Sono sempre più gli utenti che cercano di spiare WhatsApp: spesso per paura del tradimento da parte del partner, altre volte per semplice curiosità. Internet ci ha permesso di fare cose che fino a 10 anni fa erano inimmaginabili, al tempo stesso però ha aperto le porte a tipi di attacchi e tecniche più avanzate volte al furto di dati, informazioni e al danneggiamento dei dispositivi bersaglio.
Lavorando a 360° nel settore della tecnologia ci si rende conto che la paura di poter essere spiati costantemente da qualcuno, complice anche una cattiva comprensione di alcune notizie diramate tramite la rete, è molto più diffusa di quanto si crede: ogni giorno tantissime persone ci chiedono se è possibile che la nostra attività dal cellulare venga osservata da utenti malintenzionati, la domanda più ricorrente è se sia possibile spiare WhatsApp.
Risposta secca: si ma no. In teoria basta essere collegati ad Internet per dare potenzialmente accesso ad occhi indiscreti alle proprie conversazioni di WhatsApp, tuttavia la cosa è nettamente più complessa di quanto ci si creda e nella quasi totalità dei casi è fondamentale che chi vuole spiarvi abbia tra le mani il vostro telefono.
Quindi, tornando a noi, non aspettatevi che il vostro amico minaccioso che si autodefinisce “hacker avanzato“ possa schioccare le dita, spiare WhatsApp dal vostro telefono e condividere tutto ciò che ha trovato su Facebook per mettervi al centro di innumerevoli figure barbine, perché – anche se lo avete visto nei migliori film di fantascienza – in un mondo reale l’affare è davvero complicato.
Nelle prossime righe cercheremo di spiegarvi il perché nel modo più semplice possibile.
Spiare WhatsApp: facciamo chiarezza
Sfortuna (per me) ha voluto che proprio raccogliendo materiale per smontare questa specie di bufala informatica mi sia imbattuto in una serie di contenuti, in molteplici lingue del mondo – so a chi state pensando e no, non è l’unico ad averlo fatto, tutt’altro – che recitavano la medesima poesia: WhatsApp si può spiare utilizzando tecniche “avanzate ma fattibili”.
Prima di crederci, che temiate di essere vittima o stiate cercando di diventare potenziali carnefici (cosa che NON ci auguriamo), è bene fare un po’ di chiarezza su come in realtà funzionano questi metodi così acclamati dalla rete.
app per spiare WhatsApp
Capita di beccare per la rete siti web, programmi o app per smartphone e tablet dai nomi più “originali”, ad esempio WhatsApp Spy oppure Spy WhatsApp o ancora Spiare WhatsApp Software e simili. Se state cercando qualcosa del genere per danneggiare qualcuno, oltre ad essere consapevoli che le vostre intenzioni sono assolutamente da condannare, sappiate che tali software, siti o app non possono materialmente fare ciò che promettono. Anzi, con ogni probabilità finiranno per nuocere a voi stessi.
Se invece avete paura di diventare vittime di tali programmi allora state tranquilli: le uniche vittime, qui, saranno i polli che li useranno per cercare di danneggiarvi.
Sniffing della connessione
Partiamo da un presupposto abbastanza semplice: questo metodo funzionerebbe soltanto se usate WhatsApp tramite una connessione Wi-Fi e non avrebbe assolutamente senso se invece si parla di una connessione tramite rete 2G/3G/LTE; quindi nelle successive righe daremo per scontato che si parla del primo caso.
Principalmente sniffare una connessione WiFi significa, armati di un computer, di un ricevitore, di una gran dose di abilità informatica e di una vittima che non sa cosa sia una chiave di rete, piazzarsi “di guardia” ed intercettare i pacchetti che passano sulla rete della povera vittima, nel tentativo di leggerne il contenuto in chiaro.
Già dopo questa frase e senza dilungarci altrimenti, possiamo affermare a gran voce che non è possibile spiare WhatsApp sniffando i pacchetti di rete. Motivo? A partire dalla fine dello scorso anno WhatsApp cifra i suoi messaggi in modalità end-to-end con la tecnologia TextSecure. Ciò significa, in parole molto povere (concettualmente corrette ma tecnicamente opinabili) che:
- scrivete un messaggio;
- immediatamente prima di partire dal vostro telefono, questo viene “mascherato” con TextSecure da WhatsApp e reso illeggibile ad occhi esterni;
- il messaggio viaggia “mascherato” (e quindi in maniera illeggibile anche per chi cerca di sniffare) attraverso la rete, viene memorizzato sul server (sempre “mascherato”) e poi riparte in volta del destinatario;
- immediatamente dopo essere arrivato al telefono del destinatario, WhatsApp si occupa di “smascherarlo” e renderlo quindi leggibile in chiaro agli occhi del destinatario.
