Malware Android: i più pericolosi del 2026 e come riconoscerli

“Ho un virus sul telefono?” è una delle domande più cercate da chi possiede un Android, e di solito chi se la pone immagina pop-up e finestre lampeggianti. La realtà del 2026 è molto più silenziosa e pericolosa: i malware Android più diffusi non si fanno notare affatto. Sono trojan bancari che restano invisibili, aspettano che apriate l’app della banca, e svuotano il conto imitando alla perfezione la schermata di login.

Nel solo 2025 un singolo malware — Anatsa — ha raggiunto 19 milioni di installazioni nascosto dentro 77 app pubblicate sul Play Store ufficiale. In questa guida vediamo quali sono le minacce Android più pericolose oggi, qual è la tecnica che le accomuna tutte, e soprattutto come capire se il vostro telefono è infetto e come rimuovere il problema.

1. Perché Android è il bersaglio numero uno
2. I malware Android più pericolosi del 2025-2026
3. Il filo comune: l’abuso dei permessi di accessibilità
4. Come capire se il telefono è infetto
5. Come rimuovere un malware da Android
6. Come prevenire le infezioni

Perché Android è il bersaglio numero uno

Android equipaggia circa il 70% degli smartphone del mondo, e questa diffusione è la prima ragione del suo primato come bersaglio: più dispositivi significa più vittime potenziali con lo stesso attacco. La seconda ragione è la sua apertura — la possibilità di installare app da fonti esterne e la natura del sistema danno agli sviluppatori una libertà che gli attaccanti sfruttano. Ma il mito da sfatare è che il pericolo arrivi solo dagli store “alternativi”: le campagne più gravi degli ultimi anni sono passate dal **Play Store ufficiale**, attraverso app-esca apparentemente innocue — lettori di PDF, gestori di file, utility — che fungono da “dropper” e scaricano il vero malware solo dopo l’installazione, eludendo i controlli di Google.

Il bersaglio finale è quasi sempre lo stesso: i soldi. Le credenziali bancarie, i codici di autenticazione, e sempre più spesso i wallet di criptovalute sono ciò che i malware Android moderni cercano.

I malware Android più pericolosi del 2025-2026

Anatsa (TeaBot) è oggi il trojan bancario più insidioso in circolazione. Attivo dal 2020 e in continua evoluzione, nel 2025 ha raggiunto 19 milioni di installazioni tramite decine di app pubblicate sul Play Store, arrivando a colpire oltre 800 istituti finanziari nel mondo. Si nasconde in app utili (un lettore di documenti, un gestore di file), e una volta dentro sfrutta i permessi di accessibilità per intercettare ciò che digitate e sovrapporre false schermate di login alle app bancarie.

Crocodilus è la minaccia emergente più grave, scoperta a marzo 2025. Oltre alle credenziali bancarie ruba le seed phrase dei wallet di criptovalute — le sequenze di parole che danno accesso ai fondi, e che rubate equivalgono a perdere tutto. Si maschera da Google Chrome per aggirare le protezioni di Android 13 e versioni successive, si diffonde tramite annunci fraudolenti sui social, e ha persino la capacità di inserire falsi contatti in rubrica per rendere più credibili le successive truffe telefoniche. Inizialmente concentrato su Spagna e Turchia, si è esteso rapidamente e l’Italia è tra i prossimi obiettivi attesi.

SpyNote appartiene a un’altra categoria, quella dello spyware con funzioni di controllo remoto: una volta installato trasforma il telefono in un dispositivo sorvegliato, con accesso a microfono, fotocamera, posizione, SMS e chiamate. È molto usato in campagne di sorveglianza mirata e si diffonde tramite SMS e siti che imitano app legittime.

Octo (Coper) è un trojan bancario venduto come servizio in abbonamento ad affiliati — lo stesso modello malware-as-a-service che domina il resto del cybercrimine. Combina overlay bancari, keylogging e controllo remoto del dispositivo, e si aggiorna di continuo per eludere i rilevamenti.

SuperCard X rappresenta la frontiera più recente: un malware che sfrutta l’NFC dello smartphone per clonare le carte di pagamento e autorizzare transazioni fraudolente. Ne abbiamo parlato nell’analisi dedicata a SuperCard X, il malware Android che clona le carte via NFC.

