Una brutta vulnerabilità permette di spiare conversazioni WhatsApp senza installare programmi

Generalmente gli attacchi condotti contro i profili social si definiscono “phishing”. Il termine va a indicare una forma subdola di furto, che consiste nel sottoporre alla vittima un’“esca”, solitamente rappresentata da una falsa schermata d’accesso, tramite la quale sia il bersaglio stesso a fornire all’attaccante le credenziali per accedere all’account social.

Oggigiorno i social network non offrono più solamente la password d’accesso quale forma di protezione dell’account – con l’accrescere dei furti di identità digitale, si è di pari passo diffuso l’utilizzo dell’autenticazione a due fattori. Si tratta di una forma di protezione aggiuntiva: una volta attivata, l’autenticazione a due fattori richiede l’immissione di un codice supplementare generato sul momento a ogni nuovo login; spesso questi codici vengono inviati via SMS, più raramente tramite chiamata vocale o su un’applicazione dedicata.

Una premessa necessaria, in quanto la vulnerabilità che colpisce WhatsApp coinvolge il sistema di autenticazione utilizzato dall’app. Per accedere a WhatsApp non bisogna infatti inserire una password, ma un codice generato sul momento (chiamata One-Time-Password, o OTA). Anche WhatsApp supporta l’autenticazione a due fattori ma, come su Telegram, questa si svolge creando una password da associare al proprio account – una sorta di “autenticazione a due fattori alla rovescia”. Per riuscire a spiare conversazioni WhatsApp senza installare programmi basterebbe dunque mettere le mani sull’OTA collegato all’account che si vuole monitorare – e Rahul Sasi, fondatore e CEO dell’azienda di sicurezza CloudSEK, ha scoperto una “falla” che consente di farlo.

Se volete saperne di più sull’autenticazione a due fattori e su come attivarla, vi suggeriamo di dare un’occhiata alla nostra guida dedicata.

L’attacco si svolge tramite l’impiego di un vecchio metodo di intercettazione delle chiamate, in uso praticamente presso qualunque operatore. Stiamo parlando del servizio di inoltro della chiamata.

Questo servizio si configura tramite un codice MMI da digitare nel proprio dialer: normalmente il codice assomiglia a

**21*[numero di telefono verso il quale redirigere le chiamate]#

ed essendo un servizio solitamente gratuito, la sua attivazione procede rapidamente e senza intoppi.

Secondo Sasi, l’inoltro della chiamata può essere usato per spiare conversazioni WhatsApp senza installare programmi – rubando l’account della vittima. La strategia non è delle più semplici da attuare, fortunatamente: l’attaccante deve convincere l’utente oggetto dell’attacco a digitare il codice MMI sopra citato, opportunamente corretto così da consentire l’inoltro delle chiamata verso un numero di telefono in proprio possesso. Già a questo punto la vittima si dovrebbe rendere conto che qualcosa non va come dovrebbe, visto che, una volta attivato il servizio, lo smartphone comunica tramite una notifica (davvero impossibile da non notare) che l’inoltro delle chiamate è stato attivato sul proprio numero.

Ma anche nel caso in cui la vittima incominci a sospettare qualcosa, potrebbe essere già troppo tardi: a questo punto infatti l’attaccante ha già avviato il login all’account WhatsApp della vittima. Come già detto, WhatsApp richiede l’immissione di un codice che viene inviato al numero di cellulare collegato via SMS o tramite una chiamata: l’hacker opterà per questa seconda opzione, avendo accesso alle chiamate del telefono della vittima.

Nel giro di pochi secondi, il vostro WhatsApp potrebbe essere caduto nelle mani di un malintenzionato.

Riuscire a capire come evitare che qualcuno riesca a spiare conversazioni WhatsApp senza installare programmi è relativamente semplice, per fortuna.

Innanzitutto, il primo consiglio che vi diamo è di evitare l’immissione di qualunque codice e/o numero di telefono che non vi venga comunicato da una fonte affidabile e conosciuta. I codici MMI in particolare sono facilmente riconoscibili, essendo ricchi di caratteri speciali; non vi sarà dunque difficile identificarli e, di conseguenza, evitare di digitarli nel vostro dialer.

Secondariamente, qualora doveste pure cadere vittima di questa “truffa”, WhatsApp mette a disposizione uno strumento di recupero degli account rubati che potrebbe tornarvi utile. Ogni volta che cambierete account, infatti, WhatsApp visualizzerà al primo accesso al profilo precedente una schermata informativa, la quale vi domanderà di confermare il passaggio di account o, al contrario, di chiedere una verifica del numero di cellulare. Prima di richiedere la verifica, ovviamente, è necessario che disattiviate l’inoltro di chiamata.