Da quando è stata introdotta la crittografia end-to-end, molti utenti hanno iniziato a pensare che le comunicazioni che avvengono tramite app come WhatsApp o Telegram siano assolutamente sicure.

Una ricerca di Symantec ha però scoperto che quel tipo di app è vulnerabile a un particolare tipo di attacco, denominato Media File Jacking, che consente al suo autore di manipolare i file multimediali.

Symantec ha individuato la causa di tutto nel fatto che i file audio, video e immagine (ma anche i documenti) possono essere salvati, nei sistemi Android, sulla memoria esterna dello smartphone: è l'impostazione predefinita per WhatsApp, ed è un'opzione che anche molti utenti di Telegram adottano tramite la voce Salva nella Galleria (sebbene non sia attiva di default).

Leggi anche:

WhatsApp, due account sullo stesso telefono? Ora si può

WhatsApp, basta un'email per disattivare qualsiasi account

WhatsApp, ora i messaggi si possono modificare dopo l'invio

WhatsApp: debuttano gruppi più grandi, sondaggi e Community

Il problema è che le app installate sullo smartphone possono accedere ai file conservati nella memoria esterna, visualizzarli e anche sovrascriverli, e possono farlo anche se essi sono stati creati da altre applicazioni.

Si capisce quindi dove stia il pericolo: un'app malevola presente su un dispositivo può intercettare e manipolare i file che vengono inviati dagli utenti, diffondendo informazioni false o attuando vere e proprie truffe, senza che nessuna delle parti della conversazione se ne accorga.

«Gli autori di un attacco di questo tipo» - scrivono i ricercatori di Symantec - «possono trarre vantaggio dalle relazioni di fiducia che intercorrono tra il mittente e il destinatario quando si usano queste applicazioni di IM, per guadagno personale o per creare confusione».

Ti raccomandiamo anche:

WhatsApp, arriva il blocco degli screenshot

Telegram, in arrivo una versione Premium a pagamento

WhatsApp, i messaggi crittografati non sono poi così privati

Scarica app truffa dall'App Store, perde 600.000 dollari in Bitcoin

Per il momento, l'unico sistema che gli utenti di Android possono adottare per difendersi consiste nell'evitare il salvataggio dei file su memoria esterna.

In WhatsApp si tratta di aprire il menu Impostazioni -> Chat e disattivare la voce Visibilità dei media. Per quanto riguarda Telegram, invece, il percorso da seguire è Impostazioni -> Impostazioni chat, quindi deselezionare Salva in Galleria.

È importante tenere presente che WhatsApp e Telegram non sono le uniche app interessate da questa debolezza, ma vengono citate soltanto perché sono le più diffuse: tutte le applicazioni che salvano i file nella memoria esterna soffrono del medesimo problema.

Ti raccomandiamo anche:

Se non accetti le nuove condizioni, WhatsApp ti cancella l'account

WhatsApp in crisi, Telegram guadagna milioni di nuovi utenti

Facebook vuole unificare Instagram, Messenger e WhatsApp

WhatsApp conferma: i messaggi conservati su Google Drive non sono crittografati

Una vera soluzione arriverà solo con il rilascio di Android Q, che introdurrà la funzione chiamata Scoped Storage: in pratica, ogni applicazione avrà una propria sandbox nella memoria esterna all'interno della quale salvare i dati, e nessun'altra app potrà accedervi.

Per dare un'idea di ciò che è possibile fare tamite il Media File Jacking, Skycure/Symantec ha rilasciato tre video che illustrano tre possibili scenari (e che riportiamo qui sotto): la manipolazione delle immagini, la manipolazione di un pagamento e la contraffazione di un messaggio audio.