Basta il tuo numero di telefono per disattivarti per sempre il profilo WhatsApp: il nuovo attacco
Sulla piattaforma di messaggistica WhatsApp ormai truffe online e altri raggiri sono piuttosto diffusi, ma si concentrano per lo più su campagne di phishing e furti di identità. Meno diffuso ma ugualmente pericoloso è uno degli ultimi attacchi sui quali i ricercatori hanno lanciato l'allarme in questi giorni: un sistema capace di disabilitare per ore, e potenzialmente per sempre, il profilo WhatsApp di qualunque individuo, impedendogli di recuperare l'accesso al servizio e alle relative conversazioni.
Chi realizza l'attacco deve semplicemente conoscere il numero di telefono della vittima, e immetterlo come se fosse il proprio numero dopo aver installato WhatsApp su un nuovo telefono. A questo punto il servizio invia un codice di conferma al numero di telefono della vittima, che lo riceve via SMS ma che non sa cosa farsene. L'hacker in effetti non ha alcuna intenzione di entrare nel profilo preso di mira, ma continua a immettere codici sbagliati per far sì che il servizio si accorga che qualcosa non va; puntualmente, dopo un numero di tentativi errati, WhatsApp blocca per 12 ore l'immissione di nuovi codici di accesso. La vittima nel frattempo non ha ancora idea di cosa stia succedendo.
A questo punto chi realizza l'attacco utilizza un indirizzo email a piacimento per scrivere al supporto di WhatsApp, denunciando un furto al suo profilo e immettendo il numero di telefono della vittima. La risposta è automatizzata e rappresenta una vulnerabilità non da poco: il sistema di gestione degli account infatti dà per scontato che il mittente dell'email sia il legittimo proprietario dell'account WhatsApp, e dando per buono il racconto del furto disattiva il profilo legato al numero.
È a questo punto che la vittima si accorge di ciò che è successo: cacciata fuori improvvisamente dal proprio profilo, prova a riautenticarsi; il processo di immissione dei codici di sicurezza però è ancora bloccato per ore dalle attività che l'hacker ha svolto in precedenza proprio a questo scopo. Se il cybercriminale riesce a ripetere il processo altre due volte, un bug di WhatsApp manda in tilt il conto alla rovescia che da 12 ore passa a un numero negativo; l'errore blocca per sempre la possibilità di riattivare l'account, se non tentando di raggiungere il supporto tecnico via email nonostante questa strada sia appena stata battuta dall'hacker.
Questo tipo di attacco è differente da quelli documentati finora: non cerca di ottenere la fiducia del maggior numero di utenti possibile per truffarne una percentuale, bensì è diretto a persone specifiche e ha lo scopo di impedire loro di utilizzare il servizio di messaggistica. Il suo scopo molto preciso dovrebbe rassicurare la maggior parte delle persone; d'altro canto però la facilità con la quale si può portare a termine è preoccupante.
