Se usate WhatsApp Web da un’applicazione di terze parti o da un’estensione del browser, sappiate che WhatsApp ha deciso di intervenire: sta testando un nuovo avviso per gli utenti Android che collegano l’account tramite client web non ufficiali. L’obiettivo è farvi capire subito quando non state usando il client ufficiale e spingervi a tornare su WhatsApp Web.
Segui TuttoAndroid su Google Discover
Un avviso nella schermata dispositivi collegati
La novità è stata scoperta nella beta di WhatsApp per Android 2.26.35.1, disponibile sul Google Play Store. Il nuovo avviso compare nella sezione Dispositivi collegati, dove gestite tutti i dispositivi associati al vostro account. Quando il sistema rileva che state usando un client web non ufficiale, in fondo alla schermata appare un messaggio che vi invita a passare a WhatsApp Web autentico. Potete chiudere l’avviso, ma WhatsApp continuerà a mostrarlo finché non passerete al client ufficiale. Questo significa che la rilevazione dei client non autorizzati è già attiva in background: ciò che manca è solo la notifica visiva, per ora non abilitata per tutti i beta tester.
Perché i client non ufficiali sono un rischio concreto
Non è un timore campato in aria. Lo scorso aprile, WhatsApp ha avvisato circa 200 utenti in Italia dopo che una versione falsa dell’app era stata usata per installare spyware di livello governativo sui loro iPhone. La fake app non era disponibile sull’App Store, ma veniva diffusa tramite phishing e ingegneria sociale. Una volta installata, lo spyware poteva accedere a messaggi privati, contatti, microfono, fotocamera e persino ai dati di altre applicazioni. Come ha spiegato l’esperto di cybersicurezza Pierluigi Paganini:
è una tecnica molto comune in campagne di sorveglianza, ed è plausibile l’ipotesi di un’attività inserita in un’indagine mirata.
Meta ha confermato l’intervento: “Abbiamo disconnesso questi utenti, li abbiamo avvisati dei rischi per la loro privacy e sicurezza legati al download di un client non ufficiale e fraudolento, incoraggiandoli a rimuoverlo e a scaricare l’app ufficiale di WhatsApp”.
Il rischio però non riguarda solo le app finte. Anche i client web non ufficiali, come estensioni del browser che modificano l’interfaccia o servizi terzi che replicano l’esperienza di WhatsApp Web, possono interporsi tra voi e il server. Messaggi, contatti e media passano da software che WhatsApp non ha costruito e non può verificare. La crittografia end-to-end viene preservata dal client ufficiale, ma un client di terze parti potrebbe intercettare i dati prima che vengano cifrati o dopo la decifratura. In più, i ricercatori segnalano una tecnica di compromissione che sfrutta la legittima funzione di collegamento dei dispositivi: l’unico modo per scoprirla è controllare manualmente la sezione Dispositivi collegati e rimuovere subito eventuali dispositivi sconosciuti.
Come riconoscere il client ufficiale
Evitare l’avviso è semplice: usate solo WhatsApp Web ufficiale, accessibile all’indirizzo web.whatsapp.com da qualsiasi browser standard. Se l’URL non è quello, non è il client ufficiale. Evitate estensioni sospette che modificano l’interfaccia di WhatsApp e diffidate di strumenti che promettono funzioni extra: potrebbero intercettare la connessione e non offrono gli stessi standard di sicurezza. In alternativa, potete scaricare l’app desktop ufficiale direttamente dal sito di WhatsApp. Per approfondire le minacce legate a virus, malware e spyware su Android, consultate la nostra sezione dedicata.
Per quanto riguarda la distribuzione, non c’è ancora una data ufficiale: l’avviso è in fase di sviluppo e WhatsApp non lo ha ancora abilitato per i beta tester. Probabilmente arriverà in uno dei prossimi aggiornamenti dell’applicazione, ma per ora chi ha installato l’ultima beta potrebbe non vedere ancora nulla: la funzionalità è in fase di rifinitura e verrà attivata lato server in un secondo momento.