hacker-fhd

Intercettare i messaggi WhatsApp e Telegram è possibile, ma non per colpa loro (video)

Nicola Ligas -

Sia WhatsApp che Telegram adottano da tempo la crittografia end-to-end, che teoricamente mette al sicuro l’utente da possibili intercettazioni. Anche con un attacco di tipo man in the middle, che riuscisse ad insinuarsi nella comunicazione carpendo i pacchetti dei messaggi, tutto ciò che l’attaccante otterrebbe sarebbe del testo criptato indecifrabile. Purtroppo però questo non basta, non quando uno dei protocolli di comunicazione utilizzati presenta delle gravi falle di suo: parliamo nello specifico di SS7.

Signaling System 7 è un set di protocolli usato nelle reti PSTN che principalmente si occupa di gestire attivazione e chiusura delle chiamate e di servizi ad essi correlati. Il problema è che questo presenta anche delle vulnerabilità mai risolte, che consentono l’intercettazione delle comunicazioni, ed una di queste vulnerabilità è alla base degli exploit che trovate illustrati nei video a fine articolo.

LEGGI ANCHE: WhatsApp e Telegram si rincorrono in Brasile

Senza voler scendere nel dettaglio, sfruttando una falla di SS7, l’attaccante riesce a far credere alla rete di avere lo stesso numero di una delle vittime, ed in questo modo riesce a ricrearne l’account WhatsApp o Telegram, ricevendo così il codice che lo autentifichi come legittimo proprietario dello stesso, permettendogli così di inviare e ricevere messaggi a nome della vittima.

Il problema di SS7, nonostante siano noti da tempo i suoi problemi di sicurezza, è che SS7 non è di nessuno, ma è sfruttato da tutti, ovvero non c’è un’azienda precisa che lo possieda e abbia un potere decisionale forte tale da intervenire tempestivamente su queste cose. Si potrebbe quasi dire, se siete cospirazionisti, che non c’è l’interesse nel risolverli, ed indubbiamente, se le app diventano sempre più sicure ed inviolabili, perché non agire su altri fronti?

E sia chiaro che in questo caso specifico parliamo di WhatsApp e Telegram, ma impersonare un numero altrui apre scenari ben più ampi della semplice intercettazione delle due app, scenari che forse a qualcuno non dispiacciono affatto. A gli utenti un po’ meno.

Via: The Next Web
  • Con Telegram il problema è risolvibile impostando una password (Impostazioni > Privacy e Sicurezza > Verifica in due passaggi).
    Per Whatsapp invece è comunque un problema “minore”: appena viene effettuato un accesso da un altro dispositivo sul telefono della vittima dovrebbe comparire una notifica (come si vede nel video) che in pratica dice che il telefono non può più connettersi a Whatsapp e che quindi bisogna rifare l’autenticazione. Non è possibile leggere i messaggi inviati precedentemente (visto che essi non vengono salvati in cloud).

    Si tratta di una vulnerabilità nota dal 2008 circa

    • Andrea__93

      È uno di quegli articoli creati per attrarre click…?

      • Tutte le testate giornalistiche (se così si possono definire) online stanno “spammando” questa notizia negli ultimi giorni. E con loro i vari gruppi di sicurezza informatica su Facebook.
        Articolo clickbait no, visto che alla fine dice la verità, tralasciando solo come un utente può proteggersi. Articolo inutile… neanche visto che molta gente probabilmente non era a conoscenza di questa vulnerabilità (anche se comunque un utente medio può “capirci” ben poco).

        • diesel701

          In effetti era più utile e intelligente inserire nell’articolo dei metodi per potersi salvaguardare, come la verifica in due passaggi su Telegram.

          • s789

            Confermo, speriamo lo aggiungano

          • Entrambe le app avvisano se c’è un accesso da un altro telefono, quindi anche senza verifica in due passaggi la cosa è relativamente sicura. Lo scopo era più mettere l’accento sull’insicurezza di SS7, che sono anni che va avanti e nessuno fa nulla.

          • L0RE15

            sì ma nella realtá delle cose è venuto fuori un bel tutorial per novelli hackers… 🙁

          • diesel701

            Ho inteso, ma è utopia voler cambiare una cosa che da anni è così con un articolo su mobileworld. E’ invece cosa saggia istruire e mettere a conoscenza gli utenti di come proteggersi.
            Mi sembrate le Iene in questo articolo..

        • Andrea__93

          Mi sono informato meglio, la vulnerabilità è abbastanza grave, però a quanto ho capito per sfruttarla è necessario avere accesso alla rete come ISP… Quindi non sarebbe fattibile proprio da chiunque , anche con buone capacità..

