Ghost Pairing dimostra che la password di WhatsApp non è mai stata il punto debole

A cosa serve una password robusta se l'aggressore non ne ha mai bisogno? È la lezione scomoda di Ghost Pairing, la truffa su WhatsApp che torna a far parlare di sé. Non vieni hackerato come nei film. Vieni convinto ad aprire la porta da solo.

Ghost Pairing ha bisogno della tua approvazione, non della tua password

Secondo nordbayern.de, la polizia della Baviera ha segnalato i primi casi di Ghost Pairing a fine ottobre. Il meccanismo, come spiega Norton, sfrutta la funzione dei dispositivi collegati di WhatsApp. Invece di indovinare la tua password o carpirla con il phishing, i truffatori ti spingono, con l'ingegneria sociale, a completare tu stesso una legittima procedura di collegamento del dispositivo.

La ricerca di Gen Digital descrive la sequenza: la vittima digita il proprio numero di telefono su una pagina falsa, che lo inoltra alla vera funzione di WhatsApp «collega dispositivo con numero di telefono», e WhatsApp genera un codice di abbinamento che dovrebbe essere visto solo dal titolare dell'account. Altre testate di sicurezza sostengono che non servono né password né codice monouso, e che l'aggressore finisce per diventare un dispositivo collegato invisibile in grado di monitorare le conversazioni.

La superficie d'attacco si è spostata, le nostre abitudini no

Per anni il consiglio è stato: password robusta e non condividere i codici. Qui tutto questo non basta. La vittima viene guidata lungo un flusso autentico di WhatsApp, ed è proprio per questo che funziona. A nostro avviso questo è il vero cambiamento: l'elenco dei dispositivi collegati è ormai la porta d'ingresso, e sospettiamo che pochissime persone lo guardino mai.

Pensa a come ci siamo abituati. Abbiamo imparato a diffidare dei link strani e a proteggere i codici di verifica. Non abbiamo imparato a trattare «approva questo dispositivo» come una decisione di sicurezza, perché sembra una comodità, quella che ti permette di usare le chat sul portatile. I truffatori sfruttano proprio questo divario tra a cosa serve la funzione e come se ne può abusare.

È l'abitudine che vogliamo promuovere. Apri le Impostazioni, guarda i dispositivi collegati e rimuovi tutto ciò che non riconosci. Le fonti di sicurezza consigliano anche di considerare sospetta qualsiasi richiesta esterna di scansionare un codice QR o inserire un codice di abbinamento, e di attivare la verifica in due passaggi. Ci vuole pochissimo, e ne faremmo una routine mensile, come dare un'occhiata all'estratto conto.

WhatsApp chiede troppo agli utenti

Dare la colpa alle vittime è la scorciatoia facile, e pensiamo sia quella sbagliata. Una truffa che si appoggia al flusso ufficiale di abbinamento è, almeno in parte, un problema di design. Quando una pagina falsa che chiede solo un numero di telefono può avviare un abbinamento legittimo, il passaggio di conferma è troppo facile da approvare sotto pressione, soprattutto per chi ha fretta, è distratto o semplicemente si fida.

Cosa vorremmo vedere? È una nostra opinione, non una funzione documentata: un avviso molto più chiaro al momento dell'approvazione, che dica chi si sta collegando e da dove; un breve ritardo prima che un nuovo dispositivo ottenga l'accesso alle chat; e una notifica ben visibile sul telefono principale ogni volta che compare una nuova sessione. Per la maggior parte delle persone immaginiamo che collegare un dispositivo sia un evento occasionale, quindi aggiungere attrito in quel momento costa pochissimo agli utenti onesti e molto ai truffatori.

C'è anche una questione di tono. Alle piattaforme piace dire che la sicurezza è una responsabilità condivisa, ed è vero. Ma quando l'anello più debole è un pulsante progettato dalla piattaforma stessa, la parte più grossa dei compiti a casa spetta a lei.

Verdetto

Non aspettare una correzione. Controlla oggi i tuoi dispositivi collegati, di' lo stesso ai parenti meno esperti e non approvare mai un abbinamento che non hai avviato tu. E se WhatsApp vuole che tutto questo smetta di essere un titolo ricorrente, deve rendere più difficile premere il pulsante pericoloso.