Proteggere lo smartphone aziendale: il metodo in 10 mosse

In breve: per proteggere uno smartphone aziendale bastano una decina di impostazioni semplici: blocco, aggiornamenti, accessi resistenti al phishing, protezione dell’account dell’operatore, igiene delle app, separazione tra lavoro e vita privata e un piano scritto in anticipo per furto o smarrimento. Il rischio è concreto: secondo l’ENISA, l’agenzia europea per la cybersicurezza, il phishing è il primo punto d’ingresso degli attacchi e vale circa il 60% dei 4.875 incidenti analizzati tra luglio 2024 e giugno 2025.

Oggi il telefono contiene la posta, i codici per l’accesso in due passaggi, l’app della banca, SPID, i file dei clienti e spesso il CRM. Perderlo, o lasciare che venga compromesso, apre tutte queste porte insieme.

Perché lo smartphone aziendale è un bersaglio?

Perché è la chiave dei tuoi account. Il rapporto ENISA Threat Landscape 2025 lo mostra bene: il phishing, compresi vishing (le telefonate truffa), malspam e pubblicità malevola, è il vettore principale, seguito dallo sfruttamento di vulnerabilità con il 21,3%. Lo stesso rapporto segnala un volume crescente di attacchi contro i dispositivi mobili, concentrati in particolare sugli apparecchi non aggiornati.

Il telefono somma i rischi: si perde, viene rubato, riceve SMS truffa (lo smishing che imita corrieri, banche o enti pubblici) e si collega a reti e caricatori sconosciuti quando sei in giro. C’è poi il SIM swap: un truffatore convince l’operatore a trasferire il tuo numero su una sua SIM e da quel momento riceve i codici via SMS al posto tuo.

Quali impostazioni cambiare il primo giorno per proteggere lo smartphone?

Questo elenco riprende le indicazioni della CISA (l’agenzia statunitense per la cybersicurezza) pubblicate a dicembre 2024 e i consigli del Garante privacy sugli smartphone. La CISA le ha scritte per persone «molto esposte», ma precisa che valgono per tutti, e quasi tutte sono gratuite. Si fa tutto in una seduta, telefono in mano.

1. Codice di sblocco e blocco automatico. Almeno sei cifre, più impronta o riconoscimento del volto se disponibili. Mai 000000 o 123456: anche il Garante raccomanda di evitare codici troppo facili da indovinare.
2. Aggiornamenti automatici di sistema operativo e app. La CISA aggiunge: controlla ogni settimana che il dispositivo sia aggiornato.
3. Backup di contatti, messaggi e file, sul servizio cloud scelto dall’azienda.
4. «Trova il mio dispositivo» attivo (Dov’è su iPhone, Trova il mio dispositivo su Android), per localizzare, bloccare o cancellare un telefono perso.
5. Un PIN sull’account dell’operatore. La CISA raccomanda di proteggere l’account con l’operatore telefonico con un codice e l’autenticazione a più fattori, richiesti per le operazioni delicate come il cambio SIM o la portabilità. È la difesa principale contro il SIM swap: chiedi al tuo operatore quali protezioni offre.
6. Accessi resistenti al phishing. L’ordine di preferenza della CISA: chiavi di sicurezza FIDO o passkey, poi i codici di un’app di autenticazione, e abbandonare i codici via SMS, che non sono cifrati né resistenti al phishing.
7. Un gestore di password per tutti gli account, protetto da una frase lunga.
8. Il codice IMEI annotato lontano dal telefono: digita *#06# per vederlo. Il Garante consiglia di conservarlo perché, in caso di furto o smarrimento, permette di bloccare l’apparecchio.

Quali app e quali reti consentire?

App. Installa solo dagli store ufficiali, elimina ciò che non usi e controlla i permessi all’installazione e dopo gli aggiornamenti. Le checklist della CISA per iPhone e Android dicono la stessa cosa: togli l’accesso a posizione, fotocamera e microfono alle app che non ne hanno bisogno per funzionare. Su Android la CISA chiede anche di verificare che Google Play Protect sia attivo e di diffidare degli store alternativi e delle installazioni da file.

Navigazione. Su Android la CISA consiglia di attivare in Chrome l’opzione per usare sempre connessioni sicure e la Navigazione sicura avanzata.

Reti e hardware. La CISA sconsiglia le app VPN personali, che spostano il rischio dal tuo fornitore internet a un’azienda di VPN dalle pratiche incerte; la VPN che l’azienda richiede per accedere ai propri sistemi è un altro discorso. Raccomanda anche di preferire apparecchi recenti di produttori che garantiscono aggiornamenti di sicurezza mensili per almeno cinque anni, perché il software non può aggiungere protezioni che un hardware vecchio non supporta.

Persone molto esposte. Per titolari, dirigenti o chiunque possa essere preso di mira, la CISA consiglia la Modalità di isolamento su iPhone, che limita alcune funzioni per ridurre la superficie d’attacco.

Come gestire messaggi, SMS e phishing?

