WhatsApp e Signal svelano la vostra routine a chi ha il vostro numero

I vostri messaggi su WhatsApp e Signal sono cifrati e nessuno fuori dalla chat li legge. Quella parte funziona. Quello che continua a uscire è la piccola spunta grigia della consegna: torna indietro a una velocità misurabile, e quella velocità dice se avete lo schermo acceso, se siete sul Wi-Fi o sulla rete mobile, quanti dispositivi usate e a che ora andate a dormire. Può raccoglierlo chiunque conosca il vostro numero di telefono, e voi non ricevete alcuna notifica.

Come una spunta diventa un tracciatore

I ricercatori dell'Università di Vienna e di SBA Research hanno descritto il meccanismo in un lavoro intitolato Careless Whisper. Sta in quattro righe.

1. L'attaccante manda al vostro numero un messaggio che l'app elabora ma non mostra mai, per esempio una reazione che punta a un identificativo di messaggio inesistente.
2. Il vostro telefono lo decifra, conclude che non c'è nulla da mostrare e rispedisce comunque diligentemente una conferma di consegna.
3. L'attaccante misura quanto ci ha messo quella conferma a tornare.
4. Ripetuto più volte al secondo, l'elenco dei tempi disegna la curva della vostra giornata.

Sullo schermo non compare niente: nessuna notifica, nessuna chat nuova, nessun contatore di non letti. Il lavoro lo paragona all'SMS silenzioso, la tecnica con cui la polizia localizza un telefono all'insaputa del proprietario.

Che cosa rivelano i tempi

Un telefono con lo schermo acceso risponde più in fretta dello stesso apparecchio appoggiato a faccia in giù sul tavolo. Sul Wi-Fi la risposta è diversa da quella sulla rete mobile. Un client desktop appena collegato risponde per conto suo. Da qui i ricercatori hanno ricostruito il tempo di schermo al secondo, le routine di lavoro, gli spostamenti e anche il numero di dispositivi collegati all'account con il sistema operativo di ciascuno.

Lo stesso canale funziona come arma e non solo come sensore. Poiché i messaggi di sondaggio possono trasportare un carico qualsiasi, il gruppo ha misurato che cosa succede a mandarne di grossi in continuazione.

Su Signal il quadro è più tenue. Le raffiche brevi passano, ma più messaggi al secondo incontrano dei limiti, e il gruppo non è riuscito a scaricare in modo sensibile la batteria di un telefono di prova. Il canale laterale di tracciamento lì c'è comunque; l'esaurimento delle risorse no.

Threema si è comportata diversamente

Le app testate erano tre. Threema tratta le conferme in modo abbastanza rigido da impedire il sondaggio silenzioso: uno sconosciuto può far scattare qualcosa solo mandando un normale messaggio di testo e aprendo una conversazione visibile, cioè l'opposto della discrezione. È rilevante perché mostra che qui si tratta di una scelta di progetto e non di una legge fisica. WhatsApp e Signal rispondono agli sconosciuti in modo predefinito, Threema no.

Che cosa hanno fatto i gestori

1. 5 settembre 2024I ricercatori segnalano i risultati ai contatti di sicurezza di Meta e della Signal Foundation.
2. 24 settembre 2024Meta conferma la ricezione e dice che il rapporto passa al team di sviluppo. Nessuna risposta nel merito.
3. 8 agosto 2025Quasi un anno dopo, Meta comunica di nuovo che il rapporto è stato girato agli ingegneri.
4. SignalNessuna risposta, secondo il lavoro.

Il lavoro elenca le correzioni che chiuderebbero il buco: smettere di inviare conferme a numeri con cui non esiste una conversazione, lasciare a chi ci tiene la possibilità di disattivare l'invio immediato, aggiungere un po' di casualità ai tempi e verificare l'identificativo del messaggio invece di confermare qualunque cosa. Nessuna è arrivata come modifica del protocollo. Nel dicembre 2025 qualcuno ha pubblicato su GitHub una dimostrazione funzionante che trasforma la tecnica in un cruscotto, ed è da lì che la maggior parte delle persone ne ha sentito parlare. Da allora il comportamento di fondo non è cambiato.

Il punto debole è il numero

Ogni versione di questo attacco comincia allo stesso modo: l'attaccante digita un numero di telefono. Alla stessa conclusione arriva un secondo studio dello stesso gruppo viennese, presentato a NDSS 2026: il meccanismo di scoperta dei contatti di WhatsApp accettava più di 100 milioni di interrogazioni all'ora e ha confermato 3,5 miliardi di account attivi in 245 paesi. Quel problema Meta lo ha nel frattempo mitigato. La lezione sopravvive alla correzione: su entrambe le piattaforme il numero di telefono è insieme indirizzo, credenziale di accesso e chiave di ricerca.

Che cosa potete fare davvero oggi

Di tutto l'elenco, la cosa su cui vale davvero la pena muoversi sono i nomi utente. Non riparano il canale laterale, ma tolgono all'attacco ciò senza cui non parte. Se nessuno fuori dai vostri contatti può raggiungervi per numero, nessuno fuori dai vostri contatti può nemmeno sondarvi.