Tra le rivelazioni derivanti dalle recenti pubblicazioni di WikiLeaks vi è la possibilità che le organizzazioni governative possono compromettere WhatsApp, Telegram e altre applicazioni di chat end-to-end crittografate. Anche se questo deve ancora essere provato, molti utenti finali sono preoccupati come WhatsApp e Telegram utilizzano la crittografia end-to-end per garantire la privacy di cio’ che condividono attraverso queste app.

La crittografia end-to-end è progettata per garantire che solo le persone che sono partecipi in una chat possono leggere i messaggi e nessun altro di mezzo, nemmeno chi gestisce l’app. Tuttavia, questo stesso meccanismo è stato anche l’origine di una nuova vulnerabilità grave che il team di ricerca di Check Point Software Technologies Ltd, azienda specializzata in sicurezza informatica, ha scoperto in alcuni servizi di messaggistica tra cui WhatsApp Web e Telegram Web.

La versioni online delle piattaforme WhatsApp e Telegram – appunto ‘Web’ – permettono di accedere a tutti i messaggi inviati e ricevuti dall’utente da un semplice browser desktop, e sono sincronizzati con l’app installata sul dispositivo degli utenti.

La falla, quindi, era pericolosa solo per chi utilizza Whatsapp Web o Telegram Web.

Scriviamo subito che Check Point ha detto di aver comunicato le informazioni legate alla falla trovata ai team di sicurezza di WhatsApp e Telegram l’8 marzo 2017, e che le due aziende hanno gia’ rilevato il problema di sicurezza e sviluppato una correzione per i client web a livello globale. Check Point consiglia, tuttavia, agli utilizzatori di WhatsApp Web e Telegram Web di riavviare il browser al fine di essere sicuri di utilizzare la versione più recente di entrambi i servizi.

Questa vulnerabilità, se sfruttata, avrebbe permesso agli hacker di prendere il controllo completo sugli account e accedere alle conversazioni personali e di gruppo delle vittime, alle foto, ai video e agli altri file condivisi, alla lista dei contatti e molto altro ancora. Questo significa che gli aggressori potrebbero potenzialmente scaricare le foto e pubblicarle on-line, inviare messaggi per conto dell’utente, richiesta di riscatto per avere nuovamente accesso al proprio profilo, solo per fare alcuni esempi.

Lo sfruttamento della vulnerabilità inizia con l’hacher che invia un file apparentemente innocuo alla vittima, che lo apre ma contiene del codice dannoso. Il file può essere modificato in modo da contenere contenuti che incentivino l’utente ad aprirlo. In WhatsApp, una volta che l’utente fa clic per aprire l’immagine, il file dannoso permette al malintenzionato di accedere alla memoria locale, in cui sono memorizzati i dati personali. In Telegram, l’utente deve fare nuovamente clic per aprire una nuova scheda, in modo che l’hacher possa accedere allo storage locale. Da quel punto, l’utente malintenzionato può ottenere l’accesso completo al profilo e ai dati dell’utente. L’attaccante potrebbe anche inviare il file dannoso ai contatti della vittima, per provare a violare anche i loro profili.

"Dal momento che i messaggi sono stati crittografati, senza essere stati approvati prima, WhatsApp e Telegram erano ciechi ai contenuti, non avendo così la possibilità di impedire la condivisione di dannosi vengano" ha spiegato Check Point nel suo blog.

"Fortunatamente, WhatsApp e Telegram hanno risposto rapidamente e hanno implementato la patch contro lo sfruttamento di questo problema in tutti i client web", ha detto Oded Vanunu di Check Point, che consiglia agli utenti di WhatsApp Web e Telegram Web di assicurarsi di utilizzare la versione più recente di entrambi i client riavviando il browser.

Mentre WhatsApp e Telegram ha patchato la vulnerabilità, come prassi generale, Check Point consiglia di evitare di aprire file sospetti e link da utenti sconosciuti.

WhatsApp ha oltre 1 miliardo di utenti in tutto il mondo, diventando così il servizio di messaggistica istantanea più diffuso oggi esistente. La versione web della società è disponibile in tutti i browser e WhatsApp è supportato dal alcune piattaforme tra cui Android, iPhone (iOS), Windows Phone 8.x, BlackBerry, BB10 e smartphone Nokia.

Telegram ha oltre 100 milioni di utenti attivi al mese, gestendo più di 15 miliardi di messaggi al giorno. Si tratta di una app mobile e Web di messaggistica cloud-based affermata per la attenzione che pone sulla sicurezza e velocità.