Prima di procedere
Nel panorama della sicurezza informatica del 2026, dove la protezione della privacy è diventata la priorità assoluta per miliardi di utenti, emerge una scoperta inquietante che mette in discussione la solidità di due colossi della messaggistica istantanea. Un gruppo di esperti di sicurezza presso l'Università di Vienna, sotto la guida autorevole di Max Guenther, ha identificato una vulnerabilità fondamentale che affligge sia WhatsApp che Signal. Questa falla non riguarda il contenuto dei messaggi, protetto dalla crittografia end-to-end, ma i metadati temporali legati alla notifica di consegna, permettendo potenzialmente a un malintenzionato di localizzare un utente conoscendo esclusivamente il suo numero di telefono.
Il cuore del problema risiede nel meccanismo delle cosiddette spunte di consegna. In applicazioni come WhatsApp e Signal, una singola spunta indica che il messaggio ha raggiunto correttamente il server, mentre la seconda spunta appare nel momento esatto in cui il pacchetto dati viene ricevuto dal dispositivo del destinatario. È proprio in questo minuscolo intervallo temporale, tecnicamente definito Round Trip Time (RTT), che si annida il pericolo. A differenza delle conferme di lettura, che possono essere disattivate e richiedono l'apertura manuale dell'app, le notifiche di consegna sono processi automatici del sistema che avvengono in background, anche se il messaggio finisce nella cartella spam o se l'utente non interagisce minimamente con lo smartphone.
Secondo quanto documentato da Max Guenther e dal suo team di ricerca in Austria, un utente malevolo può utilizzare uno script automatizzato per misurare con precisione millimetrica il tempo necessario affinché il segnale di ritorno della consegna giunga al mittente. Attraverso l'analisi statistica di queste fluttuazioni di tempo, è possibile dedurre informazioni sensibilissime. Ad esempio, il valore dell'RTT tende a ridursi sensibilmente quando il dispositivo bersaglio è sbloccato o attivamente utilizzato, rispetto a quando si trova in modalità standby o con lo schermo bloccato. Questo permette di mappare le abitudini d'uso della vittima, identificando i momenti di veglia e di sonno con estrema accuratezza.
Il rischio di sorveglianza si estende però ben oltre il semplice monitoraggio dell'attività. Analizzando la stabilità e la latenza dei segnali, l'attaccante può distinguere se lo smartphone è collegato a una rete Wi-Fi domestica, a una rete aziendale o se sta effettuando uno switch tra diverse torri della rete cellulare 5G o 6G. Un dispositivo aziendale connesso a una rete fissa mostrerà valori molto più costanti rispetto a un telefono personale in movimento. Incrociando questi dati con tecniche di triangolazione basate sulla latenza di rete, è possibile stimare la posizione geografica del bersaglio con un margine d'errore sorprendentemente basso, trasformando una funzione di cortesia in un potente strumento di spionaggio nelle mani di stalker o agenzie governative non autorizzate.
Per condurre questo tipo di attacco, come sottolineato dai ricercatori dell'Università di Vienna, non sono necessarie apparecchiature costose o competenze da hacker d'elite. Gli strumenti per l'analisi del traffico e della latenza sono ampiamente disponibili su piattaforme come GitHub, rendendo la tecnica accessibile a chiunque abbia minime basi di programmazione. La gravità della situazione ha spinto Meta, l'azienda madre di WhatsApp, a riconoscere il valore della ricerca premiando il team di Guenther con una ricompensa di 7.000 dollari tramite il suo programma di bug bounty. Al contrario, Signal, operando come organizzazione non profit, pur prendendo atto del problema, non ha potuto offrire compensi economici, evidenziando le diverse dinamiche finanziarie che regolano lo sviluppo delle app di comunicazione sicura.
Risolvere definitivamente questa vulnerabilità rappresenta una sfida tecnica quasi insormontabile. La funzione di notifica di consegna è considerata essenziale per l'esperienza utente ed è integrata profondamente nei protocolli di comunicazione standard. Attualmente, sia Meta che Signal hanno introdotto misure di mitigazione come il rate limiting, ovvero un limite alla frequenza con cui i messaggi possono essere inviati per impedire la raccolta massiva di dati temporali. Tuttavia, gli esperti avvertono che queste barriere possono solo rallentare l'attaccante, senza eliminare del tutto la possibilità di estrarre informazioni. Nel contesto geopolitico e tecnologico del 2026, questa scoperta serve da monito: anche le tecnologie che riteniamo più sicure possono nascondere vulnerabilità strutturali derivanti da funzioni apparentemente innocue.
