Android vs iPhone: quale è più sicuro? CVE, zero-day, prezzi degli exploit e tempi di patch in numeri (2026)

Per un exploit zero-click funzionante su iPhone i broker oggi pagano fino a 7 milioni di dollari. Per lo stesso exploit su Android – fino a 5 milioni. Caso chiuso, l’iPhone è più sicuro? Non così in fretta. Nel 2019 era esattamente il contrario: Zerodium pagava 2,5 milioni per Android e 2 milioni per iOS, e il suo capo spiegava che il mercato era semplicemente invaso da exploit per iPhone. 💥

«Michał, cos’è più sicuro: iPhone o Android?» – è una domanda che ricevo di continuo. Da amici, da clienti, da amministratori delegati che stanno proprio cambiando la flotta di telefoni aziendali. E rispondo sempre allo stesso modo: dipende da cosa misuri. Perché in questa discussione tutti hanno un’opinione, ma pochi hanno i numeri.

Così ho fatto quello che mi piace di più: ho raccolto dati concreti in un unico posto. Il numero di vulnerabilità (CVE), gli zero-day usati in attacchi reali, la velocità delle patch, i prezzi degli exploit sul mercato nero, i risultati delle competizioni di hacking, le statistiche su malware e phishing, i programmi di bug bounty. In più, una breve panoramica di come funzionano le difese dei due sistemi e di come gli attacchi reali le hanno aggirate – compreso il motivo per cui una funzione nata per le persone con disabilità è oggi lo strumento preferito dei ladri su Android. Ogni numero ha una fonte e una data (elenco in fondo). Alla fine – il verdetto e 7 cose che dovrebbe fare chiunque, a prescindere dal logo sulla scocca.

Indice

1. Prima di confrontare: una mela contro un sacco di mele
2. Quante CVE ha Android e quante iOS?
3. Zero-day in attacchi reali: 15 contro dispositivi mobili nel 2025
4. Quanto velocemente vengono corrette le vulnerabilità? Apple vs Google
5. Quanto costa un’intrusione – il listino del mercato nero e Pwn2Own
6. Quanto è grande il team di sicurezza? Bug bounty e difesa degli store
7. Malware e phishing: dove si perdono davvero i soldi
8. Pegasus, Graphite e compagnia: chi è il bersaglio
9. Mura e scorciatoie: come gli attacchi aggirano le difese (e perché l’accessibilità è pericolosa)
10. Verdetto: la tabella dei punteggi
11. 7 cose da fare a prescindere dal sistema
12. FAQ

Prima di confrontare: una mela contro un sacco di mele

Una precisazione onesta per iniziare, perché senza di essa l’intero confronto sarebbe scorretto. L’iPhone è un produttore, un sistema e uno store. «Android» è il Pixel di Google, Samsung con la sua interfaccia personalizzata e il suo bollettino di sicurezza, Xiaomi, Motorola e, in fondo alla fila, il telefono da 100 euro preso al supermercato, che ha ricevuto l’ultimo aggiornamento il giorno del lancio. Stiamo quindi confrontando una mela con un intero sacco di mele più o meno fresche.

Anche le proporzioni non sono simmetriche. Nel mondo Android ha il 69% del mercato, iOS il 31% (StatCounter, settembre 2026). In Polonia le quote sono più vicine: 64% Android, 36% iOS. Una quota maggiore è una calamita più forte per la criminalità di massa – chi scrive un trojan bancario lo fa dove ci sono più potenziali vittime.

E poi il supporto, perché è quello che decide se una patch arriverà mai fino a te:

• Pixel 8 e successivi: 7 anni di aggiornamenti di sistema e di sicurezza (Pixel 6/7: 5 anni).
• Samsung Galaxy S24/S25: 7 anni.
• Android economici: dipende dal produttore e dal modello, di solito molto meno rispetto ai top di gamma. Prima di comprare, controlla sul sito del produttore il periodo di aggiornamenti dichiarato.
• iPhone: Apple non promette un numero preciso di anni. Ma iOS 27, rilasciato il 14 settembre 2026, gira ancora sull’iPhone 11 del 2019 – quindi in pratica circa 7 anni.

Lezione n. 1: La domanda «Android o iPhone» è posta male. Quella giusta è: «quale Android?». Un Pixel con 7 anni di supporto e un no-name con due anni sono due mondi diversi, anche se entrambi si chiamano Android.

Quante CVE ha Android e quante iOS?

Per i non tecnici: CVE è un catalogo pubblico delle vulnerabilità – ogni falla resa nota riceve un numero, così tutti parlano dello stesso bug. Ne ho parlato più a fondo nel post sulle minacce informatiche 2026 in numeri.

Zimperium, nel suo Global Mobile Threat Report 2025, ha fatto i conti: nel 2024 Android ha ricevuto 501 CVE, iOS 317. Ancora più interessante è il numero di zero-day, cioè falle sfruttate negli attacchi prima che esistesse una patch: Android 41 / 97 / 12 negli anni 2022 / 2023 / 2024, iOS rispettivamente 5 / 20 / 5.

Primo istinto: «Android ha più falle». Secondo istinto, quello da pentester: il numero di CVE dice di più su come si conta e su quante persone cercano, che su quanto sia sicuro il sistema. Perché?

• Nelle CVE di Android rientrano componenti di terze parti: modem, chip Qualcomm, MediaTek. Nei suoi bollettini Google corregge errori altrui. Apple progetta i propri chip e conta in modo diverso.
• Android è open source – chiunque può guardare il codice e segnalare un bug. Nel chiuso iOS cercare falle è più difficile, quindi alcune semplicemente non ricevono un numero.
• Dal 2025 Google ha cambiato il ritmo dei bollettini (ne parlo tra poco), quindi anche il confronto anno su anno per il solo Android diventa poco lineare. Per dare un’idea della scala: nella prima metà del 2025 l’Android Security Bulletin ha corretto circa 270 vulnerabilità, il solo bollettino di dicembre 2025 ne ha corrette 107. Apple in iOS 26.0 ha corretto 27 CVE (secondo SecurityWeek; l’elenco di Apple ha più voci, perché una singola falla può riguardare più componenti).

