Ultimo aggiornamento: 2023/02/22 17:35.

Scavalcare la crittografia end-to-end di WhatsApp e leggere tutti i messaggi di un altro utente è facile. Così facile che può capitare addirittura per caso: basta avere il numero di telefono di quell’utente (in altre parole, è sufficiente essere un end di quell’end-to-end).

The Register e Gizmodo hanno pubblicato il racconto della disavventura capitata a un utente europeo che ha involontariamente avuto accesso a tutti i messaggi privati e ai gruppi WhatsApp di un’altra persona.

L’utente diventato intruso per caso si chiama Ugo e per molto tempo ha avuto un account WhatsApp legato al suo numero di telefono cellulare svizzero. A ottobre scorso si è trasferito in Francia per lavoro e si è procurato un numero di telefono cellulare francese, con relativa SIM nuova. Durante tutto questo periodo ha continuato a usare WhatsApp senza problemi, ricevendo e mandando messaggi come al solito.

Alla fine del mese di ottobre 2022 ha cambiato il proprio numero nell’app di WhatsApp, dando quello francese. A quel punto il suo telefono è stato inondato da tutti i gruppi e i messaggi personali e di lavoro di qualcun altro, quasi tutti in italiano, e la sua foto di profilo è diventata quella di quella persona (una donna). Ugo ha cercato di spiegare ai suoi interlocutori che lui non era la persona con la quale credevano di parlare, ma senza molto successo.

In pratica, senza volerlo Ugo aveva preso il pieno controllo dell’account WhatsApp di un’altra persona a lui sconosciuta.

Il padre di Ugo, che per lavoro ha esperienza nel settore e che ho contattato direttamente via mail, mi ha spiegato che ha usato l’apposita pagina di segnalazione di Meta per avvisare del possibile bug di sicurezza: la risposta di Meta è stata che non è un difetto di WhatsApp, ma è un problema degli operatori telefonici, che riutilizzano i numeri di telefono. 

Fra l’altro, si tratta di un problema noto e addirittura documentato nelle FAQ di WhatsApp:

Tutti gli account WhatsApp sono collegati a un numero di cellulare. Dal momento che riutilizzare i numeri di telefono è una prassi piuttosto comune per gli operatori di telefonia mobile, è possibile che il precedente proprietario del tuo numero di telefono usasse WhatsApp.
Se la persona che usava il numero prima di te non ha eliminato il suo account WhatsApp, sia tu che i tuoi contatti potreste vedere il numero su WhatsApp prima dell'attivazione del tuo nuovo account. Potresti anche vedere che il tuo numero di telefono è associato alla foto del profilo e alla sezione Info di qualcun altro.
Non devi preoccuparti. Questo significa solo che l'account precedente non è stato eliminato e nel sistema sono ancora presenti le vecchie informazioni. Il precedente proprietario del tuo numero non avrà alcun tipo di accesso all'account WhatsApp che attiverai con il tuo nuovo numero di telefono. Le tue conversazioni e gli altri dati WhatsApp sono protetti.
Monitoriamo l'inattività degli account per evitare eventuali confusioni provocate dal riutilizzo dei numeri di telefono. Se un account non viene utilizzato per 45 giorni e quindi viene attivato nuovamente su un dispositivo mobile differente, presumiamo che il numero sia stato riutilizzato. Quando si verificano queste situazioni, eliminiamo i dati del vecchio account collegati al numero di telefono, come ad esempio la foto del profilo e la sezione Info.

In pratica, qualche tempo prima la donna di cui Ugo stava leggendo i messaggi WhatsApp aveva chiuso il numero di telefonino che usava per WhatsApp. Quel numero era tornato disponibile e l’operatore telefonico lo aveva riutilizzato, assegnandolo a Ugo.

Questa possibilità di accedere ai messaggi WhatsApp di un altro utente è una falla di privacy considerevole, e il bello è che è nota almeno da tre anni. Se qualcuno ha modo di farsi dare dall’operatore telefonico una SIM che ha il numero della persona presa di mira, può leggerne tutti i messaggi. È una tecnica chiamata SIM swap: i criminali informatici la usano contattando gli operatori telefonici e spacciandosi per la vittima, chiedendo una SIM nuova perché, dicono, quella corrente non funziona più o è stata smarrita. Nei paesi nei quali gli operatori non verificano attentamente l’identità degli utenti, la SIM nuova finisce nelle mani del criminale, che a quel punto può ricevere tutti gli SMS di autenticazione dei vari servizi online della vittima e prendere il controllo in particolare delle sue piattaforme social.

