È sicuro dare la tua lista IPTV a un lettore? Rischi e come proteggerti

Quando aggiungi una lista a un lettore IPTV, gli dai il tuo utente e la tua password presso il fornitore: sono nell’URL M3U o nei dati Xtream Codes. Circolano voci di lettori che conservano questi account per rivenderli. Non abbiamo trovato prove pubbliche contro nessuna app nota, ma esistono rischi reali e documentati. Ecco quali, e come proteggerti.

Cosa contiene la tua lista

Un URL M3U tipico è così: http://server:porta/get.php?username=UTENTE&password=PASSWORD&type=m3u_plus. Chiunque abbia quell’indirizzo può vedere quello che vedi tu, da qualsiasi dispositivo. Trattalo come una password: non incollarlo nei forum e non inviarlo in uno screenshot.

Cosa ne fa il lettore

Dipende da come funziona l’app:

Resta sul dispositivo. Inserisci la lista sulla TV o sul telefono e non esce da lì, se non per collegarsi al tuo fornitore.
Viene salvata sul server dell’app. Molte app per Smart TV si attivano con l’indirizzo MAC del televisore e ti chiedono di caricare la lista sul loro sito, che poi la invia alla TV. È un sistema legittimo e comodo, ma significa che il tuo utente e la tua password sono sul server di quell’azienda, e devi fidarti di lei.

Nessuno dei due è negativo di per sé. L’importante è sapere quale usa la tua app, chi c’è dietro e se puoi cancellare la lista quando vuoi.

Il rischio reale: le app false

I casi documentati non riguardano lettori noti, ma app false che si spacciano per app IPTV per rubare molto più della tua lista:

Massiv (febbraio 2026). La società di sicurezza ThreatFabric ha scoperto questo trojan nascosto in presunte app IPTV installate fuori da Google Play. Registrava lo schermo e mostrava schermate false sopra le app bancarie. La Spagna era tra i paesi colpiti.
RemControl (settembre 2026). Secondo BleepingComputer, veniva pubblicizzata sui social come un’app TV nota e portava a un sito che imitava Google Play. Rubava le credenziali bancarie e la sequenza di sblocco, e impediva la disinstallazione.
La Guardia Civil spagnola ha avvertito a settembre 2026 che alcune app IPTV che promettono canali gratis contengono programmi che svuotano i conti bancari.

⚠️ Lo schema si ripete in tutti i casi: l’app era installata da un link o da un sito sconosciuto, non dallo store ufficiale né dal sito dello sviluppatore.

I segnali che qualcuno usa il tuo account

Vedi «troppe connessioni» o l’errore 509 anche se guardi solo tu. Vedi cosa significa l’errore 509.
I canali si interrompono anche se in casa nessun altro sta guardando.
Il fornitore ti avvisa che l’account viene usato da un altro paese o da molti luoghi.

Se succede, chiedi al fornitore di cambiare la password dell’account e aggiungi la nuova lista solo nelle app di cui ti fidi.

Come proteggerti

Installa solo da fonti ufficialiGoogle Play, App Store, lo store della tua TV o il sito dello sviluppatore. Diffida di link pubblicitari, gruppi di messaggistica o siti che imitano uno store.
Controlla il nome dello sviluppatoreEsistono molte copie con nomi quasi identici a quelli di app note. Guarda chi la pubblica e da quando.
Leggi quali dati conservaUn’app seria spiega nella sua informativa sulla privacy se salva la tua lista sul suo server, a cosa serve e come cancellarla.
Controlla i permessiUn lettore non ha bisogno di leggere i tuoi SMS, di essere un «servizio di accessibilità» o di controllare altre app. Se lo chiede, disinstallalo.
Non condividere l’URLNé in screenshot né nei forum. Se l’hai già fatto, chiedi una nuova password.
Cancella la lista dalle app che non usi piùSoprattutto dai siti di attivazione tramite MAC.

💡 Se vuoi provare un’app di cui non ti fidi del tutto, fallo su un dispositivo senza dati bancari, come un TV box, mai sul telefono dove hai i tuoi conti.

Cosa fa Kastoo con la tua lista

Per essere chiari su ciò che chiediamo agli altri: quando aggiungi la lista dal telefono con il QR, Kastoo la salva sul suo server per inviarla alla tua TV e, se la attivi, per il backup nel cloud. La usa solo per questo e per chiedere al tuo fornitore lo stato dell’abbonamento quando premi «Verifica». Non la vendiamo, non la condividiamo e non c’è pubblicità. Puoi cancellare le tue liste da Il mio Kastoo quando vuoi. È tutto nell’informativa sulla privacy.

Domande frequenti

È vero che alcuni lettori rivendono le liste?

È una voce frequente, ma non abbiamo trovato nessuna indagine seria che lo dimostri contro un’app nota. Ciò che è documentato sono le app false che rubano dati, soprattutto bancari.

Un lettore gratuito è più o meno sicuro di uno a pagamento?

Il prezzo non dice tutto. Conta di più chi lo pubblica, da dove lo installi e cosa dice la sua informativa sulla privacy.

Devo cambiare ogni tanto la password della mia lista?

Non se la usi solo in app di cui ti fidi. Sì se sospetti che qualcun altro la usi o se l’hai condivisa.

Come capisco se il mio TV box ha malware?

Alcuni TV box economici escono già infetti dalla fabbrica. Lo spieghiamo in BadBox: il malware dei TV box economici.

Fonti

Massiv: trojan in false app IPTV (ThreatFabric) · The Hacker News
RemControl: falsa app IPTV che ruba credenziali bancarie · BleepingComputer
Avviso della Guardia Civil sulle app IPTV · El Output

Prova Kastoo gratis per 15 giorni

Gratis per 15 giorni con tutte le funzioni, senza carta. Una licenza vale per 3 dispositivi.

Scarica

Kastoo è solo un lettore: non vende, ospita né include liste, canali, film o abbonamenti. Gli screenshot usano una lista dimostrativa con contenuti liberi.