Questa settimana diversi media hanno parlato del “più grande data leak della storia” riferendosi a WhatsApp. Threema, l’app di messaggistica svizzera focalizzata sulla privacy, ha pubblicato un’analisi della situazione che ridimensiona il dramma ma punta il dito su un problema strutturale.

Cos’è successo

Ricercatori austriaci hanno scritto un programma che ha provato sistematicamente tutti i possibili numeri di telefono per verificare se fossero associati a un account WhatsApp. Per ogni numero trovato, hanno salvato anche i dati del profilo pubblico: foto profilo e testo “Info”.

Risultato: un database completo di tutti gli utenti WhatsApp con i loro dati pubblici.

Perché non è tecnicamente un leak? Threema sottolinea che parlare di “data leak” è fuorviante. I ricercatori non hanno violato nessun sistema: hanno solo raccolto dati che gli utenti avevano reso pubblici. È scraping, non hacking.

Se hai impostato la tua foto profilo e la tua Info come pubbliche, chiunque può vederle e salvarle. Circa il 30% degli utenti WhatsApp ha il testo Info pubblico, e circa due terzi delle foto profilo mostrano un volto.

Inoltre, è inevitabile che si possa verificare se un numero è su WhatsApp: altrimenti non potresti aggiungere contatti.

Dov’è il problema quindi?

Threema identifica tre questioni serie:

1. Riconoscimento facciale: se due terzi delle foto mostrano volti, qualcuno potrebbe usare software di riconoscimento facciale per trovare il numero di telefono di una persona partendo dalla sua faccia.
2. Paesi totalitari: in stati dove WhatsApp è bandito, le autorità potrebbero identificare chi lo usa illegalmente. Questo può avere conseguenze drastiche. Anche se, nota Threema, il problema esiste già in partenza: quando registri WhatsApp ricevi un SMS (non cifrato), e in stati totalitari quel canale è monitorato.
3. Meta non ha fatto abbastanza: anche se è “solo” scraping, è grave che Meta non abbia implementato misure efficaci per prevenirlo su questa scala.

Il problema di fondo: i numeri di telefono

Threema va al cuore della questione: il vero problema è che WhatsApp (come molte altre app) usa il numero di telefono come identificatore unico. I numeri di telefono:

• Non si possono cambiare facilmente dopo un leak
• Rivelano il paese di appartenenza
• Non sono anonimi (in molti paesi servono documenti per registrarli)
• Permettono di tracciare una persona su più piattaforme
• Possono essere riassegnati ad altri, creando problemi vari

Per questo Threema usa un ID casuale anonimo (il Threema ID) invece del numero di telefono. Puoi revocarlo quando vuoi e non rivela nulla su di te.

Secondo Threema questo non è il leak apocalittico che alcuni media hanno descritto, ma evidenzia un limite architetturale di WhatsApp e di tutte le app che usano i numeri di telefono come base. I dati erano pubblici, ma molti utenti probabilmente non capivano davvero cosa significasse rendere pubbliche quelle informazioni.

Meta poteva e doveva fare di più per prevenire scraping su questa scala. Ma il problema vero è più profondo: finché usiamo numeri di telefono come identificatori, certi rischi sono strutturali.