Nel caso di Ugo non c’è stata alcuna intenzione criminosa, ma la sua vicenda dimostra che la riservatezza dei messaggi online non è robusta come molti pensano.

Per contenere questo problema dei numeri riciclati, normalmente gli operatori hanno un periodo piuttosto lungo di cosiddetta “quarantena”, durante il quale il numero non viene riassegnato a nessuno, e WhatsApp dichiara che se si accorge che un account non viene usato per un mese e mezzo e poi ricomincia a essere usato su un dispositivo nuovo, eliminerà i dati del vecchio account. Ma a Ugo e alla donna che è diventata sua vittima non intenzionale non è andata così, perché l’account della donna non era inattivo. La donna aveva cambiato numero di telefono e aveva continuato a usare WhatsApp sul nuovo numero, ma senza cambiare il numero nell’app.

Infatti se non si avvisa WhatsApp del cambio di numero, WhatsApp continua a credere che l’account sia associato ancora al numero vecchio, come dimostra il padre di Ugo con un video dettagliatissimo, in cui usa due numeri di telefono svizzeri e fa vedere che scambiando le SIM i due utenti, chiamiamoli Andrea e Beatrice, continuano a ricevere i messaggi dei rispettivi account WhatsApp come se niente fosse, nonostante lo scambio di SIM nei loro telefoni. 

Ma se Andrea avvisa WhatsApp del cambio di numero, il suo telefono comincia a ricevere i messaggi WhatsApp di Beatrice, perché il telefono di Andrea contiene la SIM che prima era nel telefono di Beatrice.

Normalmente WhatsApp protegge il cambio di numero contro gli abusi inviando al numero vecchio un SMS contenente un codice di sicurezza. Ma in questo caso il vecchio numero di Beatrice ora ce l’ha Andrea, che quindi riceve il codice e ha tutto il necessario per prendere il controllo dell’account WhatsApp di Beatrice.

Va chiarito che questa tecnica non consente accesso ai messaggi passati di WhatsApp: permette di leggere soltanto i messaggi che sono stati inviati al proprietario precedente del numero dopo che il nuovo proprietario ha usato quel numero per WhatsApp. Ma già così, ricevere le comunicazioni e le foto destinate a un’altra persona e poterla impersonare online, senza che quella persona lo sappia, è parecchio invadente e preoccupante.

Va anche sottolineato che questa situazione offre un canale di sorveglianza molto semplice alle forze di polizia: è sufficiente che chiedano all’operatore telefonico di generare una seconda SIM con lo stesso numero e avranno accesso ai messaggi WhatsApp inviati alla persona sorvegliata. Nel caso di altri sistemi di messaggistica, come Telegram, che conservano i messaggi sui propri server, questa tecnica probabilmente consente anche di recuperare tutti i messaggi passati.

Noi utenti possiamo ridurre il rischio di violazioni della privacy come questa con due passi piuttosto semplici. Il primo è attivare l’autenticazione a due fattori su WhatsApp, sotto Impostazioni - Account - Verifica in due passaggi. Il secondo è avvisare WhatsApp se cambiamo numero, andando in Impostazioni - Account - Cambia numero. Andrebbe fatto comunque, perché altrimenti in caso di qualunque problema con il vostro account, WhatsApp non potrà validarvi tramite il numero di telefono. Se infine decidete di smettere di usare WhatsApp per qualunque motivo, ricordatevi prima di tutto di eliminare l’account andando sempre in Impostazioni - Account - Elimina account.

Credit: Motherboard.

Motherboard ha pubblicato un’indagine sul fenomeno del ban-as-a-service: l’attività criminale di far bandire (o bannare) qualcuno da un social network usando l’inganno per indurre i gestori del social network a chiudergli l’account.