Molto più interessante del numero grezzo è la qualità dei bug. Da anni Google pubblica la quota di errori di memoria (la classe di falle da cui nasce la maggior parte degli exploit) tra le vulnerabilità di Android: 76% nel 2019, 24% nel 2024 e sotto il 20% nel 2025. Merito di Rust – in Android ci sono già circa 5 milioni di righe di codice in questo linguaggio, e Google riporta circa 1000 volte meno errori di memoria per milione di righe rispetto a C/C++. Apple ha risposto a settembre 2025 con la Memory Integrity Enforcement (MIE) sull’iPhone 17: tagging hardware della memoria sempre attivo, che secondo Apple è «il più importante upgrade della sicurezza della memoria nella storia dei sistemi operativi consumer». Google aveva l’MTE hardware sul Pixel 8 già nel 2023, ma come opzione; Apple lo ha attivato per tutti, di default. ✔️

Lezione n. 2: Non scegliere un telefono in base al numero di CVE. Sceglilo in base a quanto il produttore investe nell’eliminare intere classi di bug – e qui entrambi i giganti hanno fatto negli ultimi due anni più che nel decennio precedente.

Zero-day in attacchi reali: 15 contro dispositivi mobili nel 2025

La misura più dura non è «quante falle sono state trovate», ma «quante falle sono state usate contro le persone prima che ci fosse una patch». Il Google Threat Intelligence Group lo conta ogni anno:

• 2025: 90 zero-day sfruttati in attacchi (2024: 78, 2023: 100). Di questi, 15 su piattaforme mobili (2024: 9, 2023: 17).
• Suddivisi per azienda (tutti i prodotti, non solo i telefoni): Microsoft 25, Google 11, Apple 8.
• Le catene di più zero-day contemporaneamente prendono di mira quasi esclusivamente (circa il 90%) i telefoni. Nel 2025 le catene di tre o più bug sono state più frequenti dell’anno precedente – perché una singola falla non basta più a sfondare le difese.
• L’unica suddivisione per piattaforma fornita da Google: nel 2024 7 zero-day riguardavano Android, di cui 3 in componenti di terze parti. Per iOS Google non ha pubblicato un numero simile.
• Per la prima volta nella storia della misurazione, sono stati attribuiti più zero-day ai produttori commerciali di spyware che ai gruppi di spionaggio statali.
• Un esempio fresco su iOS: il 28 settembre 2026 Apple ha rilasciato iOS 26.7.1 con una patch per una falla in CoreGraphics (CVE-2026-86950) che, secondo Apple, potrebbe essere stata sfruttata in un «attacco estremamente sofisticato» contro persone specifiche, sulle versioni precedenti a iOS 27. Per contrasto: il bollettino Android di ottobre (25 CVE) non segnala nessuna falla come sfruttata. Un mese non dimostra nulla – ma mostra bene che «l’iPhone non ha zero-day» è un mito.

La raccomandazione dello stesso report sta in una frase, quindi la ripeto: attiva Advanced Protection su Android (da Android 16) oppure la Modalità di isolamento (Lockdown Mode) su iPhone. Sono modalità «per persone ad alto rischio», ma per un CEO, un avvocato o un giornalista oggi sono semplicemente un’impostazione sensata.

Lezione n. 3: Nel mondo degli zero-day entrambi i sistemi sono un bersaglio, e le differenze sono più piccole di quanto suggerisca internet. Non contano tanto i bug, quanto quanto costa metterli insieme in un attacco funzionante – e ne parliamo tra poco.

Quanto velocemente vengono corrette le vulnerabilità? Apple vs Google

La migliore misurazione indipendente è quella di Google Project Zero – il team che segnala bug a tutti i produttori (Google compresa) e conta pubblicamente quanti giorni impiegano per una patch. La scadenza è di 90 giorni.

Per gli anni 2019-2021: iOS in media 70 giorni, Pixel 72, Samsung 72. Quindi pareggio. Nella tabella del 2025 (aggiornata a marzo 2026) Apple non ha nemmeno una segnalazione, quindi il confronto non è possibile; il Pixel 10 ha avuto bisogno di 73, 98 e 98 giorni (due volte oltre la scadenza), Samsung ha corretto i codec di immagine in media in 49 giorni. Una curiosità dallo stesso confronto: i browser. Chrome ha impiegato 30 giorni dalla segnalazione alla distribuzione della correzione agli utenti, WebKit (il motore di Safari) – 73. Apple corregge in fretta, ma rilascia secondo i suoi ritmi.

Solo che «patch rilasciata dal produttore» non è la stessa cosa di «patch sul tuo telefono». Ed è qui che inizia la vera differenza:

Android ha cambiato ritmo. Per dieci anni Google ha pubblicato ogni mese un bollettino con le patch. A luglio 2025 è comparso il primo bollettino vuoto della storia, e da settembre 2025 è in vigore un sistema «basato sul rischio»: ogni mese solo le falle attivamente sfruttate o parte di catene note, il resto nei grandi rilasci trimestrali. I partner ricevono il codice qualche mese prima, e dal 2026 il codice sorgente AOSP viene pubblicato due volte l’anno. Per chi usa un Samsung o un Pixel in pratica non cambia nulla. Per chi sviluppa sistemi alternativi (ad esempio GrapheneOS) è un problema – le patch arrivano più tardi.

Apple è andata nella direzione opposta. A marzo 2026 ha rilasciato i primi Background Security Improvements: piccole patch (in questo caso per una falla in WebKit, CVE-2026-20643) installate in background, senza un aggiornamento completo del sistema e senza riavvio. La finestra tra il rilascio e l’installazione si riduce al minimo.