• Usa una messaggistica cifrata end-to-end per le conversazioni delicate. La CISA cita Signal come esempio e consiglia di disattivare su iPhone l’invio come SMS, perché le conversazioni iMessage non passino in silenzio a SMS non cifrati.
• Non cliccare mai il link di un SMS su un pacco, una multa, un rimborso o un problema con la banca. Apri tu il sito o l’app.
• Riaggancia e richiama il numero ufficiale se un presunto operatore ti chiede un codice o un’autorizzazione, anche se il numero che compare sembra quello giusto.
• Non tenere segreti in chiaro: niente password nelle note, niente PIN nei contatti. Il Garante lo dice in modo esplicito per password, codici di accesso e dati bancari.
• Verifica a voce ogni cambio di IBAN, chiamando un numero che avevi già, prima di dare seguito a un’email che chiede di aggiornare le coordinate bancarie di un fornitore.

La stessa prudenza vale per i file aperti dal telefono: la nostra guida su come inviare file grandi spiega come riconoscere un falso link di condivisione. Per ridurre lo spam che arriva sul dispositivo, un’email temporanea protegge l’indirizzo principale quando ti iscrivi a qualcosa.

Telefono aziendale o personale: che cosa può fare il datore di lavoro?

La soluzione più semplice resta uno smartphone aziendale usato solo per lavoro. Se permetti ai dipendenti di usare il proprio telefono (il cosiddetto BYOD, bring your own device), le regole dipendono da come il dispositivo viene registrato.

• Con una gestione completa del dispositivo, l’azienda controlla l’intero apparecchio, compresa la possibilità di cancellarlo del tutto. È adatta ai telefoni di proprietà dell’azienda.
• Con la registrazione utente di Apple, pensata per i dispositivi personali, Apple spiega che l’IT può gestire solo account, impostazioni e informazioni dell’organizzazione, mai l’account personale dell’utente. Android offre una separazione simile con il profilo di lavoro.

In Italia c’è un punto in più. L’articolo 4 dello Statuto dei lavoratori consente di usare le informazioni raccolte con gli strumenti di lavoro, telefono compreso, solo se il lavoratore riceve un’informazione adeguata su come funzionano gli strumenti e su come vengono fatti i controlli, e nel rispetto del Codice privacy. Gli strumenti di controllo a distanza veri e propri richiedono invece un accordo sindacale o l’autorizzazione dell’Ispettorato del lavoro. Scrivi quindi una policy breve: che cosa l’azienda vede, che cosa può cancellare, quali impostazioni sono obbligatorie e che cosa succede quando una persona lascia l’azienda. Falla rivedere dal tuo consulente del lavoro o dal responsabile privacy prima di applicarla.

Serve un sistema di gestione dei dispositivi (MDM)?

Oltre una manciata di telefoni, configurare tutto a mano non è più realistico. Uno strumento di gestione dei dispositivi mobili (MDM) permette di:

• imporre codice di sblocco e cifratura su ogni dispositivo;
• installare e rimuovere le app di lavoro;
• creare uno spazio di lavoro separato sui dispositivi personali;
• bloccare o cancellare a distanza un telefono perso.

Apple e Google offrono programmi di registrazione per le aziende, e la maggior parte delle suite per ufficio include una gestione di base dei dispositivi. Per una squadra molto piccola bastano impostazioni manuali ben documentate. Oltre, lo strumento si ripaga con il tempo risparmiato e con la rapidità di reazione quando un telefono sparisce.

Furto, smarrimento o violazione: quale piano preparare?

Scrivi questa procedura prima che serva, su una pagina, e consegnala a ogni utente:

1. Localizza, blocca, poi cancella a distanza se il telefono non salta fuori in fretta.
2. Chiama l’operatore per sospendere la linea e bloccare la SIM, e tieni pronto il codice IMEI per il blocco dell’apparecchio.
3. Cambia le password della posta e di tutti gli account aperti sul telefono, e chiudi le sessioni attive. Se sul telefono c’erano SPID o l’app della banca, contatta il gestore dell’identità digitale e la banca.
4. Avvisa i contatti principali se è possibile una compromissione, perché diffidino di richieste insolite fatte a tuo nome (pagamenti, cambi di IBAN).
5. Denuncia e notifica. Presenta denuncia per il furto alle forze dell’ordine e segnala le truffe online alla Polizia Postale tramite il portale commissariatodips.it. Se erano esposti dati personali di clienti o dipendenti, valuta subito la violazione: quando presenta un rischio per le persone, il GDPR impone di notificarla al Garante privacy entro 72 ore.

Pensa anche ai dati aziendali: se il telefono aveva accesso al CRM, chiudi la sessione di quel dispositivo dalla console di amministrazione. E se sul telefono era aperto un account social aziendale, mettilo subito in sicurezza: la nostra guida su come contattare l’assistenza di Facebook elenca le strade quando un account è stato violato.

Proteggere uno smartphone aziendale non richiede budget né competenze particolari. Richiede di fare le impostazioni una volta, bene, e di sapere che cosa fare il giorno in cui il telefono sparisce.