I dispositivi smart economici e i TV box sono sicuri? I segnali d'allarme da controllare prima di comprare

Un prezzo basso, da solo, non rende pericoloso un dispositivo smart. Una presa o una telecamera economica di un produttore che si può identificare, che distribuisce aggiornamenti di sicurezza e dice per quanto tempo lo farà, può essere un acquisto sensato.

Il rischio vero riguarda i dispositivi che non si possono ricondurre a nessuno: nessuna marca riconoscibile, nessun aggiornamento e una configurazione che ti chiede di indebolire le tue stesse protezioni. I TV box Android generici sono l’esempio più chiaro, perché l’FBI ha avvertito che alcuni erano infetti prima ancora di arrivare a chi li ha comprati.

Che cosa ha segnalato l’FBI sui TV box?

Il 5 giugno 2025 l’FBI ha pubblicato un avviso al pubblico su BADBOX 2.0, una botnet: una rete di dispositivi finiti sotto il controllo di criminali e comandati a distanza all’insaputa dei proprietari. Secondo l’FBI è formata da milioni di dispositivi infetti, tra cui dispositivi per lo streaming TV, proiettori digitali, sistemi di infotainment per auto montati dopo l’acquisto e cornici digitali.

L’FBI descrive due vie di infezione: il software malevolo era già installato prima dell’acquisto, oppure il dispositivo lo ha preso scaricando app necessarie al suo funzionamento, di solito durante la configurazione. Una volta connesso, un dispositivo infetto può essere usato come “proxy residenziale”: i criminali vendono o cedono gratis l’accesso alla connessione internet della casa, così le loro attività sembrano partire da una normale famiglia. Il proprietario può non accorgersi di nulla.

Botnet più vecchie come Mirai entravano in telecamere e router che avevano ancora le password di fabbrica. Con BADBOX 2.0 una password robusta non serve, perché il problema può stare nel software con cui il dispositivo è arrivato.

Un dispositivo economico è più rischioso di uno costoso?

Non per il prezzo in sé. Un prezzo molto basso può nascondere il lavoro che il produttore non ha pagato: persone che correggono le falle di sicurezza, aggiornamenti del firmware per anni, una pagina di assistenza con un contatto. Nemmeno un prezzo più alto garantisce tutto questo. Conta che ci sia qualcuno di identificabile responsabile di correggere il prodotto.

L’FBI osserva che la maggior parte dei dispositivi infetti è stata prodotta in Cina, ma nessuno degli indicatori che elenca riguarda l’origine: descrivono come un dispositivo viene venduto, configurato e come si comporta.

Quali segnali d’allarme controllare prima di comprare?

L’FBI elenca questi possibili indicatori di BADBOX 2.0, e sottolinea che un indicatore da solo non prova nulla:

app scaricate da negozi di app sospetti invece che da uno store ufficiale;
una configurazione che richiede di disattivare Google Play Protect (Play Protect è il controllo integrato con cui Google protegge i dispositivi Android dalle app dannose);
dispositivi generici per lo streaming TV pubblicizzati come “sbloccati” o in grado di accedere a contenuti gratuiti;
dispositivi IoT pubblicizzati da marchi che non riconosci;
dispositivi Android non certificati Play Protect;
traffico internet inspiegabile o sospetto.

Per qualunque dispositivo connesso valgono alcuni controlli in più, che derivano dalle regole descritte sotto e dai consigli sui dispositivi smart del National Cyber Security Centre (NCSC) britannico:

Un produttore che si trova. L’inserzione dovrebbe indicare un produttore con un proprio sito, una pagina di assistenza e un modo per segnalare problemi di sicurezza.
Un periodo di aggiornamento dichiarato. L’NCSC suggerisce di trattare la data di fine supporto come una data di scadenza (“use by”). L’assenza di qualsiasi data è già di per sé un segnale d’allarme.
Nessuna password di fabbrica uguale per tutti. Se il manuale riporta un accesso fisso, identico su ogni esemplare, e la configurazione non ti obbliga mai a cambiarlo, il prodotto segue una pratica che la legge britannica ha vietato. Le credenziali predefinite sono il modo in cui si è diffusa Mirai.
Un’app che chiede solo ciò che le serve. Per configurare un dispositivo servono l’accesso alla rete di casa e spesso il Bluetooth. Un’app che vuole anche i contatti, il registro chiamate o gli SMS chiede più di quanto il compito richieda; Google Play riserva l’accesso al registro chiamate e agli SMS alle app per telefono, messaggi e assistente. Su Android puoi controllare e revocare gli accessi di un’app dalle impostazioni del telefono.

