Il Tirreno

LIVORNO. È l’incubo di fidanzati, coniugi, figli adolescenti ribelli, ma anche di imprenditori, dirigenti d’azienda, capi di Stato... e un po’ di tutti. Che le nostre chat di WhatsApp finiscano nelle mani sbagliate. Questione di privacy, di sicurezza, in qualche caso di “sopravvivenza” e tutela di rapporti. A questo scopo, ci riempiamo la vita di pin, password, codici segreti. Ma che succede se si scopre che qualcuno potrebbe rubare il nostro account WhatsApp – applicazione di messaggistica istantanea che nel mondo vanta oltre un miliardo di utenti attivi – e chattare al nostro posto? Crollano le certezze, e con esse castelli di numeri e intimità. Ebbene, rubare l’identità WhatsApp è possibile insinuandosi in una “crepa” presente nel sistema di sicurezza di alcuni operatori telefonici come ad esempio Wind: la vulnerabilità della segreteria telefonica. Abbiamo verificato che attraverso uno stratagemma (che spieghiamo solo in parte) è possibile accedere alla segreteria telefonica Wind e ascoltare messaggi altrui, attraverso il codice di sicurezza standard 1111 o 2121 che purtroppo in pochi modificano.

[[atex:gelocal:il-tirreno:livorno:cronaca:1.14411981:Video:https://video.gelocal.it/iltirreno/locale/ladri-di-chat-ecco-come-leggere-i-messaggi-di-whatsapp/71243/72714]]

A dirlo e spiegarlo al Tirreno è il consulente informatico livornese, Alessandro Marzini, che collabora con il genio mondiale, re degli hacker, Kevin Mitnick, l’ingegnere americano che ha ispirato libri e film, famoso per aver inventato la tecnica di manipolazione degli indirizzi IP (spoofing). Abbiamo incontrato Marzini e il suo collega Matteo Giunti, ex pilota di aereo, nella nostra redazione al Tirreno e con loro siamo stati protagonisti di una dimostrazione pratica dalla quale è emerso con chiarezza come sia possibile rubare l’account WhatsApp di un cliente Wind, attraverso semplici e rapidi passaggi. E senza essere in possesso di informazioni riservate se non il numero di cellulare della “vittima” e il codice (se non modificato) per ascoltare i messaggi della segreteria telefonica Wind. A questo punto, il ladro di chat ha gioco facile: basta che al telefono del malcapitato scatti la segreteria e la frittata è fatta. WhatsApp lascia un messaggio vocale in cui rivela il codice di accesso alla app. E l’hacker di turno da quel momento può chattare al posto dell’altro. Con questo sistema non è possibile importare la rubrica della persona presa di mira e neanche i vecchi messaggi, ma ci si può sostituire a lui/lei, senza che l’interlocutore della chat si renda conto.

«Durante la 7a conferenza nazionale sulla Cyber Warfare – spiega Marzini – i ricercatori della società di sicurezza InTheCyber hanno reso di pubblico dominio una tecnica per impossessarsi, in maniera semplice e senza nessuna esperienza informatica specifica, dell'account di WhatsApp o di Telegram di una persona di cui si conosce solo il numero di telefono, e questo passando dalla segreteria telefonica della vittima. Io e il mio collega Matteo abbiamo voluto realizzare di persona un “Proof of Concept”, ovvero una prova concreta di quanto la tecnica fosse fattibile ed efficace». Un problema che è stato preso in carico anche dalla polizia postale che sta cominciando ad analizzare i primi casi.

Il giochino finisce quando la vittima del furto riaccende il telefono: allora appare un messaggio spia, inviato da WhatsApp: “Impossibile verificare questo telefono. Probabilmente hai registrato il tuo numero di telefono su WhatsApp da un telefono diverso”. Con i due esperti abbiamo ricostruito, passo dopo passo, tutti i passaggi tecnici da fare se si vuole rubare la chat di un altro. E abbiamo anche documentato le operazioni in un video: il sistema purtroppo funziona. Preferiamo, però, non svelare i dettagli per evitare di istruire eventuali malintenzionati.

Del resto il ladro potrebbe essere anche “solo” una persona a noi vicina, desiderosa di conoscere i nostri segreti. Ne sanno qualcosa i nostri esperti: Marzini è partner di aziende italiane e americane di consulenza informatica, e Giunti ha collaborato anche con investigatori privati. «I casi più comuni di furti di dati sono tre – spiega Giunti –: genitori preoccupati per figli adolescenti, che vogliono assicurarsi che i loro figli non cadano in cattive mani, mariti e mogli che temono di essere traditi e imprenditori derubati da ex dipendenti infedeli».