Dal Checco: “Ci sono le prove”
Un attacco invisibile, silenzioso e che non richiede alcuna interazione da parte dell’utente.
È la descrizione di una presunta vulnerabilità di tipo “zero-click” che starebbe colpendo WhatsApp, permettendo a malintenzionati di clonare le sessioni degli utenti a loro insaputa. Se da un lato Meta smentisce categoricamente l’esistenza di una simile breccia nei propri sistemi, dall’altro la comunità della sicurezza informatica lancia l’allarme.
A fare chiarezza sulla vicenda è Paolo Dal Checco, noto perito informatico forense, che in un’intervista rilasciata a Fanpage.it ha confermato di aver raccolto evidenze concrete che smentiscono l’assoluta invulnerabilità difesa dal colosso di Menlo Park.
A differenza del comune phishing, in cui l’utente viene tratto in inganno e spinto a cliccare su un link malevolo o a fornire un codice di verifica, gli attacchi “zero-click” rappresentano l’incubo peggiore per la cybersecurity.
Sfruttando falle logiche o di codice nell’applicazione, l’attaccante è in grado di compromettere il dispositivo o l’account da remoto, senza che la vittima debba compiere alcuna azione. Nel caso specifico, l’obiettivo dell’attacco sarebbe la clonazione silente della sessione di WhatsApp, consentendo a terzi di leggere e inviare messaggi in tempo reale.
Secondo quanto dichiarato da Dal Checco ai microfoni di Fanpage.it, l’analisi forense effettuata su alcuni dispositivi compromessi racconterà una storia diversa da quella ufficiale.
“Abbiamo prove compatibili con la violazione”, ha spiegato l’esperto, evidenziando come i passaggi tecnici rilevati sui telefoni delle vittime suggeriscano un accesso abusivo che bypassa i normali sistemi di autenticazione e i controlli visivi dell’app (come l’elenco dei “Dispositivi collegati”).
Il team di esperti ha già provveduto a inviare a Meta una segnalazione ufficiale tramite la procedura di “responsible disclosure” (la divulgazione responsabile che concede alle aziende il tempo di analizzare e risolvere una falla prima che venga resa pubblica).
La risposta della holding di Mark Zuckerberg, tuttavia, è stata finora di totale chiusura. Meta continua a negare che ci sia una vulnerabilità attiva nei propri sistemi di messaggistica, blindando l’infrastruttura di WhatsApp e rassicurando gli utenti sulla solidità della crittografia end-to-end e dei protocolli di accoppiamento dei dispositivi.
Questo muro contro muro non è una novità nel mondo della tech-security: spesso le grandi aziende impiegano tempo per verificare anomalie complesse o tendono a minimizzare l’impatto finché non viene fornito un “Proof of Concept” (PoC) inconfutabile e riproducibile in laboratorio.
Mentre il dibattito tecnico resta aperto, il rischio potenziale per la privacy è elevatissimo. Se la falla venisse confermata, significherebbe che chiunque potrebbe essere spiato senza mostrare i classici “segnali di fumo” di un account hackerato.
In attesa che Meta faccia piena luce sulla vicenda o rilasci patch correttive, gli esperti consigliano di adottare alcune buone pratiche standard per limitare i vettori di attacco:
Aggiornare costantemente l’applicazione all’ultima versione disponibile sugli store ufficiali.
Attivare la verifica in due passaggi (PIN associato all’account).
Controllare periodicamente la sezione “Dispositivi collegati” nelle impostazioni di WhatsApp, disconnettendo immediatamente le sessioni sospette o non riconosciute, anche se gli attacchi più sofisticati mirano proprio a nascondersi da questa lista.
Riavviare periodicamente il dispositivo, un’azione semplice che spesso interrompe i processi malevoli in
esecuzione nella memoria volatile (RAM).
La partita tra i ricercatori indipendenti e il gigante dei social è appena iniziata, e la sicurezza di miliardi di chat nel mondo dipende da chi, alla fine, dimostrerà di avere ragione.
