WhatsApp: rubare il profilo diventa banale

Avevamo parlato in un articolo precedente di come WhatsApp fosse considerato da parte del capo di Telegram, Pavel Durov, poco sicuro. Attraverso un indirizzo email e il numero di telefono della vittima, gli hacker possono “rubare” un profilo WhatsApp in maniera banale, senza troppi problemi.

Il problema è piuttosto serio. Due ricercatori di sicurezza, Luis Marquez Carpintero ed Ernesto Canales Pereña hanno dimostrato che chiunque potrebbe potenzialmente prendere possesso di un account WhatsApp utilizzando una procedura assolutamente facile.

La cosa incredibile è che questa procedura sfrutta un meccanismo di sicurezza implementato in WhatsApp per verificare gli account.

In pratica, se si conosce il numero di telefono della vittima e si ha un indirizzo email valido è possibile “sfrattare” il legittimo titolare di un account WhatsApp e insediarsi al suo posto.

Come funziona

Il funzionamento della procedura, dicevamo, è semplice: addirittura banale.

La prima cosa che l’hacker farà sarà installare una copia pulita di WhatsApp su uno smartphone nuovo. In seguito poi indicherà il numero di telefono dell’ignara vittima quando la procedura di attivazione del profilo lo richiederà.

A questo punto WhatsApp procederà alla verifica del numero di telefono inviando il codice di verifica al telefono della vittima. Ovviamente l’hacker non ha accesso al telefono della vittima e quindi inserirà dei codici a caso fino a quando WhatsApp, rilevando questa cosa come potenzialmente pericolosa, blocca l’account della vittima per 12 ore.

Da questo punto in poi scatta la parte subdola dell’operazione. L’hacker, infatti, spacciandosi per la vittima, invia una email al supporto tecnico di WhatsApp affermando che il telefono sul quale è stato inviato il codice da digitare per l’autenticazione nel profilo è stato rubato oppure smarrito.

Quindi si ha la necessità di attivare il profilo su un nuovo numero. WhatsApp in seguito a questa richiesta effettua una semplice verifica dell’autenticità dell’email e poi sblocca il profilo sul “nuovo” telefono, ovvero sul telefono dell’hacker. A questo punto si ritroverà con il profilo della vittima sbloccato e funzionante sul suo smartphone.

Come risolvere

Una volta che l’hacker è entrato in possesso del profilo della vittima, per quest’ultima le cose si complicano.

L’unico modo per rientrarne in possesso, difatti, è quello di ripetere esattamente tutta la procedura utilizzata dall’hacker, ovvero reinstallare WhatsApp, cioè immettere un codice sbagliato fino a bloccare il profilo e inviare l’email a WhatsApp. Ovviamente, questa procedura non potrà essere ripetuta all’infinito, ma solo per tre volte prima di bloccare il profilo abbinato.

Fortunatamente questa procedura non permette all’hacker di leggere i messaggi e la cronologia delle conversazioni effettuate e ricevute, visto che questi dati sono memorizzati sullo smartphone della vittima che, si spera, è inaccessibile all’hacker.