Nei bassifondi di Internet, infatti, esistono varie organizzazioni criminali che offrono questo servizio dietro pagamento. La tariffa è variabile e dipende dal numero dei follower del bersaglio, ma raramente supera i 60 dollari. E Instagram, uno dei mercati più fiorenti, spesso non protegge a sufficienza i propri utenti da questi attacchi, effettuati per dispetto, ripicca, rivalità, concorrenza, vendetta o estorsione.

Il ban-as-a-service opera in questo modo: il criminale crea un profilo identico a quello del bersaglio, copiandone la foto della bio e la descrizione. Ma crea questo profilo-clone usando un profilo verificato (uno di quelli con il bollino blu), che magari ha rubato a qualcuno.

Fatto questo, il criminale segnala a Instagram l’account della vittima, accusandola di essere un impostore. Instagram, invece di controllare come stanno le cose (per esempio guardando quale dei due account è stato creato prima o ha caricato di colpo tante foto e cambiato quelle preesistenti), banna l’account della vittima.

Non è l’unica tecnica: le altre sono descritte nell’articolo di Motherboard. Ma la cattiveria dei truffatori non si esaurisce qui. Infatti capita spesso che le vittime del ban vengano contattate prontamente da qualcuno che si offre di rimettere tutto a posto, ovviamente dietro compenso. E stavolta le cifre in gioco sono decisamente più alte: dai 3500 dollari in su.

Se la vittima usa il proprio account Instagram per lavoro, trovarselo bannato è un danno economico notevolissimo, per cui capita spesso che le cifre richieste vengano pagate. Guarda caso, chi si offre di ripristinare a pagamento è in combutta con chi ha effettuato il ban.

In casi come questi, non c’è password o autenticazione a due fattori che tenga, perché questo non è un furto di account, e spetta a Instagram investigare per capire come sono andate le cose e chi è il vero impostore. Non sempre lo fa, stando all’indagine di Motherboard. Se vi capita un problema di questo genere, non vi resta che consultare il Centro assistenza di Instagram, che ha una pagina apposita per il ripristino degli account disabilitati.

 

 

Anche la Polizia di Stato italiana si associa all’allarme per i furti di account WhatsApp: in un comunicato, segnala e spiega la tecnica utilizzata dai ladri.

La vittima riceve un messaggio sul proprio telefonino con una richiesta apparentemente innocente: “Scusa, ti ho inviato per sbaglio un codice, me lo puoi rimandare?” o qualcosa di analogo. La vittima ha in effetti ricevuto pochi istanti prima via SMS un codice di sei cifre e quindi pensa di fare un favore al proprio interlocutore rimandandoglielo.

Ma è una trappola: il codice, infatti, è quello che WhatsApp manda all’utente quando si vuole trasferire il proprio account a un altro telefono o a un altro numero. Chi ha quel codice può prendere il controllo dell’account.

La trappola è particolarmente credibile perché spesso la richiesta di mandare il codice sembra arrivare da una persona che si conosce e di cui quindi ci si fida: in realtà, spiega la Polizia di Stato, solitamente il conoscente è “un’altra vittima della frode che ha già subito il furto dei dati, in particolare della rubrica, nella quale c’era anche il vostro numero di telefono”.

La difesa è semplice: se ricevete una richiesta di questo genere, per prima cosa ignoratela e non mandate nessun codice a nessuno. Se conoscete il mittente, contattatelo usando un altro canale (una telefonata o un incontro di persona) e avvisatela del problema. E se potete, segnalate il caso alle autorità. Per maggiore sicurezza, attivate l’autenticazione a due fattori (o verifica in due passaggi) su WhatsApp, spiegata qui.

Se il furto di account è già avvenuto, potete consultare le apposite FAQ di WhatsApp per tentare il recupero dell’account.

Ultimo aggiornamento: 2020/07/17 06:45.

Poco fa, intorno alle 21:30 italiane del 15 luglio 2020, è stata segnalata una raffica di tweet truffaldini pubblicati da numerosi exchange di criptovalute. Da allora è iniziata quella che vedo ormai definire una twitpocalypse: una violazione di un numero di account, anche di altissimo profilo.

Anche l’account Twitter di Elon Musk e quello di Bill Gates (entrambi verificati) hanno pubblicato lo stesso genere di tweet: un’offerta (falsa) di raddoppiare i bitcoin che vengono mandati alle coordinate indicate nel tweet. Non fatelo: non rivedrete mai più i vostri soldi, perché li avrete inviati ai truffatori.