Ed ecco il risultato finale, cioè quanti telefoni hanno davvero il sistema più recente. Attenzione alle date: sono le ultime misurazioni pubblicate dai produttori. Da allora sono già usciti iOS 27 (settembre 2026) e Android 17, ma né Apple né Google hanno diffuso nuovi numeri.

• iOS 26: 79% di tutti gli iPhone e 86% dei modelli degli ultimi 4 anni (Apple, giugno 2026, 9 mesi dopo il lancio).
• Android 16: 7,5% dei dispositivi nel campione di Google di dicembre 2025 (6 mesi dopo il lancio); nel traffico web misurato da StatCounter a settembre 2026 – 38%. Metodi diversi, ma nessuno dei due si avvicina ad Apple.
• Zimperium: nel corso di un anno il 61% dei dispositivi Android e il 49% di quelli iOS si è trovato a un certo punto con una versione del sistema obsoleta, e circa il 25% dei dispositivi aziendali non può proprio essere aggiornato all’ultima versione.

Lezione n. 4: Alla fonte Apple e Google correggono a un ritmo simile. La differenza sta nella strada fino alla tasca: la patch di Apple arriva su 4 iPhone su 5, quella di Google deve passare per il produttore, l’operatore e la versione dell’interfaccia. Per questo, se in azienda hai degli Android, la policy «aggiorniamo entro 14 giorni» deve essere imposta tramite MDM (il software per gestire i telefoni aziendali), non lasciata agli utenti.

Quanto costa un’intrusione – il listino del mercato nero e Pwn2Own

L’indicatore di sicurezza più onesto è il prezzo. Non la mia opinione, non il marketing – ma quanto qualcuno è disposto a pagare per un attacco funzionante. I broker di exploit (aziende che acquistano zero-day per conto dei governi) pubblicano i loro listini:

• Zerodium, 2019: Android zero-click 2,5 mln $, iOS 2 mln $. Per la prima volta nella storia Android costava di più. La spiegazione del capo dell’azienda: mercato invaso da exploit per iOS, soprattutto per Safari e iMessage, mentre Google aveva «con calma» blindato Android al punto che costruire una catena zero-click completa era diventato più difficile.
• Operation Zero (Russia), listino attuale: Android 2,5 mln $, iOS 2 mln $. A settembre 2023 l’azienda annunciava, occasionalmente, fino a 20 mln $ per catene complete su entrambi i sistemi. Nel 2025 un cittadino americano, ex responsabile di divisione in L3Harris Trenchant, ha ammesso di aver venduto loro degli exploit – ha preso circa 7 anni.
• Crowdfense (EAU), 2024: iOS zero-click 5-7 mln $, Android fino a 5 mln $, Chrome fino a 3 mln, Safari fino a 3,5 mln. Il listino non è cambiato fino a oggi. Il commento dell’azienda: «le difese implementate dai produttori funzionano» – un exploit che una volta scriveva una sola persona oggi richiede un team.

Quindi nel 2019 costava di più Android, nel 2024 costa di più iOS. La conclusione? Oggi entrambi i sistemi sono un bersaglio così difficile che una catena funzionante costa quanto dieci case a Varsavia. Nessuno spenderà una cifra del genere per rubarti le foto delle vacanze – sono soldi destinati a obiettivi politici e di intelligence.

La seconda misura imparziale è il Pwn2Own – una competizione in cui i migliori team del mondo violano i dispositivi dal vivo, con i soldi dell’organizzatore (Zero Day Initiative):

• Irlanda 2024: Galaxy S24 violato (catena di 5 bug, premio di 50.000 $). Per il Pixel 8 e l’iPhone 15 c’erano in palio 250.000 $ ciascuno. Nessuno ha nemmeno tentato.
• Irlanda 2025: Galaxy S25 violato due volte (50.000 $ ciascuna). Per il Pixel 9 e l’iPhone 16 venivano offerti 300.000 $ ciascuno – zero iscrizioni.
• Irlanda 2026: qui la svolta. Il Pixel 10 è caduto tre volte l’ultimo giorno, e per una di queste catene Ikotas Labs ha portato a casa 300.000 $ – il premio più alto dell’intera competizione. Il Galaxy S26 è stato violato 7 volte, per lo più con «collisioni» (bug che il produttore conosceva già, quindi premi più bassi). Per l’iPhone 17 (anche qui 300.000 $), per il terzo anno di fila nessuno si è iscritto. L’intera competizione: 98 zero-day e 1,26 mln $ di premi.

Perché da tre anni nessuno tenta l’iPhone per 300.000 dollari? Perché una catena funzionante vale presso i broker circa 20 volte di più – presentarla in gara è un pessimo affare. Tanto più interessante è il Pixel di quest’anno: tre team hanno deciso che conveniva mostrarlo. Cosa sia andato storto esattamente, per ora non si sa – ZDI rende pubblici i dettagli dei bug solo dopo 90 giorni, quando il produttore li ha corretti. Samsung, con la sua interfaccia e le sue app, ha semplicemente più codice in cui cercare – ed è per questo che cade ogni anno. 😈

Lezione n. 5: iPhone e Pixel restano «hard target» – bersagli che, in un attacco reale, possono permettersi soprattutto gli Stati. Ma il Pixel di quest’anno ricorda che un bersaglio difficile non è un bersaglio intoccabile: la difficoltà di un attacco non è una costante, è una corsa che il produttore deve vincere da capo ogni anno. Gli altri Android si collocano più in basso, in proporzione alla quantità di codice proprietario del produttore e alla sua velocità nel correggerlo. Se stai scegliendo la flotta per persone esposte (dirigenza, finanza, legali), questo criterio dovrebbe pesare più del costo dell’abbonamento.