          • Non è una cosa fattibile da chiunque ma resta comunque possibile per chi ha le competenze (anche se basta un po’ di inglese visto che è pieno di guide su internet) ed un po’ di soldi. Basta creare un “ripetitore”, far credere al telefono che è un ripetitore del proprio operatore e, una volta che lo smartphone si sarà connesso (essendo la cella più vicina il dispositivo si connetterà subito) “basta” intercettare il traffico.

          • Andrea__93

            Vero, ma quello è un altro metodo. È un man-in-the-middle in pratica..

    • Anche su Telegram arriva un messaggio indicando anche indirizzo IP e luogo
      Bisognerebbe aggiungerlo all’articolo

      • djxkill

        Vero, ed è possibile disattivarlo da remoto in meno di due secondi.

    • djxkill

      Esatto…. concordo a pieno

    • Il punto infatti non è tanto WhatsApp e Telegram, che come detto nel titolo “non è colpa loro”, quanto il fatto che ci siano diverse falle note di cui nessuno si cura in SS7. Non mi pare infatti di aver gridato allo scandalo per le due app in questione.

      • No no, mai detto che la colpa è delle app. Con quel bug si possono intercettare chiamate ed SMS. Whatsapp e Telegram (così come molte altre app di messaggistica e non solo) sono vulnerabili solo perché si autenticano via SMS o via chiamata.

  • djxkill

    Con Telegram si attiva la verifica a due passaggi e passa la paura, poi con le chatcriptate,e presente l’autodistruzione dopo pochi secondi, quindi c’è doppia sicurezza.

    Per whatsapp è un bel casino, perché mentre la vittima se ne accorge, l’hacker si è salvato tutte le conversazioni e ed è un bel problema di sicurezza questo.

    Whatsapp come al solito perde in qualcosa…
    W Telegram

  • thandnow

    Oscurare il numero digitato, ma non mentre digita un singolo numero alla volta alla velocita’ di un bradipo.

    • djxkill

      l’inteliggenza fatta persona 😀 hahaha, mi so fatto tante risate mentre vedevo il video 😀

  • Steve

    meglio telegram… ah, no

    • Andrea__93

      Ah si, Telegram integra la doppia autenticazione: codice SMS + Password. Se viene impostata la password, nell’account non ci entri lo stesso, ed in piu arriva la notifica del tentato accesso. Riprovaci 😉

      • Steve

        che c’entra, è un workaround: di base soffre dello stesso problema. e non è colpa sua, nè di whatsapp quindi il vero problema è chi tifa per un’app o un’altra come te (la mia era ironia proprio verso i fanboy telegram)

        • Dino Nicotera

          hanno implementato questa tecnologia, la colpa è di chi l’ha scelta… Colpevoli entrambi!

          • Andrea__93

            Anch’io avrei preferito che ci fosse anche la possibilità di registrarsi utilizzano soltanto un nickname o una mail. Però per validare un numero di telefono c’è soltanto quel modo. Non è che possono richiedere la carta di identità e il contratto con l’operatore per verificarlo xD

        • Andrea__93

          Non soffre dello stesso problema, o per lo meno non se lo conosci a fondo e sai impostarlo per bene. Se è per questo qualsiasi servizio offerto su internet è vulnerabile se non si imposta una password complessa o se nom si utilizzano ulteriori protezioni che eventualmente sono offerte (ad es autenticazione a due fattori, verifica con token, etc)

      • Be, WhatsApp lo puoi usare su un solo telefono alla volta allora, quindi se qualcuno “ti clona” te ne accorgi facilmente

  • Tiwi

    video veramente inutili! personalmente, preferisco telegram, in ogni caso, devo dire che questo sistema è davvero INUTILE!
    1) appena l’hacker effettua l’accesso su wa, l’account hackerato si blocca! quindi la persona si accorge subito di quanto successo!
    2) su telegram arriva subito il messaggio della nuova sessione! e quindi anche in questo caso l’utente si accorge subito di quanto accaduto!
    3) telegram ha anche la verifica in 2 passaggi! in cui bisogna inserire una password personale! e quindi quanto visto nel video non funziona!
    4) nelle chat segrete, come più volte sottolineato da telegram, si rimane tranquilli della privacy…

    • Federico

      Infatti.
      Non ho esperienza in Telegram (immagino sia lo stesso) ma su Whatsapp si viene immediatamente avvertiti quando il fingerprint del corrispondente cambia.
      E’ un attacco che anche ammesso di riuscirci non serve a nulla.