I ricercatori di sicurezza hanno identificato una falla in WhatsApp e Signal che permette a terze parti di monitorare l’attività degli utenti quasi in tempo reale. Il problema è legato a come entrambi i servizi di messaggistica gestiscono le ricevute di consegna, che confermano che un messaggio è arrivato a un dispositivo. Inviando ripetutamente messaggi e misurando il tempismo delle risposte, un osservatore può determinare se un bersaglio è online, offline o sta attivamente usando il proprio telefono. Il processo non attiva notifiche, lasciando gli utenti all’oscuro della presenza di monitoraggio.
I ricercatori hanno affermato che la tecnica si basa sull’analisi di piccole variazioni nei tempi di risposta della rete. Queste differenze possono rivelare quando un dispositivo si connette o si disconnette dalla rete e quando un utente diventa attivo dopo un periodo di inattività. Poiché le ricevute di consegna sono una parte fondamentale del processo di messaggistica, gli utenti non possono disattivarle tramite le impostazioni standard sulla privacy. Questo rende difficile bloccare il comportamento senza modifiche al sistema sottostante utilizzato dalle app.
Oltre a rivelare i pattern di attività, il metodo può essere utilizzato per drenare le risorse del dispositivo. La sondaggia ad alta frequenza aumenta l’uso di dati in background e il consumo di batterie. Col tempo, questo può ridurre la durata della batteria e influire sulle prestazioni del dispositivo anche quando l’utente non è attivamente attivo con le app. I ricercatori hanno osservato che questo aspetto del difetto ne aumenta il potenziale impatto perché combina esposizione alla privacy con esaurimento delle risorse.
Il problema riguarda sia WhatsApp che Signal perché condividono scelte di design simili nel modo in cui vengono gestite le conferme di consegna. Le ricevute di consegna differiscono dalle ricevute di lettura, che indicano se un messaggio è stato aperto e di solito possono essere disabilitate dagli utenti. Le ricevute di consegna confermano la ricezione a livello tecnico e rimangono attive di default. I ricercatori hanno affermato che questa scelta progettuale espone involontariamente informazioni temporali che possono essere sfruttate.
Gli specialisti della sicurezza hanno affermato che la vulnerabilità evidenzia sfide più ampie nella protezione della privacy degli utenti nelle piattaforme di messaggistica su larga scala. Le funzionalità progettate per migliorare l’affidabilità possono anche creare canali secondari che rivelano dati comportamentali. Limitare il contatto con numeri sconosciuti può ridurre l’esposizione, ma non affronta completamente il problema di fondo. Disabilitare le ricevute di lettura non offre alcuna protezione contro questa forma di tracciamento.
I ricercatori hanno affermato che affrontare il problema probabilmente richiederebbe modifiche al modo in cui vengono gestite le conferme di consegna a livello di protocollo. Fino a quando tali cambiamenti non saranno apportati, gli utenti preoccupati per il tracciamento dovrebbero essere consapevoli che il loro stato online e i loro modelli di attività possono essere dedotti senza accesso diretto ai loro account. Il risultato sottolinea la complessità del bilanciamento tra funzionalità e privacy nei servizi di comunicazione ampiamente utilizzati.