L’unico modo per cui questa sicurezza potrebbe venir meno è trovare una vulnerabilità nella cifratura applicata da TextSecure ma è un’ipotesi molto, ma molto, ma molto remota.
Bisogna comunque sottolineare che, trattandosi di un programma closed source, è noto con certezza che la tecnologia TextSecure venga utilizzata soltanto su Android, mentre tutte le altre piattaforme sono in dubbio; in tutti i casi, i messaggi vengono comunque cifrati con l’algoritmo RC4 usando una chiave unica basata su parametri personali dell’utente – per cui, sebbene RC4 sia considerato debole, decifrare anche un solo un messaggio siffatto è estremamente complesso.
Spiare WhatsApp clonando l’indirizzo MAC
Forse questo è il “metodo” la cui lettura mi ha fatto più sorridere. Spieghiamo innanzitutto cosa è un indirizzo MAC: si tratta in parole povere del “codice fiscale” del o dei componenti che permettono ai dispositivi di connettersi ad Internet, ed è unico per ogni dispositivo. Proprio grazie al MAC Address WhatsApp è in grado di far sì che uno ed un solo dispositivo cellulare per volta (si fa un discorso a parte per WhatsApp web, ma ne parleremo a tempo debito) possa usare l’app.
Secondo questo ragionamento, due dispositivi con MAC Address identico possono collegarsi contemporaneamente a WhatsApp e, se ciò in teoria non è possibile, esistono alcuni software che permettono di “cambiare” il MAC Address del proprio dispositivo con un altro a scelta. In parole povere: se qualcuno conosce il vostro MAC Address, seguendo una metodica è potenzialmente in grado di “fingersi” voi agli occhi di WhatsApp e, armato di patatine, godersi lo spettacolo.
E’ davvero così?
Ho letto il procedimento “suggerito” per spiare WhatsApp usando la procedura di clonazione del MAC Address e c’è uno, anzi due piccoli punti che rendono questo giochetto quasi del tutto impraticabile. Ecco come funzionerebbe in linea di massima:
- un malintenzionato Pippo vi prende il telefono senza che voi ve ne accorgiate e legge il MAC Address associato;
- Pippo cambia il MAC Address del suo dispositivo con il vostro;
- Pippo installa WhatsApp ed inizia la procedura di configurazione, usando però il vostro numero per iscriversi;
- Pippo conclude la procedura di configurazione inserendo manualmente il codice di verifica tramite SMS arrivato sul vostro telefono;
- Pippo conclude la configurazione e può godersi lo spettacolo.
Dimenticavo: Pippo deve essere dotato di competenze informatiche abbastanza avanzate, deve essere molto rapido e deve avere sotto mano tutti gli strumenti (smartphone rootato/jailbroken, emulatore attivo, connessione a Internet) per portare a termine il diabolico piano.
Oltre a non essere così semplice mettere in pratica una cosa del genere, guardate il punto 1, il punto 2 ed il punto 4: Pippo deve avere necessariamente accesso fisico al vostro telefono per fare danni. Se siete attenti abbastanza da non lasciare il telefono incustodito e da usare metodi di autenticazione per la lockscreen, anche questo metodo ha applicabilità 0.
Applicazioni specifiche
Anche questo metodo “suggerito” può far abbastanza sorridere: se è vero che esistono delle applicazioni in grado di “dirottare” verso destinazione ignota alle vittime grossa parte dei dati in transito da e verso uno smartphone, è pur vero che queste applicazioni non sono così semplici da trovare e devono essere installate consapevolmente dalla vittima stessa affinché funzionino.
Quindi, se non siete abbastanza polli da installare tutto ciò che vi suggeriscono e siete abbastanza furbi da non lasciare il vostro smartphone incustodito e da controllare periodicamente le app installate su di esso, potete dormire sonni tranquilli.
Malware
Vale lo stesso discorso di sopra, con la differenza che i malware possono essere facilmente beccati sotto mentite spoglie anche sul web e non soltanto “suggeriti” da chi vuole spiare WhatsApp.
Tenete presente che cadere vittima di un malware non significa che il vostro peggior nemico vi possa spiare WhatsApp ma che potenzialmente – anche se il fine ultimo dei malware è avere accesso alle informazioni finanziarie come numeri di carte di credito, PIN e via dicendo – qualcuno che non vi conosce sia in grado di farlo.
Anche questo metodo però assume efficacia prossima allo 0 se siete attenti a ciò che installate sul vostro dispositivo e se vi affidate esclusivamente agli store offerti dal vostro sistema operativo (o quantomeno provenienti da publisher affidabili).
