Con oltre 1 miliardo di utenti, WhatsApp è il servizio di messaggistica più diffuso al mondo. Dall'altra parte della barricata una delle proposte emergenti più significative è Telegram, che da solo conta 100 milioni di utenti attivi mensilmente e 15 miliardi di messaggi scambiati al giorno. I due servizi dispongono di piattaforme web che consentono agli utenti di accedere alle loro conversazioni via browser web. Piattaforme che, secondo i ricercatori di Check Point, contenevano gravi vulnerabilità.

Sfruttando la vulnerabilità nelle piattaforme online di WhatsApp e Telegram, gli hacker potevano prendere il controllo completo sugli account e accedere alle conversazioni personali e di gruppo delle vittime, alle foto, ai video e agli altri file condivisi, alla lista dei contatti e molti altri contenuti. Il malintenzionato avrebbe potuto inviare alla vittima del codice malevolo nascosto all'interno di un'immagine apparentemente innocua e bastava cliccare su di essa per compromettere il proprio account.

Cliccando sull'immagine infatti "l'hacker" riceveva l'accesso ai dati archiviati dell'account WhatsApp o Telegram, spiega CheckPoint, come ad esempio quelli relativi ai contatti. In questo modo avrebbe potuto inviare loro immagini compromesse e creare un attacco potenzialmente diffuso. La società di sicurezza ha inviato tutta la documentazione della vulnerabilità lo scorso 8 marzo 2017 alle due società coinvolte, che hanno prontamente rilevato il problema di sicurezza e sviluppato una correzione.

"Questa nuova vulnerabilità espone centinaia di milioni di utenti WhatsApp Web e Telegram Web al rischio di vedersi sottrarre il proprio account", le parole di Oded Vanunu di Check Point. "Inviando semplicemente una foto dall'aspetto innocente, un utente malintenzionato potrebbe ottenere il controllo sull'account, accedere alla cronologia dei messaggi, a tutte le foto che sono state condivise, e inviare messaggi per conto dell’utente".

"WhatsApp e Telegram hanno risposto in modo rapido e responsabile e hanno rilasciato una mitigazione contro lo sfruttamento di questa falla in tutti i client web". Le due app utilizzano la crittografia end-to-end come misura di sicurezza, e paradossalmente è stata proprio questa caratteristica ad impedire ai tecnici delle compagnie di accorgersi della presenza della falla. Non potendo vedere i contenuti degli utenti sono stati incapaci di impedire l'invio di messaggi malevoli.

Il fix comprende la possibilità di convalidare un contenuto prima dell'esecuzione della protezione crittografica sul file, convalida che permette di bloccare sul nascere eventuali tentativi di compromissione.

Ha prontamente risposto alle accuse il team assistenziale di Telegram, con un implicito messaggio di marketing ben preciso: la vulnerabilità mette a rischio solo ed esclusivamente gli utenti di WhatsApp Web, mentre quelli di Telegram Web sono quasi del tutto fuori pericolo. Su WhatsApp infatti, specificano i tecnici del concorrente, è sufficiente aprire una foto per compromettere il proprio account, mentre su Telegram bisogna eseguire una serie di azioni "inusuali".

La società sostiene di non aver "mai avuto questo problema", anche se il problema di fatto c'era anche se era di difficile riproduzione in un contesto d'uso reale. Fra le azioni inusuali bisognava: premere Play alla ricezione di un video malevolo ed utilizzare Chrome (gli altri browser non erano affetti dal problema), cliccare sul tasto destro sul video e selezionare Apri in una nuova scheda: "Se sei un utente di Telegram e usi il client web invece delle app desktop, cerca di ricordare se hai mai eseguito la combinazione appena descritta", scrive la società in una nota. "Se, come tutti noi, non hai mai fatto nulla del genere, tutta questa situazione non significa nulla per te".

In maniera molto aggressiva Telegram punta il dito contro la concorrente, sottolineando e minimizzando invece il problema avvenuto sul proprio servizio.

http://www.hwupgrade.it/news/

sicurezza-software/whatsapp-web-a-rischio-la-sicurezza-degli-utenti-quasi-fuori-pericolo-telegram-web_67707.html