Il bug delle chiamate di Telegram dimostra che il messenger è la vera porta d'ingresso

Quale app del tuo telefono ti aspetteresti che fosse pronta a trattare con gli sconosciuti? Probabilmente quella fatta apposta per parlare con sconosciuti tutto il giorno. Ed è proprio qui il problema: un messenger deve accettare chiamate, file e dati da persone che non hai mai incontrato, e questa settimana Telegram ha mostrato cosa succede quando quella porta resta socchiusa.

Secondo The Hacker News, la società di sicurezza NebuSec ha dimostrato l'esecuzione di codice tramite una chiamata vocale accettata su Telegram per Android, e la falla è stata corretta nella versione 12.10.4. Altre testate, come Total Security, scrivono che il bug poteva essere concatenato con altre due vulnerabilità per prendere il controllo completo del telefono della vittima non appena rispondeva. Il sito portoghese Tugatech aggiunge che era nell'app da quattro anni senza essere stato scoperto.

Dobbiamo essere cauti su ciò che la documentazione non dice. Gli estratti a nostra disposizione non chiariscono se qualcuno abbia sfruttato la falla in attacchi reali, e non faremo ipotesi. Descrivono invece una dimostrazione di fattibilità in cui, come riassume Space Money, la persona non doveva fare altro che accettare la chiamata.

La parte più inquietante è quanto sia banale l'innesco

La maggior parte di noi immagina l'hacking di un telefono come qualcosa che richiede una mossa sbagliata: toccare un link losco, installare un APK sospetto, inserire una password in una pagina falsa. Questa falla manda in frantumi lo schema. Rispondere a una chiamata è il gesto più naturale che esista su un telefono, e nessuna «attenzione» ti protegge da un pulsante che hai sempre dovuto premere.

Così cambia il consiglio. Per anni i suggerimenti sulla sicurezza si sono ridotti alla vigilanza dell'utente. Qui la vigilanza è quasi inutile, e l'unica difesa reale sta dal lato del software: la patch.

Le app di messaggistica sono il nuovo perimetro, che ci piaccia o no

Pensa a cosa fa un messenger moderno: gestisce immagini, link, flussi vocali e dati per l'avvio delle chiamate, in gran parte provenienti da mittenti non fidati. Ognuno di questi elementi è codice che può contenere un errore. A nostro avviso, questo rende le app di chat un bersaglio più appetibile del sistema operativo stesso, perché sono installate ovunque, sempre attive e aperte a chiunque abbia il tuo numero o il tuo nome utente.

C'è anche uno sfondo più ampio. InfoMoney riporta che l'intelligenza artificiale fa emergere falle nel software così in fretta che gli ingegneri corrono a correggerle prima che le sfruttino gli hacker, con Google che quest'anno ha corretto più falle gravi che nei otto anni precedenti messi insieme. Non possiamo dire che sia stata un'IA a trovare questo bug di Telegram, e nulla nella documentazione lo suggerisce. Ma è ragionevole aspettarsi più segnalazioni come questa, non meno, e un bug di quattro anni che emerge adesso può essere il segno che il vecchio codice viene esaminato più a fondo che mai.

Aggiorna subito e smetti di giudicare le app dalla reputazione

La stessa pagina di supporto di Telegram lo descrive come un messenger basato sul cloud, focalizzato su sicurezza e velocità. È il messaggio di vendita, e un bug come questo c'entra poco con esso. La reputazione ti dice come parla un'azienda; il numero di versione ti dice se sei esposto.

L'altro lato della storia sono le abitudini di aggiornamento di Android. Android Authority osserva che il 43,6% dei dispositivi attivi usa ancora Android 13 o precedente. Questa correzione, però, è arrivata nell'app stessa (versione 12.10.4), non con una versione del sistema operativo. Nella nostra lettura, significa che l'unica cosa sotto il tuo controllo sono pochi tocchi sullo schermo, non l'attesa del produttore del tuo telefono.

La nostra raccomandazione è quindi semplice. Controlla che Telegram per Android sia alla versione 12.10.4 o successiva. Attiva gli aggiornamenti automatici per i tuoi messenger, che sono le app più esposte agli sconosciuti. E se in una certa app non ti servono le chiamate vocali, valuta se vuoi che quella funzione accetti connessioni.

Il nostro verdetto: la lezione non è che «Telegram non è sicuro». Qualsiasi messenger con le chiamate potrebbe avere un bug del genere. La lezione è che fidarsi di un marchio è una strategia più debole che aggiornare il primo giorno. Prima la patch, la reputazione la ammiri dopo.