Quanto è grande il team di sicurezza? Bug bounty e difesa degli store

Volevo inserire qui due numeri: quanti ingegneri della sicurezza ha Apple e quanti Google. Non ci riesco – nessuna delle due aziende pubblica la dimensione dei propri team (Apple SEAR, Android Security, Project Zero). Qualsiasi numero trovi su internet è un’ipotesi. Ma ci sono buoni indicatori alternativi: quanto le due aziende pagano gli esterni per trovare falle e quanta spazzatura fermano all’ingresso dello store.

Bug bounty, ovvero quanto pagano per le falle

• Apple: da novembre 2025 il premio massimo è di 2 mln $ per una catena zero-click (prima 1 mln), e con i bonus (aggiramento della Modalità di isolamento, bug nelle versioni beta) «oltre 5 mln $». Dall’avvio del programma nel 2020 Apple ha pagato oltre 35 mln $ a più di 800 ricercatori. Nel programma Security Research Device (iPhone speciali per ricercatori) il pagamento mediano nel 2024 è stato di circa 18.000 $, e in alcuni casi si è arrivati a 500.000 $. Nel 2026 Apple regala anche 1000 iPhone 17 a organizzazioni della società civile esposte allo spyware.
• Google: nel 2025 tutti i programmi VRP hanno pagato 17,1 mln $ a 747 ricercatori (oltre 81 mln $ dal 2010). Di questi, ad Android e ai dispositivi Google – 2,9 mln $ (l’anno prima 3,3 mln; Chrome ha ricevuto 3,7 mln). Da maggio 2026 una catena zero-click completa sul Pixel che violi il chip Titan M2 e garantisca persistenza vale 1-1,5 mln $. Google lo spiega senza giri di parole: l’AI ha sommerso il programma di report lunghissimi, quindi i premi vanno dove i bug sono più difficili da trovare per un’AI.
• Samsung: fino a 1 mln $ per l’esecuzione remota di codice in Knox Vault; oltre 4 mln $ pagati dal 2017.
• In più Google mantiene Project Zero – un team che cerca falle anche da Apple e Samsung e fa rispettare pubblicamente a tutti i 90 giorni. Apple non ha un equivalente pubblico.

L’ingresso dello store, ovvero quanta spazzatura non arriva sul telefono

• App Store, 2025: 9,1 milioni di app esaminate, oltre 2 milioni rifiutate, 193.000 account sviluppatore chiusi, 2,2 mld $ di transazioni fraudolente bloccate, 28.000 app bloccate su store pirata.
• Google Play, 2025: 1,75 milioni di app che violavano le regole fermate prima della pubblicazione, 80.000 account bannati, Play Protect che scansiona 350 miliardi di app al giorno e 27 milioni di nuove app dannose individuate fuori dallo store.

Questi numeri misurano cose diverse (Apple conta dollari, Google app), ma mostrano la scala: entrambi i giganti gestiscono vere e proprie fabbriche di filtraggio a un livello che nessuna banca o e-commerce polacco si sogna nemmeno. 😈

Lezione n. 6: La dimensione del team non è pubblica, ma i soldi sì. Apple paga di più per il singolo exploit, Google di più in totale e su un fronte più ampio. Entrambe le cose dicono lo stesso: la sicurezza di un telefono oggi costa centinaia di milioni di dollari l’anno. La tua app mobile, scritta da un fornitore esterno in sei mesi, non ha questa scala – ed è per questo che è lì, e non nel sistema, che durante gli incarichi trovo più spesso le falle.

Malware e phishing: dove si perdono davvero i soldi

Zero-day ed exploit da milioni sono il mondo dei servizi segreti. I soldi delle persone comuni e delle aziende si perdono altrove – tramite app dannose e phishing. E qui il quadro è netto, solo che si ribalta da una categoria all’altra.

Malware: Android

• Kaspersky, 2025: 14 milioni di attacchi bloccati tra malware, adware e software indesiderato sui telefoni (circa 1,2 milioni al mese), 815.000 nuovi pacchetti di installazione dannosi e 255.000 nuovi trojan bancari – una crescita di diverse volte anno su anno. Quasi tutto su Android.
• Lookout, Q3 2025: i rilevamenti di malware sui dispositivi aziendali riguardano «nella stragrande maggioranza» Android; in un trimestre 71.000 app dannose sui telefoni aziendali.
• ESET, secondo semestre 2025: gli attacchi tramite NFC (il telefono della vittima «cede» la carta di pagamento al criminale che si trova davanti al bancomat) sono cresciuti dell’87%.
• Polonia: nel 2025-2026 CERT Polska ha descritto nuove campagne contro i clienti delle banche polacche: NGate (si spaccia per SGB, Santander, PKO, ING, ruba tramite NFC), FvncBot (SGB, Alior, Paribas; finge di essere un «componente Play»), Cifrat (infrastruttura che imita Booking). Il denominatore comune: sono tutti file APK installati manualmente su Android dopo che la vittima ha superato la schermata «consenti l’installazione da origini sconosciute».
• Google stima che le app installate fuori dallo store contengano oltre 50 volte più malware di quelle di Play. Per questo dal 30 settembre 2026 (Brasile, Indonesia, Singapore, Thailandia) e dal 2027 a livello globale Android richiede che ogni sviluppatore sia verificato – anche fuori dallo store. Zimperium: nelle aziende un telefono Android su quattro ha installata un’app esterna allo store.

Per completezza: iOS non è immacolato. A febbraio 2025 Kaspersky ha descritto SparkCat – il primo malware noto nell’App Store, che legge gli screenshot alla ricerca delle frasi di recupero dei wallet di criptovalute. E nell’Unione Europea dal 2024 anche l’iPhone ammette store alternativi (sei attivi secondo TechCrunch), anche se ogni app passa comunque per la «notarizzazione» automatica e umana di Apple. Finora non ho visto incidenti clamorosi provenienti da questi store.

