Ho comprato un telefono Android da 60 euro online. Può essere già infetto?

La domanda sembra paranoica e invece ha una risposta documentata. Sì, può essere già infetto. La cosa interessante riguarda il posto: in alcuni casi documentati il codice indesiderato sta in una parte del telefono che non puoi raggiungere, firmato con la stessa chiave con cui il produttore firma Android. Per il telefono è un suo componente ufficiale.

L’8 ottobre 2026 i laboratori di Bitdefender hanno pubblicato l’analisi di una campagna che hanno battezzato Midnight Mimosa. Il titolo del loro report dice già tutto: il telefono era compromesso prima che l’utente lo accendesse.

Partiamo da lì, poi arriviamo a cosa puoi fare, che è meno di quello che vorresti ma più di niente.

Cosa ha trovato Bitdefender

Il componente principale si chiama com.android.system.lite e sta nella partizione di sistema. È firmato con la chiave di piattaforma del dispositivo, e questo è il dettaglio tecnico che spiega tutto il resto: non c’è nessuna voce “Disinstalla”, perché Android lo tratta come un pezzo di sé stesso.

Cosa fa, secondo il report: installa e rimuove in silenzio un insieme rotante di almeno trentadue app camuffate, si concede da sé i permessi di accessibilità, accesso alle notifiche e SMS, scarica una configurazione da internet ed esegue codice tramite plugin, raccoglie informazioni sul dispositivo e sulle app presenti, e arruola il telefono come nodo di un servizio di proxy residenziale. Più una parte di frode pubblicitaria, che passa da app di copertina e da un circuito pubblicitario legittimo a cui vengono accreditate visualizzazioni e click che nessuno ha fatto.

Una precisazione che gli stessi ricercatori mettono e che va riportata: quei permessi il malware li ottiene, ma Bitdefender dichiara di non averne osservato l’uso effettivo. Avere la capacità di leggere gli SMS e leggerli davvero sono due cose diverse, e il report si ferma alla prima.

Il pezzo che trovo più istruttivo è un altro, perché risponde alla domanda che viene naturale. Il componente disattiva il Play Store prima di installare alcuni payload e lo riattiva dopo, e si presenta come un installer “Google Play” falsificato. Cioè: la difesa che dovrebbe proteggerti viene spenta dal pezzo di software che sta più in basso di lei. A quel punto non c’è antivirus che tenga, perché la gerarchia è sbagliata dall’inizio.

Sui numeri serve precisione. Bitdefender scrive di aver osservato la campagna su migliaia di dispositivi distinti in più di 150 Paesi, su un arco di circa due anni. È un conteggio di quello che ha visto il loro prodotto, non una stima di quanti telefoni infetti ci siano nel mondo, quindi va letto come un limite minimo, che dipende da dove quel prodotto è installato. Nella distribuzione geografica l’Italia risulta al terzo posto, dopo Messico e Francia. Nessuna percentuale e nessun numero per Paese: quelle cifre non sono pubblicate, e chi te le dà le ha inventate.

I dispositivi nominati sono di due tipi. Da un lato cloni con nomi contraffatti che imitano telefoni famosi, cose chiamate “i17 Pro Max” o “S25 Ultra” o “Note 18 Ultra”, su piattaforme MediaTek, con sigle da ODM e il suffisso EEA, che sta per Spazio economico europeo: destinati al mercato europeo, quindi anche al nostro. Dall’altro lato, e questo è più scomodo, due marchi veri: Bitdefender nomina un Doogee S200 X e un Cubot KINGKONG X.

Il certificato di firma porta al nome di un’azienda di Shenzhen. Bitdefender dice espressamente che questo non prova che quell’azienda abbia scritto il malware o ne fosse al corrente, e quindi non lo riporto come un’accusa: un anello della catena di fornitura basta a spiegarlo.

