Mythos Sentinel
Un caso vero, raccontato con i dati
Fra le 00:37 e le 00:40 il Play Store aveva installato un componente di Google e l'updater di Meta aveva aggiornato Facebook e Instagram: circa 200 megabyte, due firme digitali diverse da prima, un pacchetto nuovo. Il mio stesso referto lo ha letto come un attacco in corso, ed è arrivato a 93 punti su 100. Ecco perché è successo, e cosa distingue davvero un aggiornamento da un'app che ne ha preso il posto.
L'osservazione
Nessuno dei controlli aveva mentito. Ognuno aveva misurato un fatto reale e concluso da solo, senza sapere cosa stessero vedendo gli altri:
La firma digitale di due app risultava diversa da quella registrata in precedenza. È esattamente il segnale che si cerca quando un'app viene sostituita con una copia modificata: qui il file era cambiato perché era stato aggiornato, non sostituito.
Un'app che scarica decine di megabyte in pochi minuti e li scrive sul disco è, in astratto, lo stesso comportamento di un impianto che invia dati fuori dal telefono. Qui erano gli aggiornamenti in arrivo, non dati in uscita.
Il referto teneva il conto di un allarme recente e sommava più segnali insieme leggendoli come "una storia coerente". Più cose vere si sommano, più il punteggio sale — anche quando la storia vera è "il telefono si è aggiornato".
Il problema non era in nessun singolo controllo: era che nessuno sapeva che "il telefono aggiorna le sue app" è una cosa che succede di martedì, a ogni utente, ogni volta che le app si aggiornano di notte.
Il metodo
Un'app cambiata da sola non basta a distinguere un aggiornamento da una sostituzione: servono tre informazioni insieme, e la terza è quella che conta davvero.
Il Play Store, il negozio del produttore, o un installer sconosciuto? La fonte da sola non basta — ma se manca, l'allarme resta.
È il segnale che tutti guardano: dice che il file è diverso da prima. Da solo dice troppo poco, perché ogni aggiornamento lo fa.
Questo è il segnale che regge il peso. Un aggiornamento vero alza sempre il numero di versione. Chi sostituisce un'app per spiare deve restare compatibile con quella che rimpiazza — e spesso non può alzarla.
Firma diversa, versione salita, dal Play Store: quasi sempre un aggiornamento normale. Firma diversa, versione ferma, da una fonte non riconosciuta: quello è il caso che merita un allarme pieno. Prima queste due situazioni pesavano come la stessa riga rossa, e la seconda — quella vera — annegava nel rumore della prima, che capita a chiunque ogni settimana.
La regola applicata alla correzione
La correzione non nasconde quello che è stato visto: un referto che si limita a smettere di guardare quando trova un aggiornamento sarebbe cieco esattamente nel momento in cui qualcuno approfitta di quella finestra per fare qualcos'altro. La riga resta scritta nel referto, con la sua spiegazione. Smette di pesare sul punteggio quando la spiegazione regge — fonte riconosciuta, versione salita. Pesa per intero quando non regge.
Verificato sul telefono con quattro scansioni consecutive, la stessa notte: 93 → 37 → 17 → 2, zero segnalazioni gravi nell'ultima.
Può succedere con strumenti che guardano solo "è cambiato qualcosa" senza chiedersi chi l'ha cambiato e se la versione è salita. Non è la prova di un attacco: è un segnale che va letto insieme al contesto.
Perché è l'orario in cui il telefono è fermo, in carica e su Wi-Fi: Android e i negozi delle app programmano lì gli aggiornamenti automatici per non disturbare l'uso durante il giorno.
Il segnale che conta è la versione: se la firma è cambiata ma il numero di versione non è salito, o l'app non arriva da un negozio riconosciuto, è il caso che merita attenzione vera — non un aggiornamento qualunque.
Se scende perché il contesto si chiarisce — l'aggiornamento risulta da una fonte riconosciuta con versione salita — sì. Diffida invece di un punteggio che scende senza una spiegazione scritta di cosa è cambiato.