WhatsApp Web
WhatsApp è un servizio basato su un’app a sorgente chiuso, ragion per cui non ci è dato sapere con precisione quali siano le meccaniche esatte “celate” dietro a WhatsApp web; secondo un valido ragionamento di R. M. Nugrahra su Quora, è plausibile che tutto si centri su un token univoco (ovvero un piccolo cookie non duplicabile) ottenuto all’atto dell’associazione tramite il classico procedimento via QR Code.
E’ decisamente improbabile che qualcuno abbia accesso fisico a quel cookie e che possa usarlo per spiare WhatsApp tramite l’interfaccia web, perché
- il malintenzionato dovrebbe avere accesso fisico al computer per copiare il token e conoscere esattamente quale questo sia, cosa estremamente complicata;
- il token potrebbe non funzionare su altre macchine.
In tutti i casi, se proprio non volete correre rischi, potrete sempre togliere il segno di spunta da “Resta connesso” in fase di associazione – così quel token non verrà salvato affatto e l’associazione sarà “dimenticata” quando chiuderete il browser….
…o, se avete paura di aver lasciato attivo WhatsApp web in qualche posto di troppo e temete che le vostre conversazioni siano a rischio, non dovrete far altro che accedere dall’app sul telefono a Impostazioni > WhatsApp Web e selezionare “Disconnettiti da tutti i computer“.
Inoltre, di recente WhatsApp invia una notifica al telefono quando WhatsApp Web è attivo: quindi sarete avvisati se avete lasciato il PC acceso con WhatsApp Web o se qualcuno sta cercando di intrufolarsi nel vostro account.
Segreteria telefonica
In tempi recenti, sfortunatamente, si è scoperta una debolezza nella gestione della segreteria telefonica degli operatori che potrebbe portare ad accessi non autorizzati in WhatsApp. Una sorta di “spiare WhatsApp per metà”, poiché i messaggi precedenti all’accesso non potranno essere visualizzati. E’ comunque sufficiente disattivare la segreteria per evitare che ciò accada.
Potrete leggere ulteriori informazioni nel nostro approfondimento:
In rete si dice che si può spiare WhatsApp perché memorizza informazioni sui server!!!
Ok, questo è un discorso a parte e si può dire che è praticamente l’unico ad avere un fondo di verità ma il significato di una affermazione del genere va ben oltre la problematica che stiamo affrontando.
Nell’ultimo periodo, il termine “spiare” viene sempre più usato per intendere l’accesso delle agenzie governative, della polizia e delle autorità ai dati memorizzati sui server dei servizi a cui ci affidiamo giornalmente, senza ottenere il consenso dell’utente.
Lo “spionaggio di WhatsApp” di cui i grandi siti del settore parlano alludono esattamente a questo: in alcuni Stati, purtroppo o per fortuna, al fine di sgominare atti di terrorismo, crimini e quant’altro molto spesso le agenzie governative possono accedere ai dati relativi agli utenti memorizzati sui server senza che gli utenti stessi ne siano al corrente e, in particolare negli USA, senza la necessità di un mandato.
Ad esempio, ultimamente si è sparsa la notizia che poiché il server di WhatsApp memorizza (come è ovvio sia) la durata delle chiamate ed il numero del destinatario, qualcuno – leggi “agenzie governative” – potrebbe spiarlo. Ciò tuttavia non significa necessariamente che le agenzie governative possano leggere i messaggi in transito poiché, come vi raccontavamo prima, questi viaggiano cifrati tra mittente, server e destinatario.
Non è questo il luogo né il contesto per parlare di quanto una pratica del genere sia giusta o meno, tuttavia il dato di fatto è che per funzionare c’è bisogno di server e i dati in transito lasciano irrimediabilmente tracce di sé; e se una legislazione permette l’accesso a tali dati da parte delle Intelligence o altro senza previo consenso dell’utente, nessuno può farci nulla.
E’ comunque necessario essere consapevoli che, a meno che non siate criminali, terroristi, pedofili, stupratori ed altre figure con un profilo legale tutt’altro che cristallino, i dati a voi appartenenti resteranno con ogni probabilità confinati nei controlli interni e che il vostro vicino di casa, il vostro nemico, il vostro partner, il vostro amante e compagnia cantante non li avrà mai in questo modo.
Se temete che il partner vi abbia messo alle spalle un investigatore privato perché ha il terrore che voi lo tradiate, sappiate che costui non potrà mai avere accesso ai dati memorizzati sui server di WhatsApp – abbiamo parlato di Intelligence ed agenzie governative, mica Pizza&Fichi.
Questo discorso comunque non vale soltanto per WhatsApp ma per qualsiasi servizio – anche lo stesso provider di servizi Internet – abbia a che fare con la vostra rete.
