Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
WhatsApp, l’app di messaggistica di Meta con oltre 3 miliardi di utenti attivi mensili, ha iniziato a introdurre modifiche tecniche per mitigare alcune vulnerabilità legate alla privacy dei dispositivi degli utenti. Le correzioni, individuate tramite strumenti di ricerca indipendenti, sono state implementate senza comunicazioni ufficiali e risultano, allo stato attuale, solo parziali.
Il problema riguarda il cosiddetto fingerprinting dei dispositivi, una tecnica che consente a un attaccante di dedurre informazioni sensibili come il sistema operativo utilizzato dalla vittima.
Sebbene la crittografia end-to-end protegga il contenuto dei messaggi, alcune scelte di progettazione del protocollo multi-dispositivo espongono metadati utili nella fase di ricognizione di un attacco informatico.
Nelle operazioni di cyber-spionaggio o diffusione di malware mirato, la fase di ricognizione è cruciale. Conoscere in anticipo se una vittima utilizza Android o iOS consente agli aggressori di distribuire exploit compatibili, riducendo il rischio di errori che potrebbero compromettere preziose vulnerabilità zero-day o infrastrutture complesse e costose.
All’inizio del 2024, ricercatori indipendenti hanno documentato come il protocollo E2EE multi-dispositivo di WhatsApp permettesse di distinguere i singoli dispositivi associati a un account, a causa dell’uso di sessioni crittografiche separate per ciascun device. Successive analisi hanno mostrato come queste sessioni potessero essere sfruttate per colpire selettivamente un dispositivo specifico dell’utente.
Nel 2025, lo studio di Gegenhuber e collaboratori ha dimostrato che tali differenze non si limitano all’identità del dispositivo, ma permettono anche di rilevarne l’impronta digitale completa, inclusa l’identificazione precisa del sistema operativo. Queste informazioni possono essere ottenute interrogando i server di WhatsApp, senza alcuna interazione diretta con il dispositivo della vittima e quindi senza che l’utente ne sia consapevole.
Utilizzando uno strumento di analisi proprietario, i ricercatori hanno osservato recentemente una modifica nella logica di gestione degli identificativi crittografici su Android. In precedenza, alcuni parametri venivano inizializzati con valori incrementali prevedibili; ora, almeno su Android, tali valori risultano assegnati in modo casuale.
Questo cambiamento rappresenta un primo segnale di intervento da parte di WhatsApp su una problematica di lunga data, inizialmente non considerata rilevante sotto il profilo della privacy. Tuttavia, la distinzione tra Android e iPhone rimane possibile con elevata probabilità, poiché iOS continua a utilizzare una logica di inizializzazione differente, basata su incrementi graduali.
Resta inoltre aperto il tema della trasparenza.
Le correzioni sono state applicate senza notificare formalmente i ricercatori che avevano segnalato le vulnerabilità, senza l’assegnazione di un CVE e, in alcuni casi, senza un adeguato riconoscimento tramite bug bounty.
Secondo gli autori delle ricerche, una collaborazione più strutturata e aperta con la comunità della sicurezza contribuirebbe a migliorare la tutela degli utenti su scala globale.
