In questo articolo Indice dei contenuti 2 sezioni
Chi collega il proprio account a WhatsApp attraverso client web non ufficiali potrebbe presto ricevere un promemoria piuttosto insistente, perché l’azienda ha iniziato a testare un avviso dedicato proprio a chi usa applicazioni di terze parti o estensioni del browser al posto della versione autentica. L’idea di fondo è semplice: rendere immediatamente evidente quando si sta navigando fuori dai binari ufficiali e riportare gli utenti su WhatsApp Web, quello vero.
La novità è stata individuata nella beta di WhatsApp per Android numero 2.26.35.1, distribuita tramite Google Play Store. Il messaggio compare nella sezione Dispositivi collegati, la stessa schermata che permette di gestire tutti i dispositivi associati all’account. Quando il sistema rileva un client non autorizzato, in fondo alla pagina appare un invito a passare alla versione ufficiale. L’avviso si può chiudere, ma tornerà a farsi vedere finché la situazione non cambia. Che poi significa una cosa interessante: il riconoscimento dei client anomali lavora già in sottofondo, manca soltanto la parte visibile, per ora non attivata per tutti i beta tester.
Perché i client non ufficiali sono un problema reale
Non si tratta di una preoccupazione astratta. Lo scorso aprile WhatsApp ha contattato circa 200 utenti in Italia dopo che una versione falsa dell’app era stata sfruttata per installare spyware di livello governativo sui loro iPhone. L’applicazione contraffatta non passava dall’App Store, circolava attraverso phishing e tecniche di ingegneria sociale. Una volta finita sul telefono, poteva arrivare a messaggi privati, contatti, microfono, fotocamera e persino ai dati di altre applicazioni installate. Sul punto l’esperto di cybersicurezza Pierluigi Paganini ha parlato di una tecnica molto comune nelle campagne di sorveglianza, ritenendo plausibile l’ipotesi di un’attività inserita in un’indagine mirata. Meta, da parte sua, ha confermato l’intervento con una nota: gli utenti coinvolti sono stati disconnessi, avvisati dei rischi per privacy e sicurezza legati al download di un client non ufficiale e fraudolento, con l’invito a rimuoverlo e a installare l’app autentica.
Il discorso però non finisce con le app finte. Anche i client web non ufficiali, per esempio estensioni del browser che ridisegnano l’interfaccia oppure servizi terzi che imitano l’esperienza di WhatsApp Web, si posizionano in mezzo tra utente e server. Messaggi, contatti e file multimediali finiscono per attraversare software che WhatsApp non ha scritto e non può controllare. La crittografia end to end resta intatta nel client ufficiale, mentre un software di terze parti potrebbe intercettare i dati prima che vengano cifrati oppure subito dopo la decifratura. C’è poi un altro fronte segnalato dai ricercatori, una tecnica di compromissione che sfrutta la funzione legittima di collegamento dei dispositivi: l’unico modo per accorgersene è aprire manualmente la sezione Dispositivi collegati e cancellare senza esitare tutto quello che non risulta familiare.
Come capire se il client è quello autentico
Restare al riparo dall’avviso richiede poco. La versione ufficiale si raggiunge all’indirizzo web.whatsapp.com da qualunque browser standard, e se l’URL è diverso allora non è il client autentico. Meglio tenersi alla larga dalle estensioni sospette che modificano l’aspetto dell’app e dagli strumenti che promettono funzioni aggiuntive, perché possono inserirsi nella connessione e non garantiscono gli stessi standard di sicurezza. Chi preferisce lavorare dal computer può scaricare l’applicazione desktop ufficiale direttamente dal sito di WhatsApp.
Sulla distribuzione dell’avviso non ci sono ancora indicazioni precise. La funzione è in sviluppo e WhatsApp non l’ha abilitata nemmeno per i beta tester, quindi anche chi ha già installato l’ultima versione di prova probabilmente non troverà nulla di nuovo nella schermata dei dispositivi. L’attivazione avverrà lato server in un secondo momento, con ogni probabilità in uno dei prossimi aggiornamenti dell’applicazione per Android.