Ultima cautela, e la metto perché è una regola che applico sempre: Midnight Mimosa è un nome coniato da un solo fornitore di sicurezza, sei giorni prima che scrivessi questo articolo. Al 14 ottobre 2026 non l’ha adottato nessun altro, nessun CERT, nessuna autorità. I fatti tecnici del report sono dettagliati e verificabili, ma il nome ha una fonte sola.

Non è una novità, ed è questo il punto

La storia aiuta a capire che non si tratta di un incidente isolato.

Nel 2019 il team di sicurezza Android di Google ha pubblicato la ricostruzione di Triada, e la frase da tenere è questa: Triada infetta le immagini di sistema dei dispositivi attraverso un terzo, durante il processo di produzione. Google spiega anche il come, che è la parte utile: gli OEM a volte mandano l’immagine di sistema completa a un’azienda esterna per farci sviluppare una funzione, per esempio lo sblocco con il volto, e l’immagine è tornata infetta. Basta un fornitore, senza alcun bisogno di un produttore complice.

Nell’aprile 2025 Kaspersky ha documentato una nuova versione di Triada, ancora nel firmware, con una libreria piazzata nelle cartelle di sistema e caricata dal processo che fa partire tutte le app. Firmware già infetto prima della vendita, su dispositivi venduti attraverso marketplace online, imitazioni di marchi noti.

Poi c’è la famiglia BADBOX, che riguarda più i TV box e i dispositivi connessi che i telefoni, ma serve per i numeri. Nel dicembre 2024 l’autorità federale tedesca per la sicurezza informatica ha deviato il traffico di fino a 30.000 dispositivi in Germania, dichiarando esplicitamente di presumere che molte più infezioni restino non rilevate, e dichiarando anche una cosa che vale la pena ripetere: in tutti i casi noti il malware era già installato al momento dell’acquisto. Il consiglio del BSI su quei dispositivi è smettere di usarli.

Sulla scala del fenomeno, due fonti danno cifre a un ordine di grandezza di distanza. HUMAN Security, in un report del marzo 2025, stima più di un milione di dispositivi infetti al gennaio 2025. Google a luglio 2025, annunciando un’azione legale, parla di oltre dieci milioni di dispositivi non certificati compromessi. L’FBI, a giugno 2025, dice solo “milioni”, senza una cifra. Sei mesi e un fattore dieci, con perimetri probabilmente diversi, e nessuna delle due pubblica il metodo con cui ha ottenuto il numero. Lo dico perché è l’informazione più utile: il fenomeno è grosso, ma chi ti cita una cifra precisa sta citando una stima di cui non si conosce il calcolo.

I tre livelli, e perché solo uno è un problema serio

Mettere tutto sotto la parola “virus” fa perdere l’unica distinzione che cambia qualcosa.

Il primo livello è il malware nel firmware, firmato con la chiave di piattaforma. Non si disinstalla. Bitdefender scrive che il proprietario non può rimuoverlo per la via normale e che servirebbe una pulizia a livello di firmware o la disattivazione via ADB da computer, e aggiunge che nessuna delle due è realistica per la maggior parte dei proprietari. Nel caso di Triada la rimozione è passata da immagini di sistema aggiornate preparate dai produttori, cioè da un aggiornamento che è arrivato dall’alto. Il BSI, come dicevo, consiglia di dismettere il dispositivo.

Il secondo livello è l’app preinstallata ma non firmata con la chiave di piattaforma. Di solito non si disinstalla ma si può disattivare, e a volte si rimuove via ADB. È la zona grigia del software che il produttore ci mette dentro e tu non hai chiesto.

Il terzo livello è l’app che hai scaricato tu. Si disinstalla, Play Protect la controlla, e quando Google ha aggiornato Play Protect per bloccare le app legate a BadBox ha agito proprio qui.

E il reset di fabbrica? Non risolve il primo livello, e il motivo è quasi una battuta: il reset riporta il telefono allo stato di fabbrica, e se il problema è la fabbrica lo riporta esattamente dov’era. Il reset cancella i tuoi dati, non la partizione di sistema. Tutte le fonti primarie sono coerenti con questo, anche se devo dire che non ho trovato una pagina della documentazione Android che lo scriva con queste parole.