È un bagno di sangue.

OMG what is happening @sniko_ you seeing this? pic.twitter.com/mhWcHXGmxv

— Oliver Hough (@olihough86) July 15, 2020

ALL MAJOR CRYPTO TWITTER ACCOUNTS HAVE BEEN COMPROMISED.

2FA / strong password was used for @Gemini account. We are investigating and hope to have more information shortly. https://t.co/X3C0uJzc6C

— Cameron Winklevoss (@winklevoss) July 15, 2020

Si sono sfondati gli account Twitter di @elonmusk, @Ripple, @bitfinex e di DECINE di altri #bitcoin exchange.

NON SPEDITE DIGITAL CURRENCY, RIPETO NON SPEDITE DIGITAL CURRENCY a nessun account. pic.twitter.com/3Y2Ulqqm1Z

— Matteo G.P. Flora (@lastknight) July 15, 2020

Anche Uber:





Prime congetture sulla causa:

Solid rumor is that an employee panel got hacked pic.twitter.com/z6GY2apjVf

— Under the Breach (@UnderTheBreach) July 15, 2020

Intanto i truffatori trovano le prime vittime che abboccano: hanno già incassato oltre 22.000 dollari.

22K so far pic.twitter.com/4XYcu7U57Q

— Oliver Hough (@olihough86) July 15, 2020

A quanto pare Cryptoforhealth punto com, sito citato in molti dei tweet truffaldini, è stato creato oggi:

Mass Twitter account hijacking going on right now.

Even @Bitcoin was just jacked too

Archived here https://t.co/9tLmokv7y1

Domain created today (15 July), hosted with CloudFlare pic.twitter.com/Pq1iTFUq7g

— Will | BushidoToken 👁‍🗨 (@BushidoToken) July 15, 2020

Anche Apple:



Intanto l’incasso è arrivato a 58.000 dollari:

58K now pic.twitter.com/PVrP2Aq6HS

— Oliver Hough (@olihough86) July 15, 2020

Violati anche Jeff Bezos e Kanye West:



Ormai gli account violati non si contano più, come potete vedere facendo questa query o (meglio ancora) questa che seleziona solo gli account verificati:

bc1qxy2kgdygjrsqtzq2n0yrf2493p83kkfjhx0wlh filter:verified



Violato Mike Bloomberg:


Mi arrivano segnalazioni di violazione anche degli account di Warren Buffett e Joe Biden, che però sono tornati subito a posto. Dalle prime informazioni non si tratterebbe di un hackeraggio vero e proprio (furto di password e credenziali) dei singoli account, ma sembra che qualcuno stia abusando del sistema di autorizzazione di Twitter o di un accesso di dipendenti di Twitter.

Barack Obama:



Prime reazioni di Twitter: “We are aware of a security incident impacting accounts on Twitter. We are investigating and taking steps to fix it. We will update everyone shortly.”

We are aware of a security incident impacting accounts on Twitter. We are investigating and taking steps to fix it. We will update everyone shortly.

— Twitter Support (@TwitterSupport) July 15, 2020

Verso mezzanotte Twitter ha iniziato a bloccare qualunque mio tweet (anche di solo testo, anche i DM, anche solo immagini). Poco dopo Twitter ha postato questo: “You may be unable to Tweet or reset your password while we review and address this incident.”

You may be unable to Tweet or reset your password while we review and address this incident.

— Twitter Support (@TwitterSupport) July 15, 2020

2020/07/16 00:30. Gli account verificati sono stati tutti bloccati: niente DM, solo retweet. Gli account non verificati sono liberi di postare.


2020/07/16: 00:55. Mi sto arrangiando scrivendo i tweet su @AttivissimoLIVE e poi retweetandoli dal mio account principale (@disinformatico).


2020/07/16: 01:35. Twitter ha scritto “We’re continuing to limit the ability to Tweet, reset your password, and some other account functionalities while we look into this. Thanks for your patience.”

We’re continuing to limit the ability to Tweet, reset your password, and some other account functionalities while we look into this. Thanks for your patience.

