Modificare i messaggi WhatsApp all'interno dei gruppi è possibile

Con oltre 1 miliardo di utenti e oltre 60 miliardi di messaggi smistati ogni giorno WhatsApp ha cominciato a evidenziare qualche problema con la diffusione delle cosiddette “fake news“, notizie fasulle che nel client di messaggistica istantanea di proprietà di Facebook hanno trovato terreno fertile per proliferare: Fake news: cosa sono, come riconoscerle e perché sono diventate un problema. Tanto che i tecnici di WhatsApp hanno dovuto imporre dei limiti per l’inoltro di messaggi contraddistinti da particolari caratteristiche, simili a quelle proprie delle fake news.

I tecnici di Check Point hanno lanciato l’allarme dopo la scoperta di una lacuna di WhatsApp che permetterebbe una propagazione ancora più rapida delle fake news.

Gli esperti dell’azienda israeliana produttrice di dispositivi di rete e software, specializzata in prodotti relativi alla sicurezza quali firewall e VPN, hanno accertato che un utente malintenzionato, partecipante a un qualunque gruppo WhatsApp, può modificare i messaggi altrui e citarli “mettendo in bocca” altrui, o meglio nei “polpastrelli” di altri utenti, parole mai pronunciate. Inoltre, può inviare messaggi ad alcuni membri del gruppo escludendone altri: un’operazione del genere porterà a reazioni davvero curiose e indurrà alcuni individui ad esprimersi personalmente su temi che avrebbero dovute essere mantenuti riservati.

Le varie modalità di attacco individuate dai tecnici di Check Point sono riassunte nel video che ripubblichiamo di seguito.

È vero che WhatsApp usa un efficace algoritmo di cifratura end-to-end ma chi partecipa attivamente a una conversazione (ad esempio a un gruppo) possiede ovviamente la chiave per la decodifica dei messaggi.
Convertendo i dati scambiati usando il protocollo protobuf2 in flussi JSON Check Point ha potuto alterare le informazioni e modificare le conversazioni all’interno del gruppo WhatsApp (allo scopo è stato utilizzato il software Burp Suite Professional insieme con l’estensione per la decodifica dei pacchetti dati WhatsApp).

L’analisi tecnica dell’aggressione descritta da Check Point è disponibile a questo indirizzo.