Come si controlla un TV box Android?

La pagina di assistenza di Google sulla certificazione Play Protect spiega che i dispositivi certificati hanno superato i test di compatibilità Android e che solo i dispositivi certificati possono includere app Google come il Play Store. Avverte che i dispositivi non certificati potrebbero non essere sicuri e potrebbero non ricevere gli aggiornamenti di sistema e delle app Android. Lo stato si legge nelle impostazioni del Play Store, alla voce Informazioni, e Google tiene un elenco dei dispositivi certificati con cui confrontare un modello prima di comprarlo.

Un box che ti dice di spegnere Play Protect per installare app al di fuori di Google Play corrisponde a due indicatori dell’FBI insieme. Non tutti i dispositivi di streaming legittimi usano però la versione Android di Google: alcuni molto noti usano un sistema e uno store di app del proprio produttore. Per questi valgono le stesse domande: un produttore identificabile e aggiornamenti dichiarati pubblicamente.

Cosa chiedono le regole a chi vende?

Nel Regno Unito il regime di sicurezza dei prodotti previsto dal PSTI Act si applica ai prodotti connettibili per consumatori dal 29 aprile 2024. Le password devono essere diverse per ogni prodotto o scelte dall’utente, il produttore deve spiegare come segnalare problemi di sicurezza e deve pubblicare il periodo minimo di aggiornamenti di sicurezza con una data di fine. Importatori e distributori non possono fornire un prodotto privo della dichiarazione di conformità del produttore.

Nell’UE la Commissione europea indica che i requisiti di cybersicurezza previsti dalle regole sulle apparecchiature radio si applicano ad alcune categorie di dispositivi wireless da agosto 2025. Il Cyber Resilience Act va oltre: i suoi obblighi principali si applicano dall’11 dicembre 2027, i prodotti porteranno la marcatura CE per mostrare che sono conformi e la data di fine del periodo di supporto, con mese e anno, dovrà essere indicata con chiarezza al momento dell’acquisto.

Queste regole vincolano chi immette il prodotto sul mercato; non fanno da garanzia per ogni inserzione su un marketplace, e la marcatura CE è una dichiarazione del produttore stesso, non un certificato rilasciato da un’autorità.

Cosa fare con un dispositivo che hai già?

Se un dispositivo di casa corrisponde a più segnali tra quelli elencati, l’FBI suggerisce di valutare se scollegarlo dalla rete. Poi:

Non affidarti al solo ripristino delle impostazioni di fabbrica. L’NCSC consiglia il ripristino quando qualcuno ha preso il controllo di un dispositivo. Il ripristino però riporta il dispositivo alle impostazioni originali, quindi il software installato prima della vendita, come quello descritto dall’FBI, può sopravvivere.
Tieni aggiornato tutto il resto. L’FBI raccomanda di mantenere aggiornati sistemi operativi, software e firmware, e l’NCSC consiglia di attivare gli aggiornamenti automatici quando il dispositivo li prevede.
Separa ciò che tieni. Una rete Wi-Fi ospiti per i dispositivi smart, una forma semplice di segmentazione della rete, può tenere un apparecchio che si comporta in modo strano lontano da portatile e telefono, a condizione che il router tenga la rete ospiti separata da quella principale (lo dicono le impostazioni del router).
Segnalalo. Negli Stati Uniti l’FBI chiede alle vittime di un’intrusione di segnalarla al suo Internet Crime Complaint Center, su ic3.gov.

La guida alla smart home contiene una lista di controllo più completa per l’acquisto, che comprende il controllo locale e gli otturatori fisici sulle telecamere.

Per continuare

Fondamenti di sicurezza IoT spiega come vengono attaccati i dispositivi connessi.
La normativa sulla sicurezza IoT tratta il Cyber Resilience Act, il regime PSTI britannico e il Cyber Trust Mark statunitense.
La guida alla smart home mostra come si combinano ecosistemi, hub e impostazioni sulla privacy.

Argomenti: sicurezza dei consumatori, TV box, Android, botnet, smart home, domande di tutti i giorni