Cambiare telefono è il momento più rischioso, e Clone2Pwn lo dimostra

Quale app del tuo telefono gestisce i dati più sensibili che possiedi? Probabilmente non quella della tua banca. Di solito è quella che apri una volta ogni qualche anno, mezzo distratto, mentre scarti un dispositivo nuovo: lo strumento «copia tutto dal mio vecchio telefono».

Quello strumento ha appena subìto un audit severo. I ricercatori della TU Graz e del centro austriaco A-SIT hanno analizzato le app di migrazione di sette produttori: Google, Samsung, Vivo, Xiaomi, Oppo, Huawei e Honor. Secondo TU Graz, in ognuna hanno trovato vulnerabilità che permettono a un aggressore entro il raggio del Wi-Fi di intercettare o manipolare il trasferimento. In ambienti chiusi, questo raggio è di circa 20-45 metri, e l'attrezzatura costava meno di 100 euro. Il lavoro, chiamato Clone2Pwn, è stato presentato a ESORICS 2026.

Tra il materiale esposto c'erano messaggi di testo, contatti, foto, dati sulla salute, credenziali Wi-Fi salvate e password delle app. In alcuni casi, pacchetti di app manomessi potevano iniettare malware nel nuovo telefono. Tutti e sette i produttori hanno nel frattempo rilasciato aggiornamenti di sicurezza e hanno confermato la gravità dei problemi, cinque dei quali classificati come alti.

La comodità è la vulnerabilità

Questi strumenti esistono per spostare quasi tutto il contenuto del telefono in una volta, senza server esterni di mezzo, tramite un collegamento Wi-Fi diretto tra due dispositivi. È un'ottima esperienza utente. Ma è anche, per progetto, un flusso concentrato dei dati più preziosi che hai, che viaggia via radio per chiunque sia abbastanza vicino da ascoltare. Quando i ricercatori dicono che viene trasferito quasi l'intero contenuto di un telefono, non è una nota a piè di pagina. È il modello di minaccia.

A nostro avviso, il settore ha trattato queste app come una funzione di benvenuto simpatica, non come software critico per la sicurezza. Nessuno rilascia un modulo di pagamento con questo atteggiamento. Eppure l'app di migrazione gestisce le chiavi di tutto questo e, secondo i ricercatori, è preinstallata su quasi tutti i dispositivi Android.

«Tutti e sette» è il numero che conta

Dodici miliardi di download, un totale che riporta Tech Xplore per le app esaminate, fa titolo, ma il dato più eloquente è sette su sette. Non si tratta di un produttore sbadato. Sembra un punto cieco dell'intera categoria: tutti hanno costruito lo stesso tipo di strumento, e tutti l'hanno reso violabile. Questo indica un'abitudine progettuale condivisa, non un bug isolato. Pensiamo che questa sia la parte scomoda, ed è per questo che diffideremmo dall'equiparare «corretto» a «risolto».

Per essere giusti, i produttori meritano un certo merito. Il team ha seguito la divulgazione responsabile, i produttori hanno confermato i problemi e tutti hanno rilasciato correzioni. È così che dovrebbe funzionare. Ma, a nostro parere, una patch non equivale a una revisione di sicurezza prima del lancio, ed è questa l'abitudine che vorremmo vedere cambiare.

Dove il rischio è reale e dove no

Non esageriamo. L'attacco richiede prossimità e nulla nella documentazione suggerisce uno sfruttamento di massa. Per la maggior parte di chi cambia telefono a casa, il rischio pratico è probabilmente modesto. I ricercatori stessi indicano i luoghi in cui ogni giorno avvengono molti trasferimenti, come i negozi di elettronica e i punti vendita degli operatori. Se un commesso si offre di trasferire i dati al posto tuo, è proprio il tipo di contesto che segnalano come particolarmente vulnerabile.

C'è anche un costo nascosto: in alcuni casi la correzione potrebbe richiedere l'aggiornamento dell'intero sistema operativo, non solo dell'app. Sospettiamo che questo complichi la vita soprattutto a chi ha telefoni vecchi e trascurati, cioè proprio chi ha più probabilità di passare a uno nuovo.

Cosa fare prima del prossimo cambio di telefono

Il consiglio dei ricercatori è semplice, e lo seguiremmo alla lettera: assicurati che su entrambi i dispositivi sia installata l'ultima versione dell'app di migrazione e installa tutti gli aggiornamenti pertinenti, compreso quello del sistema se serve. Fallo prima di iniziare, non dopo. Se puoi, fai il trasferimento a casa anziché in un negozio affollato.

Il nostro verdetto: Clone2Pwn non è un motivo per evitare queste app, perché restano il modo più semplice per fare il trasloco digitale. È un motivo per cui i produttori dovrebbero riservare loro la stessa modellazione delle minacce, gli stessi audit e la stessa disciplina negli aggiornamenti di un portafoglio digitale o di un gestore di password. Il momento in cui cambi telefono dovrebbe essere il più protetto della tua vita digitale. Oggi è uno dei meno.