Le due novità in fatto di navigazione, Whatsapp Web e Telegram Web, famosi servizi di messaggistica istantanea nati come semplici app e adesso usufruibili anche tramite sito web su computer e tablet, sono state recentemente prese di mira dagli hacker della Rete; questo almeno è quanto emerge da uno studio firmato Check Point Software Technologies Ltd., ovvero un’azienda israeliana produttrice di dispositivi di rete e software, specializzata in prodotti relativi alla sicurezza quali firewall e VPN (Virtual Private Network – rete di telecomunicazione privata).
Grazie alla sincronizzazione tra mobile e pc, resa possibile tramite la lettura di un codice QR, gli utenti di entrambi i servizi hanno la possibilità di chattare direttamente dal proprio pc, fisso o portatile, offrendo loro la possibilità di usufruire dei servizi non solo per passatempo personale ma anche per motivi professionali (come già offerto dal servizio Skype). I servizi sarebbero risultati vulnerabili all’indagine di ricerca presentando una falla di sistema difficile da individuare a causa della crittografia “end-to-end”, presente in entrambi i servizi, e per la quale i messaggi e le chiamate di una chat sono privati e protetti e non possono essere né letti né ascoltati da terze parti. Ma in che cosa consiste la falla? L’hacker, con l’intento di impossessarsi dell’account di un utente (e tutto ciò ad esso collegato come foto, messaggi, cronologia, file condivisi ecc.), attuerebbe la sua strategia tramite l’invio di una foto dal contenuto scherzoso e accattivante (modificata in modo che possa destare interesse per l’utente) ma al cui interno si nasconde un codice malevolo; l’utente, innocentemente, clicca sull’immagine, azione per la quale si attiverebbe il processo di trasferimento di tutti i dati privati contenuti nell’account e il totale controllo di esso da parte del malintenzionato virtuale. Il tutto, quindi, ruota intorno ad una “foto ruba dati”. «Questa nuova vulnerabilità espone centinaia di milioni di utenti WhatsApp Web e Telegram Web al rischio di vedersi sottrarre il proprio account» ha dichiarato Oded Vanunu, responsabile della ricerca sulla vulnerabilità del prodotto nell’azienda Check Point che, una volta individuato il problema, lo ha tempestivamente comunicato alle squadre di sicurezza di Whatsapp (più di un miliardo di utenti) e Telegram (più di cento milioni di utenti). “L’impatto potrebbe colpire centinaia di milioni di persone», ha annunciato David Gubiani, manager ingegnere della sicurezza, al Sole24 (così come si legge in un articolo del quotidiano pubblicato il 15 marzo). Difatti, l’hacker, dopo essersi impossessato dell’account della vittima, può agire indisturbato inviando al posto suo messaggi a tutti gli altri contatti, diffondendo ulteriormente il codice malevolo. I due servizi, ricevuta la comunicazione da Check Point e verificata l’effettiva veridicità della falla, si sono messi subito al lavoro per cercare di porre un freno allo sfruttamento di questa vulnerabilità di sistema e alleviare i danni che essa potrebbe comportare, dando la possibilità agli utenti di utilizzare una versione aggiornata delle due piattaforme con un unico accorgimento: l’utente, per essere sicuro di usufruire della versione più recente del servizio, deve prima riavviare il browser e, meglio ancora, ripetere l’azione di lettura del codice QR per avviare una nuova fusione mobile-pc. Inoltre, adesso, per impedire che la crittografia “end-to-end” faccia da scudo anche in futuro per la rilevazione di problemi, i messaggi vengono controllati prima di esser cifrati riservando così la possibilità ai client web di verificare l’esistenza di eventuali contenuti dannosi prima che essi vengano inviati, senza però andare ad incidere sulla crittografia presente nel sistema (articolo online La Stampa sezione tecnologia). (L.M. per NL)