Phishing: iPhone

• Lookout, Q3 2025: un tentativo di phishing è stato registrato sul 16% dei dispositivi iOS e sul 7,8% di quelli Android. In tutto il 2024: 26% vs 12%. Lookout aggiunge onestamente: in azienda gli iPhone vanno a dirigenti e reparto finanza, quindi sono semplicemente un bersaglio più prezioso.
• Zimperium, 2026: il phishing sui telefoni aziendali è cresciuto del 380% da gennaio 2025, e lo spyware è stato rilevato su quasi 1 dispositivo su 10 (4 volte di più anno su anno).
• Google si vanta di uno studio (YouGov, 5000 persone tra USA, India e Brasile) secondo cui gli utenti Android hanno il 58% di probabilità in più rispetto agli utenti iPhone di non ricevere nemmeno un SMS truffa in una settimana. Lo studio l’ha commissionato Google, quindi lo tratto come pubblicità – ma il filtraggio di SMS e chiamate tramite AI oggi è effettivamente più forte sul lato Android. ⚠️

Lezione n. 7: Android perde sul malware, l’iPhone sul phishing. Il primo si può risolvere con una policy («zero app fuori dallo store» imposta tramite MDM), il secondo non si risolve con il telefono – perché il phishing attacca la persona, non il sistema. Sull’iPhone del tuo CFO il link alla «fattura» sembra convincente esattamente come ovunque.

Pegasus, Graphite e compagnia: chi è il bersaglio

Lo spyware commerciale è un campionato a parte: Pegasus (NSO), Predator (Intellexa), Graphite (Paragon). Un fatto da ricordare: ognuno di questi ha una versione per entrambi i sistemi. Nel 2025 Citizen Lab ha confermato Graphite sugli iPhone di due giornalisti (zero-click tramite iMessage, CVE-2025-43200, iOS 18.2.1) e contemporaneamente sugli Android di due attivisti italiani (zero-click tramite WhatsApp). Stesso cliente, entrambe le piattaforme.

• Apple invia notifiche sugli attacchi spyware in oltre 150 Paesi; la sola ondata di agosto 2026 ha raggiunto utenti in 110 Paesi. Il numero di destinatari Apple non lo rende noto.
• Modalità di isolamento: a marzo 2026 Apple ha dichiarato di non essere a conoscenza di nessun attacco riuscito di spyware commerciale contro un iPhone con la Modalità di isolamento attiva. Non è stato verificato in modo indipendente, ma i ricercatori di Google hanno visto spyware che, rilevata la Modalità di isolamento, semplicemente si disattiva.
• Android: la modalità analoga Advanced Protection è arrivata con Android 16 (2025). Un esempio dall’altro lato: lo spyware LANDFALL ha sfruttato una falla nell’elaborazione delle immagini di Samsung (CVE-2025-21042) per circa 9 mesi prima che arrivasse la patch.
• Strumenti forensi: secondo i leak di Cellebrite del 2024 gli iPhone con iOS 17.4+ erano «in fase di studio» (non sbloccabili), e secondo un leak di ottobre 2025 un Pixel 9 con GrapheneOS non si riesce a leggere affatto – un Pixel normale sì. Quindi ciò che si può estrarre da un telefono sequestrato dipende più dalla versione del sistema e dalla configurazione che dal logo.

Lezione n. 8: Se qualcuno spende milioni per entrare proprio nel tuo telefono, il sistema operativo non ti salverà. Ti salverà la configurazione – Modalità di isolamento / Advanced Protection, aggiornamenti il giorno stesso del rilascio, un riavvio al giorno (la maggior parte dello spyware mobile non sopravvive al riavvio) e la consapevolezza che «non cliccare sui link» non basta più, perché lo zero-click non richiede alcun clic.

Mura e scorciatoie: come funzionano le difese e come gli attacchi le aggirano

Sulla carta i due sistemi si difendono in modo simile. Ogni app sta in una «stanza» separata (sandbox) e non vede cosa fanno le altre. Il codice deve essere firmato. All’avvio il telefono verifica che nessuno abbia sostituito il sistema. La memoria è protetta da meccanismi hardware nel processore. La buona notizia: queste mura praticamente nessuno le sfonda frontalmente. La cattiva: nessuno ne ha bisogno. Gli attaccanti cercano scorciatoie – e ogni sistema ha le sue.

iPhone: scorciatoie tecniche da milioni

• BlastDoor contro la «GIF» che era un PDF. In iOS 14 Apple ha chiuso l’elaborazione dei messaggi iMessage in una sandbox speciale chiamata BlastDoor. Nel 2021 NSO (i creatori di Pegasus) ha inviato alle vittime un file con estensione .gif che in realtà era un PDF. iMessage passava le GIF a un processo che girava fuori da BlastDoor, e la libreria grafica riconosceva il vero formato e avviava un decoder vulnerabile (CVE-2021-30860). Dentro quel decoder l’exploit ha costruito, con oltre 70.000 operazioni elementari, un proprio computer virtuale. Google Project Zero lo ha definito uno degli exploit tecnicamente più sofisticati che avesse mai visto. E la successiva fuga dalla sandbox si basava esclusivamente su errori di logica, quindi le protezioni hardware della memoria, come ha ammesso Project Zero, non hanno avuto alcun effetto. Il muro era buono. Solo che non tutto ci passava attraverso. Apple ha corretto il problema in iOS 14.8, e da iOS 15 le GIF vengono elaborate dentro BlastDoor.
• Operation Triangulation, ovvero l’hardware non documentato. Nel 2023 Kaspersky ha scoperto che gli iPhone dei suoi stessi dipendenti erano stati infettati tramite un messaggio iMessage invisibile. La catena contava 4 zero-day, aggirava la firma dei puntatori (PAC – un meccanismo pensato per impedire di prendere il controllo dell’esecuzione di un programma) e – cosa più interessante – la protezione hardware della memoria del kernel. Per farlo gli attaccanti hanno usato registri del processore che non compaiono in nessuna documentazione e che non usa nemmeno il software di Apple (CVE-2023-38606). Kaspersky lo ha definito l’attacco più sofisticato che i suoi esperti avessero mai visto.
• Quando il muro ha retto: BLASTPASS. A settembre 2023 Citizen Lab ha intercettato un altro zero-click di NSO, questa volta tramite allegati di Apple Wallet in iMessage. E qui la buona notizia: Citizen Lab e Apple hanno confermato all’unisono che la Modalità di isolamento bloccava questo attacco. La modalità disattiva, tra le altre cose, la maggior parte degli allegati in Messaggi, la compilazione JIT nel browser (l’ingresso preferito degli exploit), le chiamate da sconosciuti, il trasferimento dati via cavo a schermo bloccato e l’installazione di profili di configurazione e MDM.
• Una scorciatoia senza exploit: il profilo MDM. Se non puoi permetterti uno zero-day, puoi semplicemente chiedere. GoldPickaxe (Group-IB, febbraio 2024) veniva inizialmente distribuito tramite TestFlight (la piattaforma ufficiale di Apple per testare le app), e quando Apple lo ha rimosso i criminali convincevano le vittime in Vietnam e Thailandia a installare un profilo MDM – cioè a consegnare la gestione del telefono a un’«azienda» estranea. Il malware chiedeva anche di registrare un video del volto, da cui venivano creati deepfake per ingannare la verifica biometrica delle banche. Nota bene: la Modalità di isolamento blocca proprio l’installazione dei profili MDM.