— Twitter Support (@TwitterSupport) July 15, 2020

Nel frattempo viene ricordato un altro brutto caso di insicurezza di Twitter: “A little over ten years ago: Twitter settled with the FTC as a result of an internal tools breach. Their internal tooling was available directly over the web and accessed through an employee account protected by the password "happiness"”

A little over ten years ago: Twitter settled with the FTC as a result of an internal tools breach. Their internal tooling was available directly over the web and accessed through an employee account protected by the password "happiness"https://t.co/rOQgTONhQp

— Ryan McGeehan (@Magoo) July 15, 2020

2020/07/16 09:00. Gli account verificati, compreso il mio, possono di nuovo postare e tutto sembra essere tornato alla normalità. @TwitterSupport ha postato un po’ di informazioni nelle scorse ore: sembra che si sia trattato di un attacco coordinato di social engineering ai danni dei dipendenti di Twitter, ottenendo accesso ai sistemi e agli strumenti dell’azienda.

Most accounts should be able to Tweet again. As we continue working on a fix, this functionality may come and go. We're working to get things back to normal as quickly as possible.
Our investigation is still ongoing but here’s what we know so far:
We detected what we believe to be a coordinated social engineering attack by people who successfully targeted some of our employees with access to internal systems and tools.
We know they used this access to take control of many highly-visible (including verified) accounts and Tweet on their behalf. We’re looking into what other malicious activity they may have conducted or information they may have accessed and will share more here as we have it.
Once we became aware of the incident, we immediately locked down the affected accounts and removed Tweets posted by the attackers
We also limited functionality for a much larger group of accounts, like all verified accounts (even those with no evidence of being compromised), while we continue to fully investigate this.
This was disruptive, but it was an important step to reduce risk. Most functionality has been restored but we may take further actions and will update you if we do.
Internally, we’ve taken significant steps to limit access to internal systems and tools while our investigation is ongoing. More updates to come as our investigation continues.

2020/07/16 21:35. Twitter ha pubblicato un ulteriore aggiornamento informativo:

Here’s an update addressing questions we’ve heard around passwords and account access specifically:
We have no evidence that attackers accessed passwords. Currently, we don’t believe resetting your password is necessary.
Out of an abundance of caution, and as part of our incident response yesterday to protect people’s security, we took the step to lock any accounts that had attempted to change the account’s password during the past 30 days.
As part of the additional security measures we’ve taken, you may not have been able to reset your password. Other than the accounts that are still locked, people should be able to reset their password now.
If your account was locked, this does not necessarily mean we have evidence that the account was compromised or accessed. So far, we believe only a small subset of these locked accounts were compromised, but are still investigating and will inform those who were affected.
We're working to help people regain access to their accounts ASAP if they were proactively locked. This may take additional time since we’re taking extra steps to confirm that we’re granting access to the rightful owner.
We’ve been working around the clock and will continue to provide updates here.

2020/07/17 06:45. Altro aggiornamento da TwitterSupport:

We want to share some more specific updates coming out of the second day of our investigations.
Based on what we know right now, we believe approximately 130 accounts were targeted by the attackers in some way as part of the incident. For a small subset of these accounts, the attackers were able to gain control of the accounts and then send Tweets from those accounts.
We’re working with impacted account owners and will continue to do so over the next several days. We are continuing to assess whether non-public data related to these accounts was compromised, and will provide updates if we determine that occurred.
For all accounts, downloading Your Twitter Data is still disabled while we continue this investigation.
We have also been taking aggressive steps to secure our systems while our investigations are ongoing. We’re still in the process of assessing longer-term steps that we may take and will share more details as soon as we can.
Thank you for your continued patience and understanding while we investigate this incident. We’ll continue to provide updates when we have them.

Intanto l’incasso complessivo degli autori della truffa ammonta all’equivalente di circa 120.000 dollari. Per chi si sta chiedendo come faranno a convertire questa criptovaluta in soldi convenzionali senza farsi identificare, visto che ogni transazione fatta con criptovalute è solitamente pubblica e tracciabile, Engadget ha un articolo che spiega le tecniche di tracciamento e di elusione del tracciamento (tumbling, conversione in altra criptovaluta meno pubblica, come Monero, o gioco d’azzardo).