Una falla in WhatsApp ha esposto i numeri di telefono di 3,5 miliardi di utenti
Articolo Precedente
Articolo Successivo
Redazione Scienza e Tecnologia
-
La comodità che ha decretato il successo planetario di WhatsApp, ossia la facilità con cui si aggiunge un nuovo contatto semplicemente inserendo il suo numero in rubrica, si è rivelata un'arma a doppio taglio di portata inimmaginabile. Quel meccanismo di "discovery", progettato per essere immediato e fluido, ha infatti permesso a un team di ricercatori delle università di Vienna e di SBA Research di raccogliere dati su scala globale, tra dicembre 2024 e aprile 2025, senza dover violare server o eludere complessi sistemi di sicurezza. L'unica azione necessaria è stata sfruttare in modo metodico e massiccio quella funzione che, interrogando il sistema con sequenze di numeri di telefono, restituisce automaticamente la conferma dell'iscrizione al servizio e, in molti casi, anche la foto del profilo e il nome associato all'utente.
Il metodo dietro la raccolta dei dati
Quando questo processo, che ogni utente compie in modo sporadico, viene ripetuto in maniera automatizzata e sistematica per miliardi di combinazioni possibili, esso si trasforma in uno strumento di enumerazione potentissimo. I ricercatori, il cui obiettivo era accertare la persistenza di questa vulnerabilità, hanno così potuto mappare la presenza di account attivi in 245 Paesi diversi, comprese nazioni dove l'applicazione è formalmente vietata, come la Cina, il Myanmar e la Corea del Nord. Il risultato, che loro stessi hanno definito come la più ampia esposizione di numeri di telefono mai documentata, ha riguardato un totale di 3,5 miliardi di account, inclusi oltre 55 milioni di numeri italiani, mettendo in luce una falla strutturale che era presente da anni.
L'intervento di Meta e le implicazioni
La scoperta ha costretto Meta, la società madre di WhatsApp, a intervenire per correggere il problema, sebbene l'incidente sollevi interrogativi più profondi riguardo all'utilizzo del numero di telefono come identificativo unico e ineludibile. Se da un lato, infatti, la società ha tempestivamente tappato la fessura nel sistema, dall'altro l'episodio dimostra come una funzionalità concepita per la massima semplicità d'uso possa, se non adeguatamente protetta, diventare un vettore per raccolte di dati su larga scala. La vicenda, per fortuna portata alla luce da un'indagine accademica e non da soggetti malintenzionati, evidenzia i rischi intrinseci in un modello che affida a una stringa numerica, potenzialmente prevedibile, la chiave di accesso a un servizio così pervasivo.
Una vulnerabilità sistemica e i suoi rischi
Il fatto che non sia stato necessario alcun attacco informatico in senso stretto, ma solo l'uso intensivo di una feature legittima, delinea un perimetro di vulnerabilità che va oltre i consueti scenari di hacking. Quella che poteva sembrare una semplice comodità per l'utente si è rivelata, in potenza, una porta socchiusa su informazioni personali di miliardi di persone; informazioni che, se cadute in mani diverse, avrebbero potuto alimentare campagne di phishing, furto di identità o semplicemente violare la privacy su un livello mai visto. L'episodio, per come si è sviluppato, ha quindi il merito di aver costretto a una riflessione urgente sull'architettura stessa di servizi dai quali ormai dipendiamo quotidianamente.
