Silent Whisper: come un tool su GitHub traccia l’attività su WhatsApp e Signal

Online è comparso un nuovo strumento che mette in luce la vulnerabilità Silent Whisper, consentendo di monitorare l’attività degli utenti di WhatsApp e Signal usando soltanto un numero di telefono. Non si parla di violare account o leggere messaggi: il metodo si regge sull’analisi delle risposte tecniche generate dalle stesse app.

L’attacco si basa sulla misurazione dei tempi di risposta delle conferme di consegna. WhatsApp e Signal rispondono automaticamente ai cosiddetti “ping”, e un aggressore può analizzare il tempo di andata e ritorno (RTT) di quei pacchetti. Da queste latenze è possibile dedurre se un dispositivo è attivo, connesso via Wi‑Fi o rete mobile, in standby oppure completamente offline.

Lo scorso anno i ricercatori di Vienna hanno descritto in dettaglio Silent Whisper. L’interesse è tornato a crescere dopo l’apparizione su GitHub di uno strumento di prova di concetto pubblicato da un utente chiamato gommzystudio. Secondo l’autore, è possibile inviare fino a 20 richieste al secondo senza far scattare notifiche sul dispositivo preso di mira, un ritmo sufficiente a ricostruire un quadro piuttosto accurato dell’attività di una persona.

In rete circolano anche immagini di grafici analitici che mostrano come queste misurazioni vengono interpretate. Le variazioni di latenza rivelano lo stato e la modalità operativa del dispositivo, aprendo la porta a una sorveglianza discreta che non tocca mai il contenuto dei messaggi. Colpisce che basti il comportamento di rete per delineare abitudini digitali con tanta precisione.

Gli esperti sottolineano che la vulnerabilità resta attuale. Come precauzioni di base, agli utenti è consigliato limitare i messaggi provenienti da account sconosciuti e aggiornare tempestivamente le app di messaggistica: accorgimenti pragmatici che aiutano, anche se per ora non azzerano del tutto il rischio.