WhatsApp sotto attacco? Emergono nuovi dettagli sul misterioso caso che preoccupa gli esperti

Negli ultimi giorni si sta parlando sempre più spesso di una presunta vulnerabilità che potrebbe consentire a soggetti esterni di prendere il controllo di un account WhatsApp senza che le vittime compiano alcuna azione. Dopo le prime segnalazioni emerse in Italia e le analisi condotte da alcuni esperti di informatica forense, arrivano ora nuovi dettagli che contribuiscono ad arricchire un quadro ancora molto nebuloso e, per certi versi, preoccupante.

A tornare sull’argomento è Antonio De Bortoli, tecnico specializzato in informatica forense, che ha condiviso i risultati di un’indagine approfondita relativa a un caso reale di compromissione di un account WhatsApp su iPhone; la particolarità della vicenda è che, almeno allo stato attuale delle indagini, non sembrano esserci i classici elementi che normalmente accompagnano un attacco informatico: nessun link malevolo aperto dall’utente, nessun codice OTP sottratto, nessuna applicazione sospetta installata sul dispositivo e nessuna traccia evidente di malware.

Segui TuttoAndroid su Google Discover

Un attacco a WhatsApp che non lascia tracce evidenti

Tutto sarebbe iniziato quando un utente ha scoperto che alcuni suoi contatti stavano ricevendo messaggi nei quali venivano richiesti bonifici bancari a suo nome, il problema però, è che quei messaggi non risultavano presenti sul suo smartphone e non erano mai stati inviati direttamente dalla vittima.

L’analisi forense effettuata sul dispositivo avrebbe evidenziato un comportamento anomalo nei sistemi di comunicazione utilizzati da WhatsApp. Secondo quanto riportato da De Bortoli, per diverse ore il telefono avrebbe registrato continui errori di connessione riconducibili a un conflitto tra due sessioni contemporaneamente attive sullo stesso account.

In pratica, il dispositivo dell’utente e quello dell’attaccante sembrerebbero contendersi costantemente il controllo dell’account, generando una sorta di tempesta di connessioni che si ripete ogni pochi secondi; una situazione che, teoricamente, non dovrebbe verificarsi poiché WhatsApp permette un solo dispositivo principale associato a ciascun numero di telefono.

La particolarità è che il presunto aggressore non comparirebbe nemmeno nella sezione Dispositivi collegati dell’applicazione, rendendo molto più difficile per l’utente accorgersi dell’intrusione.

I messaggi potrebbero finire nelle mani dell’attaccante

Secondo la ricostruzione fornita dall’esperto, il meccanismo avrebbe conseguenze particolarmente insidiose, quando la vittima utilizza normalmente WhatsApp, i messaggi inviati dal suo telefono vengono recapitati correttamente ai destinatari; tuttavia, quando un contatto scrive all’utente compromesso, il messaggio potrebbe essere ricevuto alternativamente dal dispositivo originale oppure da quello dell’attaccante, a seconda di quale sessione riesca a ottenere il controllo in quel preciso momento.

Questo spiegherebbe alcuni episodi osservati durante le indagini, nei quali sul telefono della vittima sono successivamente apparse risposte a messaggi che, apparentemente, non erano mai stati inviati.

Si tratterebbe quindi di una compromissione molto diversa dalle classiche clonazioni dell’account o dagli attacchi basati sul furto dei codici di verifica, poiché consentirebbe di instaurare conversazioni parallele invisibili all’utente legittimo.

Le vulnerabilità note non spiegano completamente il fenomeno

Nel corso delle analisi sono state prese in considerazione anche alcune vulnerabilità corrette negli ultimi mesi da Apple e WhatsApp, in particolare l’attenzione si è concentrata su due falle di sicurezza che Meta ha collegato a un attacco sofisticato rivolto a utenti selezionati.

Tuttavia, nel caso esaminato da De Bortoli emergerebbe un dettaglio importante: l’applicazione WhatsApp risultava già aggiornata a una versione successiva a quella che aveva corretto una delle vulnerabilità coinvolte, inoltre, le verifiche effettuate sul dispositivo non avrebbero trovato elementi compatibili con lo sfruttamento dell’altra falla ipotizzata.

In altre parole, gli esperti non sono ancora riusciti a individuare con certezza il vettore d’ingresso utilizzato per compromettere l’account, ed è proprio questo uno degli aspetti che continua a destare maggiore preoccupazione.

Nemmeno la verifica in due passaggi sembra bastare

Uno degli elementi più interessanti emersi dall’indagine riguarda la verifica in due passaggi di WhatsApp. Sebbene continui a rappresentare una misura di sicurezza fortemente consigliata, alcuni casi analizzati dagli esperti suggerirebbero che non sia sufficiente a bloccare completamente questo specifico fenomeno.

Secondo De Bortoli, almeno uno degli account compromessi disponeva già della protezione tramite PIN attiva prima dell’intrusione; ciò non significa che la funzione sia inutile, ma conferma che potrebbe non essere in grado di contrastare tutti i possibili scenari di attacco.

Al momento dunque, molte domande restano senza risposta, non è ancora chiaro come gli aggressori riescano a ottenere una seconda sessione primaria sullo stesso account, non è chiaro se si tratti di una vulnerabilità ancora sconosciuta o di una combinazione di più tecniche e, soprattutto, non esiste un metodo semplice che consenta agli utenti di verificare con certezza se il proprio account sia stato compromesso.

Meta dovrà fare chiarezza

Gli esperti coinvolti nelle analisi concordano su un punto: senza l’accesso ai log e alle informazioni presenti sui server di Meta è estremamente difficile ricostruire l’intera catena dell’attacco. Le evidenze raccolte sui dispositivi permettono infatti di osservare gli effetti della compromissione, ma non sempre consentono di identificarne con precisione l’origine.

Nel frattempo, il consiglio resta quello di mantenere aggiornati sia WhatsApp sia il sistema operativo, attivare la verifica in due passaggi, controllare regolarmente i dispositivi associati all’account e prestare particolare attenzione a eventuali comportamenti anomali segnalati dai propri contatti.

La speranza è che Meta intervenga presto per chiarire la situazione e, soprattutto, per comprendere se ci si trovi davanti a una vulnerabilità ancora attiva oppure a una serie di casi isolati che condividono caratteristiche simili ma origini differenti.