Allarme WhatsApp e Signal: phishing russo conquista account VIP, non serve violare la crittografia

Negli ultimi mesi sono aumentati gli attacchi di phishing mirati a prendere il controllo di account su app di messaggistica come WhatsApp e Signal. Le autorità di cybersicurezza statunitensi hanno segnalato campagne attribuite a gruppi legati all’intelligence russa con un obiettivo preciso: colpire persone di alto valore informativo, tra cui funzionari pubblici attuali o passati, militari, figure politiche e giornalisti.

Su scala globale questi tentativi avrebbero già portato ad accessi non autorizzati a migliaia di account.

Il punto chiave è che non si tratta di una violazione della crittografia o di vulnerabilità tecniche delle piattaforme. Il successo dell’attacco dipende quasi interamente dall’ingegneria sociale. Le vittime ricevono messaggi che simulano comunicazioni di assistenza e creano urgenza, ad esempio avvisi su presunte attività sospette, tentativi di accesso da un dispositivo sconosciuto o da una posizione insolita. Lo scopo è indurre l’utente a cliccare un link, scansionare un codice QR oppure condividere codici di verifica e PIN.

Le tecniche osservate possono portare a due scenari principali.

• Primo scenario: la vittima consegna il PIN o il codice di verifica e l’attaccante usa quelle informazioni per recuperare l’account e bloccare l’accesso al legittimo proprietario. In questa situazione l’aggressore non ottiene necessariamente i messaggi passati, ma può monitorare le nuove conversazioni e inviare messaggi spacciandosi per la vittima.
• Secondo scenario: la vittima clicca il link o scansiona un QR e collega un dispositivo controllato dall’attaccante al proprio account. Qui il rischio è più elevato perché il dispositivo collegato può accedere anche ai messaggi precedenti, mentre la vittima potrebbe non accorgersi subito della compromissione se non controlla le impostazioni.

Una volta ottenuto l’accesso, gli attori malevoli possono leggere chat e rubriche, inviare messaggi con identità fidata e avviare phishing secondario verso contatti e reti professionali. Per ridurre il rischio è fondamentale non condividere mai codici SMS, PIN o codici di verifica, diffidare di richieste inattese, controllare con attenzione i link e verificare periodicamente i dispositivi collegati rimuovendo quelli sospetti.