Quello che puoi controllare adesso

Due avvertenze prima dell’elenco. Primo: queste verifiche dicono se il telefono è in regola e aggiornato, non se c’è un malware nel firmware. Un malware di primo livello, per definizione, non compare in nessuna schermata delle impostazioni. Secondo: i nomi delle voci di menu qui sotto vengono dalle pagine di supporto Google, che anche richiamate in italiano mi hanno restituito le stringhe inglesi, e i produttori rinominano queste voci. Quindi i percorsi sono quelli, i nomi esatti li leggi sullo schermo.

1. Guarda se il dispositivo è certificato Play Protect. Apri il Play Store, tocca l'icona del profilo, poi Impostazioni, poi Informazioni: c'è la voce sulla certificazione. Secondo Google, "non certificato" significa che non sono stati registrati i risultati dei test di compatibilità, che le app Google presenti non sono considerate autentiche, e che il dispositivo può avere più rischi di sicurezza, ricevere meno aggiornamenti e non avere un backup sicuro dei dati.
2. Controlla la data delle patch di sicurezza. Impostazioni, Informazioni sul telefono, versione di Android: lì dentro c'è la data dell'aggiornamento di sicurezza Android. Confrontala con il mese corrente. Se è vecchia di molti mesi o di anni, quel telefono non sta ricevendo aggiornamenti, qualunque cosa dicesse l'inserzione. I bollettini mensili sono pubblici e Google avvisa i produttori almeno un mese prima di pubblicarli, quindi il ritardo non è una scusa tecnica.
3. Osserva il traffico e il consumo quando non usi il telefono. Un dispositivo arruolato come proxy residenziale fa connessioni in uscita anche da fermo, perché sta instradando traffico di altri. L'FBI elenca tra gli indicatori store di app non ufficiali, richieste di disattivare Play Protect, dispositivi senza marca pubblicizzati come "unlocked" e traffico internet inspiegabile. E precisa, giustamente, che questi indicatori da soli non confermano niente.
4. Se il telefono è già in casa e i segnali ci sono, la via indicata dal BSI per i dispositivi colpiti è radicale: scollegarlo dalla rete e smettere di usarlo. Capisco che per un telefono appena comprato sia una risposta dura. Non ne ho una migliore che sia onesta.

Sulla certificazione c’è una trappola da raccontare. Google pubblica un elenco di marchi partner certificati, e in quell’elenco compaiono anche Doogee, Cubot e Blackview, cioè due dei marchi che Bitdefender nomina tra i dispositivi affetti. Non è necessariamente una contraddizione, perché l’elenco è per marchio e non per modello. Ma la conclusione è netta: “la marca è nell’elenco” non vuol dire “questo modello è certificato”, e non vuol dire “questo firmware è pulito”. Il controllo va fatto sul dispositivo.

Quello che l’Europa impone già oggi

Questa è la parte che rende la domanda iniziale meno disperata, perché un telefono venduto legalmente in Europa deve rispettare delle regole, e tu puoi controllarne alcune prima di comprare.

La più utile è anche la meno conosciuta. Il regolamento europeo 2023/1670, applicabile dal 20 giugno 2025, impone per gli smartphone venduti nell’Unione aggiornamenti di sicurezza, correttivi e di funzionalità resi disponibili gratuitamente per almeno cinque anni dalla fine dell’immissione sul mercato di quel modello. Gli aggiornamenti di sicurezza devono arrivare entro quattro mesi dalla pubblicazione del codice sorgente dell’aggiornamento del sistema operativo sottostante, quelli di funzionalità entro sei mesi. Cinque anni, gratis, per legge. Un telefono da 60 euro che non dichiara nulla su questo punto è con alta probabilità fuori da questo regime.

