FBI recupera messaggi Signal cancellati su iPhone: come è possibile

Le app di messaggistica cifrata vengono spesso percepite come strumenti in grado di garantire una cancellazione definitiva dei contenuti.

Il caso recente che coinvolge Signal e un’indagine federale negli Stati Uniti mostra una realtà più articolata: anche quando un messaggio viene eliminato dall’applicazione, alcune tracce possono persistere nel sistema operativo. La scoperta riguarda in particolare i dispositivi Apple e apre una discussione tecnica su come iOS gestisce le notifiche e la loro persistenza.

Signal ha costruito la propria reputazione sulla crittografia end-to-end e su funzionalità come i messaggi effimeri, progettati per autodistruggersi dopo un intervallo definito. Tuttavia, la sicurezza dell’applicazione non copre necessariamente ogni livello del sistema: iOS, come altri sistemi operativi moderni, mantiene database interni per la gestione delle notifiche che possono conservare frammenti di contenuto anche dopo la cancellazione lato app.

Il ruolo del database notifiche di iOS nel recupero dei messaggi

L’elemento chiave dell’indagine è il database interno noto come Notification Database, utilizzato da iOS per archiviare e gestire le notifiche ricevute. Questo archivio, accessibile tramite strumenti forensi specializzati, può includere il testo delle notifiche push, inclusi i messaggi provenienti da app di terze parti come Signal.

Quando un messaggio arriva su Signal, il contenuto può comparire nella notifica, a meno che l’utente non abbia disabilitato l’anteprima. Anche se il messaggio viene successivamente eliminato o impostato per scomparire automaticamente, una copia del testo potrebbe rimanere registrata in questo database, almeno temporaneamente.

Nel caso analizzato, gli investigatori sono riusciti a recuperare messaggi cancellati proprio estraendo queste informazioni residue, dimostrando che la cancellazione all’interno dell’app non equivale necessariamente a una rimozione completa a livello di sistema.

Limiti della cancellazione nei sistemi mobili

La persistenza dei dati nelle notifiche deriva da come iOS gestisce i flussi asincroni: le notifiche push vengono elaborate e salvate separatamente rispetto ai dati delle app. Questo significa che l’applicazione non ha controllo diretto sulla rimozione immediata delle copie salvate dal sistema operativo.

In termini tecnici, il database delle notifiche può contenere record con timestamp, identificativi dell’applicazione e contenuto testuale. Anche se iOS applica politiche di rotazione e pulizia automatica, esiste una finestra temporale in cui questi dati restano accessibili.

Va inoltre considerato che strumenti di digital forensics sono in grado di estrarre tali informazioni anche da backup o immagini del dispositivo, ampliando ulteriormente la superficie di recupero.

Configurazioni utente e mitigazioni possibili

Il comportamento descritto non rappresenta una vulnerabilità nel senso tradizionale, ma piuttosto una conseguenza del design del sistema. Esistono però alcune configurazioni che riducono significativamente il rischio di esposizione:

Disabilitare l’anteprima dei messaggi nelle notifiche impedisce la memorizzazione del contenuto testuale nel database. In alternativa, alcune app consentono di mostrare solo notifiche generiche, senza dettagli del messaggio.

Un’altra misura riguarda l’uso di modalità di notifica più restrittive, come quelle che richiedono lo sblocco del dispositivo per visualizzare il contenuto. In questo modo, il testo completo non viene incluso nei payload delle notifiche.