Mosi.pro WhatsApp Tracker: realtà o finzione?

Sotto la spinta di un gran numero di video (purtroppo) divenuti virali, è montata la curiosità intorno a una pagina Web, Mosi.pro WhatsApp Tracker, che promette di fornire l’accesso ai messaggi degli utenti, alla lista delle chiamate e ad altri dettagli privati. Sul sito in questione è presente un form in cui è richiesto di specificare il nome del contatto WhatsApp e il corrispondente numero di telefono utilizzando il formato internazionale.

Premettiamo che l’acquisizione di queste informazioni senza un esplicito consenso costituisce un grave illecito, punibile penalmente. Tuttavia, non esiste e non può esistere un sistema per sottrarre i dati di WhatsApp a distanza, a meno che sul dispositivo della vittima non venga installato un software malevolo. Quest’ultimo può essere installato sotto forma di applicazione, anche da parte dell’utente stesso, oppure – nel caso di attacchi mirati (decisamente meno comuni) – sfruttare una falla zero-day, com’è avvenuto di recente nel caso dello spyware Paragon Graphite per WhatsApp.

Perché non credere a Mosi.pro WhatsApp Tracker

Mosi.pro si presenta come un servizio di tracciamento WhatsApp che, a partire dal semplice numero di telefono, permetterebbe di accedere a informazioni personali. In realtà, com’era facilmente prevedibile, l’applicazione Web:

• Non offre alcuna funzionalità di tracciamento reale.
• Non è collegata in alcun modo con WhatsApp o Meta.
• Il vero scopo sembra essere quello di generare profitti attraverso pubblicità e reindirizzamenti fraudolenti.

D’altra parte, l’obiettivo degli scammer è quello, da un lato, di raccogliere quanti più dati possibile, anche reindirizzando a pagine contenenti link e download sospetti. Mosi.pro WhatsApp Tracker si inserisce proprio in questo schema, con l’apertura di pagine che puntano a siti già ampiamente noti ai principali motori antimalware.

Perché il tracciamento degli utenti WhatsApp è impossibile?

WhatsApp ha implementato una serie di misure di sicurezza per impedire l’accesso non autorizzato alle conversazioni degli utenti.

L’app di messaggistica, innanzi tutto, usa la crittografia end-to-end: ciò significa che soltanto i partecipanti a una conversazione possono leggerne il contenuto. Né WhatsApp né altri utenti non autorizzati. La chiave privata di ciascun utente è conservata in locale sul suo dispositivo e non è mai condivisa.

WhatsApp non offre neppure delle API (Application Programming Interfaces) pubbliche che permettano di monitorare messaggi e chiamate all’interno del network. Esistono soltanto le WhatsApp Business API, un’interfaccia di programmazione che consente alle aziende di utilizzare WhatsApp come canale di comunicazione con i propri clienti. Sono progettate principalmente per le realtà d’impresa, permettendo loro di integrare la messaggistica WhatsApp nelle piattaforme aziendali migliorando la comunicazione e il servizio clienti. Queste API, tuttavia, si integrano soltanto con lo specifico account WhatsApp e certamente non permettono il recupero di informazioni private relative agli account altrui.

I tracker WhatsApp esistono davvero

Come accennato in precedenza, alcuni strumenti che consentono di tracciare WhatsApp esistono davvero ma la loro installazione necessita comunque della disponibilità fisica del dispositivo.

WhatsApp ricorda di controllare periodicamente la lista dei Dispositivi collegati toccando i tre puntini in alto a destra quindi scegliendo Dispositivi collegati. Può infatti accadere che un utente a conoscenza delle credenziali per lo sblocco del telefono possa aggiungere un dispositivo sotto il suo controllo al fine di spiare le conversazioni WhatsApp di un altro soggetto.

Ci sono poi strumenti software che, installati sul telefono, permettono di tenere traccia delle attività svolte su WhatsApp: possono utilizzare diversi approcci compresa la lettura delle informazioni che compaiono sullo schermo e l’accesso al file system, con la relativa decodifica dei messaggi WhatsApp (specie se lo smartphone è sottoposto a rooting).

In ogni caso è comunque richiesto il controllo del telefono della vittima, cosa che in modalità remota può avvenire solo ed esclusivamente sfruttando vulnerabilità di sicurezza o inducendo l’utente ad eseguire applicazioni dannose.