La rivelazione da parte di WhatsApp di proprietà di Facebook di un difetto di sicurezza che consente agli hacker di iniettare spyware sugli smartphone ha sollevato nuove preoccupazioni sulla sicurezza dell'ecosistema mobile.

Ecco cinque domande e risposte chiave:

Che fine ha fatto WhatsApp?

La falla di sicurezza nell'app di messaggistica WhatsApp potrebbe consentire a un utente malintenzionato di iniettare malware per accedere a smartphone Android o Apple.

WhatsApp ha corretto il difetto questa settimana dopo essere stato informato che lo spyware veniva utilizzato per tracciare attivisti e avvocati per i diritti umani.

I ricercatori della sicurezza ritengono che gli aggressori abbiano utilizzato il potente spyware Pegasus del gruppo NSO con sede in Israele. Secondo una recente analisi del software da parte della società di sicurezza Lookout, Pegasus può "sovvertire" la sicurezza del dispositivo e "rubare l'elenco dei contatti della vittima e la posizione GPS, oltre che personale, Wifi, e le password del router memorizzate sul dispositivo."

L'infezione potrebbe attecchire con una semplice chiamata tramite WhatsApp. A peggiorare le cose, le vittime potrebbero non sapere che i loro telefoni sono stati infettati perché il malware ha permesso agli aggressori di cancellare la cronologia delle chiamate.

Questa consegna è stata "particolarmente spaventosa, " ha affermato il ricercatore di sicurezza John Dickson del Denim Group, perché ha infettato i dispositivi senza alcuna azione dell'utente.

"Normalmente un utente deve fare clic su qualcosa o accedere a un sito, ma qui non era così, " disse Dickson. "E una volta che (l'attaccante) è entrato, possiedono il dispositivo, possono fare qualsiasi cosa".

Di chi è la colpa?

Mentre il difetto è stato scoperto in WhatsApp, gli esperti di sicurezza affermano che qualsiasi applicazione avrebbe potuto essere un "veicolo" per il payload dello spyware.

"Non siamo ancora stati in grado di scrivere software che non abbia bug o difetti, " ha detto Joseph Hall, capo tecnologo per il Center for Democracy &Technology, un gruppo per i diritti digitali.

Hall ha affermato che la crittografia in WhatsApp non è stata violata e che "la risposta di Facebook è stata estremamente veloce".

Marc Lueck della società di sicurezza Zscaler ha affermato che in base alla risposta di Facebook, "Dovresti fare loro i complimenti per averlo scoperto in primo luogo, questa era una vulnerabilità molto profonda."

L'intrusione su WhatsApp "non era un attacco alla crittografia, è stato un attacco a un altro elemento dell'applicazione", ha affermato Lueck.

La crittografia è ancora utile?

La crittografia rimane una caratteristica importante stabilendo un "tunnel" sicuro tra due parti che verifica le loro identità, ha notato Lueck.

"La crittografia non è importante solo per la privacy, è importante per la fiducia, " Egli ha detto.

La crittografia utilizzata da WhatsApp e altre applicazioni di messaggistica impedisce l'intercettazione di messaggi e conversazioni ma non protegge da un attacco che acceda al dispositivo stesso, nota dei ricercatori.

"La crittografia end-to-end non protegge dagli attacchi al tuo endpoint, vero. E le cinture di sicurezza e gli airbag non fanno nulla per impedire che la tua auto venga colpita da un meteorite, " ha twittato Matt Blaze, un esperto di sicurezza informatica della Georgetown University.

"Anche se nessuno dei due protegge da ogni possibile danno, entrambi rimangono le difese più efficaci contro un danno molto comune."

Dickson ha detto che mentre nessuna crittografia è infallibile, l'unico modo per evitare completamente l'hacking sarebbe evitare del tutto l'elettronica:"Potresti usare ragazzi a cavallo".

Devo preoccuparmi di essere attaccato?

Laboratorio cittadino, un centro di ricerca presso l'Università di Toronto, ha affermato in un rapporto del 2018 di aver trovato infezioni da spyware Pegasus in 45 paesi, con 36 "probabili operatori governativi".

NSO sostiene di fornire il proprio software per legittime forze dell'ordine e scopi di intelligence. Ma i ricercatori di Toronto hanno affermato che è stato ottenuto da paesi con "dubbi" precedenti sui diritti umani e hanno suggerito che potrebbe essere stato utilizzato dall'Arabia Saudita per rintracciare e uccidere il giornalista dissidente Jamal Khashoggi.

I ricercatori di Citizen Lab hanno scritto sul Globe &Mail di aver "scoperto almeno 25 casi di targeting abusivo di gruppi di advocacy, avvocati, scienziati e ricercatori, investigatori su sparizioni di massa e membri dei media”.

Ma Lueck ha affermato che programmi come Pegasus sono estremamente costosi e non possono essere facilmente monetizzati dagli hacker a scopo di lucro.

"La tua persona media non è l'obiettivo di questo specifico software, che è costruito per vendere ai governi per prendere di mira gli individui e non funziona su larga scala, " Egli ha detto.

Ancora, Lueck ha affermato che il difetto sottolinea il fatto che "l'ecosistema dei telefoni cellulari è diventato una piattaforma insicuro e vulnerabile quanto il computer".

I governi hanno bisogno di strumenti digitali migliori?

Le rivelazioni arrivano mentre i governi cercano strumenti migliori per tenere traccia di criminali ed estremisti utilizzando la messaggistica crittografata. Una legge australiana richiede ai giganti della tecnologia di rimuovere le protezioni elettroniche e aiutare con l'accesso a dispositivi o servizi.

Le forze dell'ordine si sono lamentate di "andare al buio" di fronte alle comunicazioni elettroniche crittografate mentre indagano su gravi crimini come terrorismo e reati sessuali su minori.

Ma Hall ha affermato che le notizie su Pegasus mostrano che i governi dispongono di strumenti per sfruttare i difetti del software per obiettivi specifici senza indebolire la crittografia e la privacy per tutti gli utenti.

"Puoi indirizzare la consegna a persone specifiche piuttosto che irrompere nel telefono di tutti contemporaneamente, " Egli ha detto.

© 2019 AFP