Android: l’accessibilità, ovvero la scorciatoia che costa pochi spiccioli

Android ha le stesse mura: sandbox, SELinux, avvio verificato, Play Protect con un’AI che analizza il comportamento delle app sul dispositivo (dal 2024). Ma ha anche qualcosa che l’iPhone non concede alle app di terze parti: i servizi di accessibilità (Accessibility Services).

Questa API è nata con uno scopo nobile – per persone cieche, ipovedenti e con disabilità motorie. Perché uno screen reader possa leggere a una persona cieca cosa c’è sullo schermo, e il controllo tramite sensore possa cliccare al posto di una persona paralizzata, l’app deve vedere tutto ciò che è sullo schermo e poter cliccare al posto dell’utente. In qualsiasi app. Anche in quella della banca.

Per un trojan bancario sono le chiavi del regno. Basta un «Consenti» e l’app può:

• leggere tutto ciò che il telefono mostra – login, saldi, codici SMS – e registrare ogni tasto premuto,
• cliccare da sola «Consenti» nelle finestre successive e assegnarsi altri permessi,
• coprire l’app vera con una finta schermata di login o con uno schermo nero, sotto cui succede qualcosa,
• e alla fine fare da sola un bonifico nella tua vera app bancaria, sul tuo telefono. Per la banca sembra una normale operazione dal dispositivo fidato del cliente. 😈

Non è teoria. Alcuni esempi degli ultimi anni:

• Anatsa: circa 150-200.000 infezioni tramite finti lettori PDF e app «di pulizia» nel Google Play ufficiale (ThreatFabric, febbraio 2024). Chiedevano l’accesso all’accessibilità con la scusa di «addormentare le app che consumano batteria». Nel 2025 un altro dropper travestito da lettore PDF ha raccolto oltre 50.000 download negli USA.
• Crocodilus (ThreatFabric, marzo 2025): prende il controllo del telefono e, perché la vittima non veda il dispositivo muoversi da solo, mostra uno schermo nero e silenzia l’audio.
• Herodotus (ThreatFabric, ottobre 2025): digita il testo lettera per lettera con pause casuali tra 0,3 e 3 secondi, così che i sistemi antifrode delle banche pensino che stia scrivendo un essere umano. Nell’elenco delle sue finte schermate c’è anche la Polonia.
• FvncBot – di casa nostra, in Polonia: si spacciava per la «Chiave di sicurezza mBank» (Intel 471, dicembre 2025). CERT Polska (marzo 2026) ha descritto come, dopo l’installazione, registri un servizio di accessibilità dal nome innocente «System Update», con il permesso di leggere il contenuto delle finestre ed eseguire gesti. Poi: keylogging, finte schermate, trasmissione dello schermo e controllo remoto del telefono. Per completezza: non tutti i trojan polacchi funzionano allo stesso modo – NGate, descritto sopra, ruba tramite NFC e non ha bisogno dell’accessibilità.

Google lo sa e da anni gioca al gatto e al topo con i criminali:

• Android 13 (2022): un’app installata da un file APK scaricato non può chiedere l’accesso all’accessibilità – l’opzione è disattivata.
• La risposta dei criminali (2023): ThreatFabric ha descritto SecuriDropper – un’app intermediaria che installa il malware vero e proprio con lo stesso metodo usato dagli store di app. Il sistema non distingue l’uno dall’altro, quindi il blocco non funziona. Nel 2025 FvncBot faceva esattamente la stessa cosa.
• Android 15 e 16: le restrizioni si sono estese ad altri permessi sensibili, e da dicembre 2025 Google Play rifiuta le app che si spacciano per strumenti per persone con disabilità senza esserlo. Play Protect le blocca anche sui telefoni.
• Android 17: attivare la modalità Advanced Protection revoca automaticamente l’accesso all’accessibilità a tutte le app che non sono veri strumenti di accessibilità (screen reader, controllo tramite sensori, comandi vocali, Braille). Il trucco: solo se attivi questa modalità. Lo perderanno anche, per esempio, i gestori di password e le app di automazione.

L’iPhone non ha questo problema per un motivo semplice: le app di terze parti non ricevono un’API che permetta di leggere altre app e cliccare al posto dell’utente. VoiceOver fa parte del sistema. È uno dei motivi principali per cui i trojan bancari mobili sono quasi esclusivamente Android.

