compromesse, vulnerabilità o altre forme di compromissione.

E gli operatori telefonici possono conoscere la posizione?

La rete mobile deve necessariamente gestire informazioni tecniche relative alla connessione dei dispositivi alle proprie infrastrutture.

Questo non significa però che un normale privato possa telefonare all’operatore, fornire un numero e ottenere liberamente la posizione di un’altra persona.

L’accesso a determinate informazioni è soggetto a regole, procedure e presupposti giuridici.

È quindi fuorviante confondere le capacità tecniche di una rete di telecomunicazioni con ciò che può fare un normale utente di Internet.

Telefono spento: può essere localizzato?

Anche questa domanda non ha una risposta universale.

Dipende dal dispositivo, dal sistema operativo, dalle funzionalità precedentemente configurate e dalle tecnologie disponibili.

I moderni ecosistemi possono includere reti dedicate al ritrovamento di dispositivi smarriti che utilizzano anche altri dispositivi nelle vicinanze.

Questo è però molto diverso dall’affermare che qualsiasi persona conoscendo il numero possa localizzare un telefono spento.

Localizzazione dello smartphone e localizzatore GPS sono la stessa cosa?

No.

È una distinzione particolarmente importante.

Lo smartphone è un dispositivo multifunzione la cui posizione dipende da sistema operativo, account, applicazioni, autorizzazioni e servizi configurati.

Un localizzatore GPS dedicato, invece, nasce specificamente per determinare e comunicare la posizione del dispositivo secondo le caratteristiche del modello utilizzato.

Per questo, quando esiste un’esigenza lecita di localizzazione di un proprio veicolo o bene, una soluzione GPS dedicata può essere molto più appropriata rispetto alla ricerca di presunti sistemi per “localizzare dal numero”.

Come verificare se stai condividendo la tua posizione?

Se temi che qualcuno conosca i tuoi spostamenti, prima di pensare a un attacco sofisticato è utile controllare alcuni elementi fondamentali.

• verifica le persone con cui hai volontariamente condiviso la posizione;
• controlla i dispositivi collegati ai tuoi account;
• verifica le applicazioni che hanno accesso alla localizzazione;
• controlla eventuali accessi o sessioni che non riconosci;
• aggiorna sistema operativo e applicazioni;
• utilizza password uniche e autenticazione a più fattori;
• non inserire credenziali dopo aver seguito collegamenti ricevuti da fonti dubbie.

La domanda giusta non è “come fa l’hacker?”, ma “da dove arriva la posizione?”

Quando qualcuno sembra conoscere i nostri spostamenti, attribuire immediatamente tutto a un hacker può portare nella direzione sbagliata.

È molto più utile procedere per ipotesi:

• esiste una condivisione volontaria ancora attiva?
• qualcuno ha accesso a un account?
• sono presenti dispositivi sconosciuti tra quelli autorizzati?
• un’applicazione dispone della localizzazione?
• esiste un dispositivo fisico di localizzazione?
• oppure le informazioni vengono ottenute in tutt’altro modo?

Questa distinzione permette di passare dalla paura a un’analisi tecnica del problema.

Conclusioni: si può davvero localizzare qualcuno conoscendo solo il numero?

La risposta breve è che un numero di telefono, da solo, non rappresenta normalmente una chiave universale per accedere alla posizione GPS di una persona.

Gli scenari reali sono più complessi e possono coinvolgere account, autorizzazioni, condivisioni della posizione, applicazioni, tecniche di ingegneria sociale o compromissioni informatiche.

Per questo bisogna diffidare delle soluzioni che promettono risultati straordinari senza spiegare da dove dovrebbero provenire tecnicamente i dati di localizzazione.

Se invece l’esigenza è localizzare legittimamente un proprio veicolo o bene, esistono dispositivi GPS progettati esattamente per questo scopo.

Se, al contrario, temi che qualcuno stia monitorando il tuo smartphone o i tuoi spostamenti, è preferibile partire dall’analisi della situazione e individuare quali verifiche siano realmente necessarie.

Autore

Sandro Terracina

Consulente Senior in Tecnologie Investigative, Sicurezza Elettronica e Analisi Forense Digitale.

Fondatore di MRTProTech, supporta professionisti e privati nella protezione della privacy, nel rilevamento di attività di controllo e nell’utilizzo di tecnologie investigative avanzate.