Poi ci sono i requisiti di cibersicurezza per le apparecchiature radio, introdotti dal regolamento delegato 2022/30: riguardano i danni alla rete e l’abuso delle risorse di rete per tutti gli apparecchi che comunicano via internet, la protezione dei dati personali per quelli che li trattano, la tutela dalle frodi per quelli che permettono trasferimenti di denaro. Uno smartphone ricade nelle prime due categorie senza discussione, e nella terza se ci fai pagamenti. Un telefono con malware nel firmware non rispetta quei requisiti: è l’argomento giuridico più diretto che esiste sul tema. La data di applicazione originaria era il 1 agosto 2024, poi rinviata di un anno da un regolamento del luglio 2023, e segnalo che la nuova data l’ho trovata solo in fonti secondarie, non nel testo consolidato: quindi la prendo come probabile e non come verificata.

Sulle vendite online la norma che chiude la scappatoia “ma io l’ho comprato da un sito cinese” è il regolamento sulla sicurezza generale dei prodotti, applicabile dal 13 dicembre 2024. L’articolo 4 stabilisce che un’offerta online diretta ai consumatori dell’Unione conta come messa a disposizione sul mercato. L’articolo 16 dice che un prodotto non può essere immesso sul mercato se non esiste un operatore economico stabilito nell’Unione che ne sia responsabile. L’articolo 19 impone che l’offerta a distanza indichi in modo chiaro e visibile almeno l’identità del fabbricante, l’identificazione del prodotto e le avvertenze di sicurezza. Sono tre cose che puoi cercare sulla scheda prodotto prima di comprare, e la cui assenza è già una risposta.

Quanto conti questo in pratica lo dice una relazione della Commissione del marzo 2025. Nel 2023 sono stati importati nell’Unione 2,3 miliardi di articoli di valore non superiore a 150 euro, e per il 2024 si prevedevano circa 4 miliardi di spedizioni da vendite a distanza, contro circa 300 milioni di importazioni tradizionali l’anno. In un’azione congiunta su offerte online provenienti da Paesi terzi, solo 31 su 215 risultavano conformi all’obbligo di avere un responsabile nell’Unione. Il campione è piccolo e il dato va citato con il denominatore, ma l’ordine di grandezza è quello.

Il Cyber Resilience Act, quello di cui si parla come della grande regola europea sulla sicurezza dei prodotti digitali, oggi morde solo in parte: dall’11 settembre 2026 i fabbricanti devono segnalare vulnerabilità sfruttate e incidenti gravi, con allerta precoce entro 24 ore e notifica completa entro 72, attraverso una piattaforma gestita da ENISA. Le disposizioni principali arrivano l’11 dicembre 2027, e da allora la data di fine del periodo di assistenza va indicata al momento dell’acquisto.

Un dato di realtà, per non finire con l’elenco delle leggi. Nel maggio 2026 la Commissione ha multato Temu per 200 milioni di euro per violazione del regolamento sui servizi digitali, in relazione ai prodotti illegali presenti sulla piattaforma: un esercizio di acquisti in incognito aveva trovato che una percentuale molto alta dei caricabatterie testati non superava i test di sicurezza di base. Riguarda prodotti non sicuri in generale e non malware preinstallato, quindi come precedente sul nostro tema non vale. Serve a dire che il meccanismo di controllo esiste e che a volte morde.

Su telefoni importati con firmware compromesso non ho trovato nessun pronunciamento pubblico dell’Antitrust italiano, del Ministero, dell’Agenzia per la cybersicurezza nazionale o del CSIRT Italia. Nemmeno sul fenomeno in generale. Non vuol dire che non esista: vuol dire che io non l’ho trovato.

Per capire cosa c’è sotto

Se vuoi vedere come sono fatti i pezzi di cui si parla qui, dal processore alla memoria, l’ho spiegato in Come funziona un computer: ALU, GPU, NPU. E sul tema aggiornamenti, che è il vero discrimine tra un apparecchio che vive e uno che è già finito, c’è Windows 10 è finito: cosa fare adesso, che parla di computer ma il ragionamento è identico.