Un test pratico in 30 secondi: vai in Impostazioni → Accessibilità e controlla l’elenco delle app scaricate/installate con l’accesso attivo. Se ci vedi qualcosa oltre a uno strumento che usi consapevolmente (screen reader, comandi vocali), e soprattutto un «aggiornamento di sistema», un «lettore PDF» o una «chiave di sicurezza della banca» – scollega il telefono da internet e chiama la banca. L’app della banca non ha bisogno di questo permesso. ⚠️

Lezione n. 9: Oggi le mura sono alte in entrambi i sistemi. Nell’iPhone si entra da scorciatoie tecniche che valgono milioni – attraverso formati di file esotici e registri del processore non documentati. In Android il criminale entra più spesso da una scorciatoia umana che costa pochi spiccioli: un solo clic su «Consenti» nell’accessibilità gli dà più di un exploit da un milione di dollari. Per questo su Android la formazione e il blocco delle installazioni fuori dallo store contano più del modello di telefono.

Verdetto: la tabella dei punteggi

È una mia valutazione soggettiva – ma ogni voce si basa sui numeri visti sopra. «Android» qui significa Pixel o Samsung con supporto completo; il no-name del supermercato perde in ogni voce contro entrambi.

Se devo riassumere tutto in una frase: l’iPhone è più sicuro «appena uscito dalla scatola» per chi non configura nulla; un Pixel o un Samsung ben gestito con MDM è sicuro almeno quanto lui per un’azienda che configura. E la scelta peggiore è un Android senza supporto agli aggiornamenti – a prescindere dal prezzo.

7 cose da fare a prescindere dal sistema

1. Aggiornamenti automatici: attivi e verificati. È l’unico parametro che in questo post separa le piattaforme di un fattore dieci. Su Android in azienda: imposti tramite MDM con una scadenza.
2. Zero app fuori dallo store. 50 volte più malware. Se non hai un MDM, disattiva le «origini sconosciute» e attiva Auto Blocker (Samsung) o Play Protect. Ogni tanto controlla quali app hanno accesso all’accessibilità. Su iPhone – non installare profili di configurazione o MDM dai link.
3. Modalità di isolamento / Advanced Protection per dirigenza, finanza, legali, HR. Sì, alcune cose smetteranno di funzionare. È il prezzo da pagare.
4. Un riavvio al giorno. Sembra una sciocchezza, ma funziona contro la maggior parte dello spyware mobile, che non ha persistenza.
5. Compra in base alla durata del supporto, non alla fotocamera. 7 anni (Pixel, Galaxy S) oppure iPhone. Un telefono senza aggiornamenti, dopo 2 anni, è un telefono con un listino pubblico di exploit, gratis.
6. Procedure resistenti al phishing. L’iPhone del CEO riceverà il link esattamente come l’Android del magazziniere. Cambio dell’IBAN di un fornitore, bonifico insolito, «urgente» dal capo – sempre un secondo canale e una seconda persona.
7. Testa la tua app mobile. Se la tua azienda pubblica un’app per iOS o Android, è lei – non il sistema – l’anello più debole. Apple e Google spendono centinaia di milioni l’anno per la loro parte; la tua parte costa qualche giorno di test. Se vuoi sapere quanto esattamente, fai i conti con il calcolatore, e se preferisci parlarne – scrivimi.

FAQ

L’iPhone è più sicuro di Android?

«Appena uscito dalla scatola» sì: le patch arrivano più in fretta sui dispositivi (79% degli iPhone su iOS 26 contro il 7,5-38% degli Android su Android 16), non c’è malware di massa e c’è un unico store chiuso. Ma un Pixel o un Samsung ben gestito, con 7 anni di supporto e MDM, è altrettanto sicuro per un’azienda, mentre gli Android economici senza supporto perdono contro entrambi.

Quante vulnerabilità (CVE) ha Android e quante iOS?

Secondo Zimperium nel 2024 Android ha avuto 501 CVE, iOS 317. I numeri non sono del tutto confrontabili: in quelli di Android rientrano componenti di Qualcomm, MediaTek e altre aziende, e Android, essendo open source, viene analizzato da più ricercatori.

Quanto costa un exploit per iPhone e per Android?

Crowdfense (listino 2024, ancora valido) paga fino a 5-7 mln $ per una catena zero-click su iOS e fino a 5 mln $ su Android. La russa Operation Zero paga 2 mln $ per iOS e 2,5 mln $ per Android. Nel 2019 Zerodium valutava di più Android (2,5 vs 2 mln $).

Quanto velocemente Apple e Google correggono le vulnerabilità?

Secondo Google Project Zero (2019-2021) iOS ha impiegato in media 70 giorni dalla segnalazione alla patch, Pixel e Samsung 72 ciascuno. La differenza sta nell’arrivo della patch agli utenti: Apple aggiorna quasi tutta la base installata in pochi mesi, mentre gli aggiornamenti Android dipendono dal produttore del telefono.

Si può hackerare un iPhone senza alcun clic?

Sì. Gli attacchi zero-click (ad esempio Graphite di Paragon tramite iMessage nel 2025, CVE-2025-43200) esistono per entrambi i sistemi. Proteggono da essi la Modalità di isolamento (iOS) e Advanced Protection (Android 16), insieme agli aggiornamenti immediati. Apple afferma di non conoscere alcun attacco spyware riuscito contro un telefono con la Modalità di isolamento attiva.

Perché l’accessibilità di Android è pericolosa?

I servizi di accessibilità (Accessibility Services) sono nati per le persone con disabilità, quindi permettono a un’app di leggere tutto ciò che è sullo schermo e di cliccare al posto dell’utente. Trojan bancari come Anatsa, Herodotus o FvncBot, rivolto agli utenti polacchi, convincono la vittima ad attivare questo accesso, poi rubano le password ed eseguono da soli i bonifici nella vera app della banca. Android 13 e versioni successive rendono la cosa più difficile alle app installate fuori dallo store, e Android 17 con la modalità Advanced Protection revoca questo accesso alle app che non sono strumenti di accessibilità. iOS non offre un’API del genere alle app di terze parti.

