Spiare qualsiasi account WhatsApp usando la segreteria telefonica

La tecnica che oggi vi voglio mostrare vi permetterà di entrare nell’account WhatsApp di qualsiasi persona, senza dover avere accesso fisico allo smartphone della vittima. Si tratta di una procedura che ho scoperto molti anni fa (2014/2015) e che solo oggi vi rivelo per evitare che malintenzionati potessero spiare la chiunque sulla più famosa piattaforma di messaggistica al mondo. Ho deciso infatti di scrivere questo articolo a distanza di 5/6 anni dal momento in cui ho scoperto questa falla di sicurezza in quanto ad oggi la procedura, per quanto sempre funzionante, risulta più complessa da applicare, essendo necessario un codice di verifica aggiuntivo impostato da parte dell’utente (ma anche di questo ne parleremo tra poco).

Partiamo dal principio e cerchiamo di capire come sia possibile autenticarsi su WhatsApp. Nel momento in cui installiamo la famosa applicazione, verrà richiesto di inserire il numero di telefono per il quale vogliamo effettuare l’accesso. L’utente, a quel punto, riceverà nell’arco di pochi secondi un SMS contenente un codice che servirà a verificare l’identità del soggetto. Se il codice inserito è corretto, si avrà accesso all’account WhatsApp per quel numero di telefono, con la possibilità di effettuare il download delle conversazioni salvate in Cloud (ed eventualmente anche dei contenuti multimediali, se l’utente ha deciso di effettuarne il backup).

La possibilità di violare qualsiasi account WhatsApp sta proprio nel passaggio appena illustrato. Se facciamo attenzione ai dettagli dello screenshot qui sopra, noterete che oltre alla ricezione di un codice per SMS è disponibile l’opzione “CHIAMAMI”. In poche parole, WhatsApp permette di poter ricevere una telefonata in cui una voce automatizzata leggerà il codice inviato per SMS. Cosa accade però, se nel momento in cui la telefonata da parte di WhatsApp viene ricevuta, il numero risulta occupato? Nella maggior parte dei casi, si attiverà la segreteria telefonica, la quale registrerà il messaggio in entrata (che guarda caso, questa volta conterrà esattamente il codice di accesso WhatsApp).

Accedere alla segreteria telefonica di un’altra persona

Il titolo di questo paragrafo è abbastanza autoesplicativo e qualcuno di voi avrà già iniziato a capire dove voglio andare a parare e quale sia il problema di sicurezza verso il quale mi sto dirigendo. Il fatto di ricevere una telefonata contenente il numero di autenticazione WhatsApp di per se non è un problema. Inoltre, se la linea telefonica dell’utente è momentaneamente occupata, anche il fatto di ritrovarsi in segreteria un messaggio contenente il codice di accesso WhatsApp potrebbe non essere un grosso problema… se non fosse che chiunque può accedere ad una segreteria telefonica di terzi senza particolari difficoltà!

Facciamo un riepilogo, prima di procedere, immedesimandoci in un utente che vuole accedere al proprio account WhatsApp dopo aver cambiato telefono:

  • Installazione di WhatsApp
  • Inserimento del proprio numero di cellulare
  • L’utente non riceve l’SMS o preferisce ricevere una telefonata contenente il numero di autenticazione e quindi preme sul bottone “CHIAMAMI”
  • Nel frattempo, l’utente riceve una telefonata occupando così la linea telefonica
  • Il sistema di WhatsApp, telefonando all’utente, trova la linea occupata. Si attiva la segreteria telefonica, nella quale la voce registrata di WhatsApp andrà a memorizzare il codice di autenticazione
  • L’utente, una volta terminata la telefonata, ascolta la segreteria telefonica, ottenendo così il codice da immettere su WhatsApp
  • L’utente effettua correttamente l’accesso al proprio account

Un potenziale attaccante, quindi, utilizzerà il proprio smartphone per accedere con il numero di telefono della vittima, andrà ad occupare la linea telefonica di quest’ultima e successivamente entrerà nella segreteria telefonica dello stesso numero per recuperare il codice di accesso WhatsApp. Schematicamente, la situazione sarà la seguente:

  • Installo WhatsApp
  • Inserisco il numero di telefono della vittima
  • Telefono alla vittima o faccio in modo tale che la linea risulti occupata
  • Chiedo a WhatsApp di indicare il codice a doppia autenticazione mediante telefonata
  • Dopo qualche minuto, accedo alla segreteria telefonica della vittima
  • Recupero il codice memorizzato in segreteria telefonica
  • Inserisco il codice della doppia autenticazione su WhatsApp

Ma come si accede alla segreteria telefonica di un’altra persona?
Le tecniche sono molteplici e per scegliere quale utilizzare è necessario fare una serie di test anche in base al gestore telefonico utilizzato dalla vittima. Per ovvi motivi non descriverò nel dettaglio ogni singola tecnica, ma vi darò semplicemente qualche spunto su come possano funzionare le due principali metodologie:

  • Spoofing Telefonico – tecnica che permette di modificare il numero telefonico del mittente. Impersonandoci nel numero della vittima, andando a chiamare la segreteria telefonica, questa ci farà accedere alla casella del numero dal quale riceve la chiamata.
  • Accesso alla segreteria dall’estero – quando si è all’estero, è possibile accedere alla casella telefonica digitando un numero indicato dal gestore telefonico. Una volta chiamato questo servizio, ci verrà chiesto di indicare il numero di telefono del quale vogliamo ascoltare i messaggi memorizzati ed una password numerica, che di default è 1234, oppure 123456 e similari. Nel 90% dei casi, nessuno cambia la password di accesso per la segreteria dall’estero.

Come difendersi?

Fortunatamente, nel tempo, WhatsApp ha introdotto la necessità per l’utente di impostare un codice a 6 cifre aggiuntivo, rispetto alla password inviata mediante SMS/telefonata. Così facendo, anche nel caso in cui un eventuale attaccante fosse in grado di recuperare il primo codice, dovrebbe conoscere anche quello impostato dall’utente-vittima. Dobbiamo però considerare che 6 cifre sono esattamente quelle necessarie ad indicare una data di nascita, motivo per cui, nella maggior parte dei casi, sarà abbastanza semplice risalire alla password accessoria impostata dall’utente.

Un utile suggerimento, è anche quello di modificare la password di default di accesso alla segreteria telefonica in caso di chiamata dall’estero.

3 commenti
  1. Con il metodo qui indicato non riesci a “spiare” le attività effettuate su WhatsApp da un utente in quanto le conversazioni sono salvate esclusivamente sui client (smartphone).
    Inoltre poiché WhatsApp non permette sessioni simultanee da più client (e.g. una numerazione può essere associata a un solo numero mobile), l’account della vittima viene disconnesso e la vittima si accorge istantaneamente di essere stata esclusa dal proprio account ed ha la possibilità di effettuare di nuovo il login (e se è una persona accorta si insospettisce pure). Inoltre tutti gli utenti con cui la vittima ha avuto contatti ricevono notifica del cambio della chiave di cifratura E2E, cosa che tipicamente avviene al cambio di dispositivo.
    Il trucco, infine, non è efficace nel caso in cui sia attivo l’avviso di chiamata, ovvero nel caso in cui sia ammessa la ricezione di più telefonate in contemporanea, e nel caso (chiaramente) in cui le deviazioni di chiamata non siano attive .

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Articoli simili
Continua

Recuperare messaggi Whatsapp

Nell’articolo di oggi andremmo a vedere come recuperare messaggi Whatsapp, anche se cancellati, dal proprio smartphone, sia esso…