Non siamo sicuri
nemmeno al telefono

Sembra ieri, ma ad aprile ha compiuto dieci anni di vita e raggiunto una diffusione d’uso giornaliero di 1,5 miliardi di persone e non a caso è una delle app più scaricate di sempre. È praticamente su tutti i nostri telefoni e ha accesso a informazioni importanti: pensate a quando l’avete installata la prima volta, vi ricordate? Vi ha chiesto subito di autorizzare l’accesso alla rubrica telefonica, alla videocamera, al microfono e alla posizione gps.

Vuoi mandare foto? Attiva l’accesso alle foto! Vuoi fare chiamate senza pagare? Attiva il microfono! Operazioni semplici e naturali che non ci mettono in allarme, dopo tutto è esattamente quello che vogliamo fare: non farmi perdere altro tempo, autorizzo tutto.

Bene, da quel momento hai autorizzato l’applicazione a usare queste informazioni, senza ulteriori richieste, in continuazione. Dov’è il problema? Fino a che è il software ufficiale dell’applicazione ad avere il controllo, possiamo stare (moderatamente) sereni, ma cosa succede se un difetto di programmazione dell’applicazione scaricata consentisse di installare un altro pezzo di software, da remoto, senza avere accesso diretto al dispositivo fisico?

Semplice, il nostro telefono non sarebbe in grado di distinguere le richieste legittime da quelle fraudolente e consentirebbe al malintenzionato di agire con tutti i permessi che abbiamo attribuito all’applicazione originale: potrebbe ad esempio attivare il microfono per ascoltare cosa stiamo dicendo, leggere i nostri messaggi o le nostre fotografie, capire chi sono le persone con le quali interagiamo di più e ottenere i loro numeri di telefono e intercettare anche loro.

Questo è esattamente quanto è stato scoperto e segnalato ieri dal Financial Times, trovando conferme dirette dalla Whatsapp (da qualche anno controllata acquisita da Facebook) che ha ammesso e denunciato l’intrusione alle autorità americane di controllo.

Secondo le prime ricostruzioni il meccanismo con il quale si installava il pezzo di software malevolo (in gergo chiamato spyware) era incredibilmente semplice: una semplice telefonata fatta dall’app indirizzata al telefono bersaglio, non serviva nemmeno rispondere (e non venivano nemmeno lasciate tracce della chiamata non risposta), il telefono veniva infettato e reso accessibile per l’acquisizione delle informazioni.

Tutto qui? Purtroppo no, perché gli ingegneri di Whatsapp si sono subito resi conto che le tecniche utilizzate facevano risalire l’operazione a una società privata e un prodotto spyware (il software malevolo che è stato installato) chiamato Pegasus realizzato dalla società israeliana Nso Group, specializzata in cybersicurezza che lavora con molte agenzie governative. Quest’ultima interpellata dal Financial Times non ha negato la produzione di Pegasus, ma ha reso noto che lo spyware è un prodotto che viene venduto a uso esclusivo delle agenzie governative e non è mai stato utilizzato direttamente da Nso Group.

Se da un lato questo scenario fa diminuire la probabilità di un contagio massivo (le vittime sono state probabilmente scelte come singoli obiettivi di controllo), dall’altro mette nuovamente in evidenza come i dispositivi tecnologici con i quali interagiamo ogni giorno e siamo abituati a considerare come sistemi chiusi dal telefono alla nostra smartv fino ad arrivare gli assistenti vocali che stanno iniziando a diffondersi possano diventare, a nostra insaputa, un inconsapevole enorme parco giochi, sempre più esteso.

Anche se non esistono regole certe in grado di garantire una sicurezza al cento per cento, è buona norma usare alcuni principi di cautela generale: fare attenzione alle applicazioni che decidiamo di installare, garantire le minime autorizzazioni necessarie per l’utilizzo e tenere l’applicazione sempre aggiornata.