Il filo comune: l’abuso dei permessi di accessibilità

C’è un dettaglio tecnico che accomuna quasi tutti i malware bancari di questa generazione, ed è la chiave per difendersi: l’abuso dei servizi di accessibilità di Android. Sono funzioni nate per aiutare le persone con disabilità — permettono a un’app di leggere lo schermo, simulare tocchi, compilare campi al posto dell’utente. Esattamente i poteri che servono a un trojan per leggere ciò che digitate, cliccare al posto vostro e sovrapporre schermate false.

Ecco perché l’infezione, da sola, spesso non basta: il malware ha bisogno che gli concediate i permessi di accessibilità, e per ottenerli usa l’inganno — una falsa schermata che chiede di “abilitare il servizio per continuare”, un finto aggiornamento, una verifica che sembra di sistema. Il momento in cui un’app appena installata chiede l’accesso all’accessibilità è il punto in cui un’infezione si trasforma in disastro: è lì che bisogna fermarsi.

Come capire se il telefono è infetto

I malware moderni puntano all’invisibilità, ma lasciano comunque tracce. I segnali da osservare: la batteria che si scarica molto più in fretta del solito e il telefono caldo anche da fermo (il malware lavora in background); un consumo di dati anomalo; app che non ricordate di aver installato, o icone che spariscono dalla schermata; pubblicità invasive che compaiono fuori dalle app; lentezza improvvisa e blocchi; e soprattutto comportamenti strani nelle app bancarie — schermate di login leggermente diverse, richieste di reinserire dati, transazioni che non riconoscete.

Un segnale specifico e grave: se un’app vi ha chiesto di attivare i permessi di accessibilità senza un motivo evidente, e l’avete concessa, trattate il dispositivo come potenzialmente compromesso. Lo stesso vale se ricevete richieste di codici di verifica che non avete avviato voi.

Come rimuovere un malware da Android

Se sospettate un’infezione, l’ordine delle operazioni conta. Per prima cosa mettete il telefono in modalità aerea, per interrompere l’esfiltrazione dei dati e il controllo remoto. Poi avviate il dispositivo in modalità provvisoria (riavvio tenendo premuto, sui più recenti, l’opzione di spegnimento): in questa modalità le app di terze parti non si caricano, e potete agire.

A quel punto, andate nelle impostazioni di accessibilità e revocate il permesso a qualsiasi app che non dovrebbe averlo — è il primo potere da togliere al malware. Quindi disinstallate le app sospette o che non riconoscete; se un’app non si lascia disinstallare, è probabile che abbia ottenuto privilegi di amministratore del dispositivo, da revocare nelle apposite impostazioni di sicurezza prima di poterla rimuovere. Una scansione con una soluzione di sicurezza affidabile aiuta a individuare ciò che sfugge. Nei casi più ostinati, l’unica via sicura è il ripristino alle impostazioni di fabbrica, dopo aver salvato i dati personali (non le app). E in ogni caso, da un dispositivo pulito o da un altro device, cambiate le password dei servizi sensibili — banca in testa — e revocate le sessioni attive.

Come prevenire le infezioni

La prevenzione, su Android, si riduce a poche regole che disinnescano la gran parte degli attacchi. Installate app solo da fonti ufficiali e diffidate comunque: controllate sviluppatore, recensioni e numero di download, perché anche sul Play Store si annidano dropper. Non concedete mai i permessi di accessibilità a un’app che non ha una ragione evidente per averli — è la singola precauzione più efficace contro i trojan bancari. Mantenete sistema operativo e app aggiornati, perché molte infezioni sfruttano falle già corrette. Diffidate dei link in SMS, email e messaggi social che invitano a scaricare app o “aggiornamenti”: è la via di diffusione preferita di Crocodilus e simili. E proteggete gli accessi con l’autenticazione a più fattori, tenendo presente che i trojan più evoluti intercettano gli SMS: dove possibile, preferite app di autenticazione o chiavi fisiche al codice via messaggio. Per chi vuole il quadro più ampio delle minacce, abbiamo raccolto i 10 malware più pericolosi di tutte le categorie.

Gli smartphone dei dipendenti accedono ogni giorno a posta, gestionali e dati aziendali: un telefono compromesso è una porta aperta sull’organizzazione, fuori dal perimetro di sicurezza tradizionale. Cyberment affianca le imprese italiane con la formazione cyber security per i dipendenti, che insegna a riconoscere app malevole e richieste di permessi sospette, e con il Vulnerability Assessment e il Penetration Test certificati ISO 27001 per verificare la solidità degli accessi aziendali, mobili compresi.