Quale telefono scegliere per l’azienda?

Un iPhone o un Android con 7 anni di supporto garantito (Pixel 8+, Galaxy S24+), sempre sotto MDM, con aggiornamenti imposti e divieto di installazioni fuori dallo store. Per dirigenza e finanza – Modalità di isolamento / Advanced Protection.

Riepilogo

Per anni questa discussione è sembrata un derby tra tifosi. I numeri mostrano qualcosa di più noioso e, allo stesso tempo, più interessante: alla fonte Apple e Google oggi giocano nello stesso campionato – correggono a ritmi simili, pagano milioni per le falle, e i loro top di gamma sono diventati bersagli che possono permettersi solo gli Stati. Le differenze stanno più a valle: in quanti telefoni ricevono davvero la patch, da dove l’utente installa le app e chi tiene il telefono in mano. L’iPhone vince con chi non configura. Android vince con le aziende che configurano – a patto che abbiano comprato un telefono con supporto. E perde sempre chi non aggiorna. 🔓

Se vuoi vedere come appaiono la tua app mobile o la tua flotta di telefoni dal punto di vista di un attaccante – sai dove trovarmi.

Fonti dei dati usati nel post

• StatCounter – quote dei sistemi mobili nel mondo e in Polonia (09.2026)
• Google – politica di aggiornamento Pixel (support.google.com); Samsung / 9to5Google – 7 anni di supporto Galaxy S25 (01.2025); Apple – iOS 26 security content (09.2025)
• Zimperium – Global Mobile Threat Report 2025 (04.2025) e comunicato sul report 2026 (07.2026)
• Google Security Blog – «Eliminating memory safety vulnerabilities at the source» (09.2024); Google – «Rust in Android: move fast and fix things» (11.2025)
• Apple Security Research – «Memory Integrity Enforcement» (09.2025); «A major evolution of Apple Security Bounty» (10.2025)
• Google Threat Intelligence Group – «2024 Zero-Day Trends» (04.2025) e «2025 Zero-Day Review» (03.2026); SecurityWeek – sintesi (03.2026)
• Google Project Zero – «A walk through Project Zero metrics» (02.2022); Reporting Transparency 2025 (aggiornato al 17.03.2026)
• Android Security Bulletin – luglio 2025 e dicembre 2025; Android Authority – sistema di aggiornamenti basato sul rischio (09.2025); SecurityWeek (07.2025); BleepingComputer (12.2025)
• Help Net Security – primi Background Security Improvements di Apple (03.2026); Apple / 9to5Mac – iOS 26.7.1, CVE-2026-86950 (28.09.2026); Android Security Bulletin – ottobre 2026; MacRumors – lancio di iOS 27 (09.2026)
• Apple / MacRumors – adozione di iOS 26 (06.2026); Google / 9to5Google – distribuzione delle versioni Android (01.2026); StatCounter – versioni Android (09.2026)
• Crowdfense – Exploit Acquisition Program; TechCrunch (04.2024); Operation Zero – listino (opzero.ru); TechCrunch (09.2023); Threatpost – Zerodium (09.2019); CyberScoop / The Hacker News – caso Peter Williams (2025-2026)
• Zero Day Initiative – risultati di Pwn2Own Ireland 2024, 2025 e 2026; BleepingComputer (09.10.2026); Privacy Guides (13.10.2026); SecurityWeek (10.2024)
• Google – VRP 2024 (03.2025) e VRP 2025 (03.2026); SecurityWeek – suddivisione per programmi (03.2026) e modifiche all’Android VRP (05.2026); Samsung Newsroom (11.2024)
• Apple Newsroom – App Store fraud prevention 2025 (05.2026); Google – «How we kept Google Play safe in 2025» (02.2026)
• Kaspersky Securelist – «Mobile malware evolution in 2025» (03.2026) e 2024 (03.2025); Lookout – Q3 2025 Mobile Threat Landscape; Lookout / Business Wire (04.2025, 01.2026); ESET Threat Report H2 2025 (12.2025)
• CERT Polska – analisi di NGate (11.2025), FvncBot (03.2026), Cifrat (04.2026)
• Android Developers Blog – verifica degli sviluppatori (08.2025, 06.2026); TechCrunch – store alternativi nell’UE (03.2025); Apple – distribuzione delle app nell’UE
• Google – «How Android provides the most effective protection…» (10.2025, studio commissionato da Google)
• Citizen Lab – Report 186, Paragon Graphite (06.2025); Apple Support – notifiche sulle minacce; The Hacker News (08.2026); TechCrunch – Lockdown Mode (03.2026); The Record / Unit 42 – LANDFALL (11.2025)
• 404 Media / TechSpot – leak di Cellebrite (07.2024, 10.2025); Android Authority (10.2025)
• Google Project Zero – «A deep dive into an NSO zero-click iMessage exploit» (12.2021) e «FORCEDENTRY: Sandbox Escape» (03.2022); SecurityWeek (12.2021)
• Kaspersky – Operation Triangulation (06.2023); Securelist – «The last (hardware) mystery» (12.2023)
• Citizen Lab – BLASTPASS (09.2023); Apple – Lockdown Mode (Newsroom 07.2022, Personal Safety User Guide)
• Group-IB – GoldPickaxe / GoldFactory (02.2024)
• ThreatFabric – SecuriDropper (11.2023), Octo (04.2022), Crocodilus (03.2025), Anatsa (07.2025), Herodotus (10.2025); BleepingComputer – Anatsa (02.2024); The Hacker News – Hook v3 (08.2025)
• Google Security Blog – Android 15 e Play Protect live threat detection (05.2024); Android Developers Blog – protezione delle API di accessibilità (12.2025); The Hacker News – Android 17, Advanced Protection e accessibilità (03.2026, 10.2026)
• Intel 471 – FvncBot (12.2025); CERT Polska – analisi di FvncBot (03.2026)