Cashed Casino sul telefono di lavoro: cosa resta nella cache

Un dipendente che apre Cashed Casino sul telefono aziendale e poi cancella l’icona dalla schermata Home pensa di aver chiuso la questione. Non è così. La web app Cashed Casino non è un’app nativa scaricata da Google Play o App Store: è una Progressive Web App che gira dentro Safari o Google Chrome, e come tutte le PWA lascia sul dispositivo un service worker e una serie di dati di sessione nella cache del browser. L’amministratore IT può recuperarli con un backup o con strumenti forensi, e ricostruire l’accesso anche quando l’icona non c’è più. Il mito da sfatare è proprio questo: “tanto è solo un sito, non installa niente”.

Perché la PWA non è un sito qualunque e dove finiscono i dati

Cashed Casino non è presente su Google Play e App Store, e la scelta non è casuale. Apple e Google ammettono solo operatori con concessione ADM/AAMS nei rispettivi store, mentre Cashed Entertainment Ltd opera sotto licenza di Curaçao. Da qui la scelta di distribuire il gioco come web app Cashed Casino: si apre nel browser, si installa tramite “Aggiungi alla schermata Home” e da quel momento si comporta in modo molto simile a un’app nativa, con icona, avvio a schermo pieno e interfaccia mobile dedicata.

Il punto tecnico che sfugge ai più è il service worker. È uno script che il browser registra nel proprio storage per gestire la cache offline, gli asset grafici e parte della logica di sessione. Non compare tra le applicazioni installate, non si vede nelle impostazioni del telefono come un’app, ma è lì. Accanto ci sono cookie, localStorage e IndexedDB, dove la web app conserva token di sessione, preferenze e cronologia di navigazione recente. Matteo Ferraro, analista di gioco online, lo ripete spesso: chi rimuove l’icona ha nascosto la porta, non ha svuotato la stanza.

Su un dispositivo personale il tema è marginale. Su uno aziendale cambia tutto, perché il telefono è spesso gestito tramite profilo di lavoro, backup automatici su cloud aziendale o MDM. Un backup periodico può includere proprio la partizione del browser, e quindi il service worker e i dati di sessione, senza che nessuno abbia mai aperto una schermata di amministrazione per cercarli.

Cosa può vedere davvero l’amministratore IT e con quali strumenti

L’ispezione parte dai backup. Se il telefono è configurato con backup automatico su un server aziendale o su un cloud gestito, l’amministratore può estrarre l’archivio e analizzare la cartella del browser. Lì trova il database dei cookie, il file del service worker e le tracce di navigazione. Non serve un attacco informatico: bastano i permessi legittimi di gestione del dispositivo e un tool di estrazione backup.

Il secondo livello è forense. Strumenti come quelli usati nelle indagini su dispositivi mobili leggono anche le aree di storage protette, ricostruiscono le sessioni e collegano i timestamp alle attività. In questo modo emerge non solo che Cashed Casino è stato aperto, ma anche quando, con quale frequenza e se sono stati effettuati accessi al conto. La rimozione dell’icona dalla Home non tocca nessuno di questi dati.

La tabella seguente riassume le tracce principali e la loro persistenza sul telefono aziendale.

Policy aziendali, alternative e rischi che restano fuori dal browser

Molte aziende vietano il gioco d’azzardo sui dispositivi di lavoro senza distinguere tra app nativa e web app. È una distinzione che nella pratica conta poco, perché la PWA Cashed Casino offre la stessa esperienza d’uso di un’app scaricata, con notifiche push native e, sui dispositivi compatibili, riconoscimento biometrico per l’accesso. Chi redige una policy farebbe bene a citare esplicitamente le Progressive Web App e la possibilità di installarle tramite “Aggiungi alla schermata Home”, come si legge anche su https://casino-cashed.it/app/, altrimenti il divieto resta aggirabile con due tocchi.

Sul fronte delle alternative, la strada degli APK non ufficiali è la peggiore. Gli APK non ufficiali comportano rischi di sicurezza informatica seri: codice modificato, permessi eccessivi, possibile esfiltrazione di credenziali. Un dipendente che cerca un’app Cashed Casino fuori dagli store e la installa a mano introduce sul telefono aziendale una minaccia molto più concreta della cache del browser. Meglio chiarire che l’unico canale previsto è la web app ufficiale, aperta in Safari o Google Chrome.

Restano poi i problemi lato operatore, che nessuna policy aziendale può risolvere. Le lamentele su Trustpilot riguardano soprattutto lunghe attese per la verifica KYC, e il primo prelievo è spesso il momento in cui i tempi si allungano. Il deposito minimo è fissato a 30 €, l’assistenza clienti risponde in inglese, e i metodi di pagamento come PostePay o Satispay possono richiedere passaggi aggiuntivi di conferma. Un dipendente che usa il telefono aziendale per il Cashed Casino si espone quindi su due fronti: la traccia tecnica sul dispositivo e la gestione del conto, che resta comunque registrata sui server dell’operatore.

Se un dispositivo aziendale è stato usato per accedere a Cashed Casino, la mossa concreta è cancellare manualmente i dati del sito dal browser, non solo l’icona: in Safari da Impostazioni, in Chrome da Impostazioni sito. Poi va verificato se il backup aziendale ha già catturato la sessione, perché in quel caso la cancellazione locale non basta. Per chi gestisce i dispositivi, la regola più solida è impedire l’installazione delle PWA tramite profilo di lavoro e includere nel testo della policy il nome esplicito della web app, così che nessuno possa sostenere di non sapere che anche un sito installato sulla Home è, a tutti gli effetti, un’applicazione sul telefono dell’ufficio.