WhatsApp elimina davvero i messaggi inviati per errore?

È capitato a tutti, ne sono certo, di aver mandato per errore durante un momento di distrazione una foto o uno screenshot alla persona o alla chat di gruppo sbagliata su WhatsApp – in fondo errare humanum est. Per ovviare a questo imbarazzo per gli utenti, da circa due anni a questa parte, il team di developer dell’applicazione di messaggistica più popolare al mondo ha introdotto la funzione “elimina per tutti”, ma nel farlo ha lasciato scoperto un possibile bug sulla privacy che ha avuto l’effetto collaterale di regalare agli utenti un falso senso di protezione.

Il salvavita

WhatsApp, oggi appartenente al gruppo Facebook, e il suo rivale Telegram hanno implementato questa funzione – elimina per tutti – come potenziale salvavita. Milioni di persone, indubbiamente, oggi si affidano ciecamente a questo per sfuggire alla goffaggine di inviare erroneamente messaggi / immagini / video alla persona sbagliata.

Ovviamente è lapalissiano spiegare che – come indica il nome – la funzione "Elimina per tutti" ha lo scopo di disdire l'invio di messaggi non appropriati, inclusi testi, foto e video, dal telefono del destinatario o dai telefoni di tutti i membri di un gruppo. Nel caso di WhatsApp, la funzione è disponibile solo entro 1 ora, 8 minuti e 16 secondi dall'invio di un messaggio che si desidera eliminare, un parametro temporale ragionevole che lascia tutto il tempo necessario per rimediare al proprio errore.

iPhone al centro del problema

Fino a qui tutto bene, ma, stando a quanto recentemente portato alla luce da un ricercatore di cyber security questa funzione non è efficace come poteva inizialmente apparire. Infatti “elimina per tutti” non è in grado di rimuovere i file multimediali inviati agli utenti iPhone (con le impostazioni predefinite) come fa dai dispositivi Android, lasciando video, immagini o simili spediti per errore salvati sul dispositivo iOS del destinatario anche se la schermata di chat del messenger mostra "hai eliminato questo messaggio". Secondo l’autore della ricerca, fatta sulle policy e le misure tecniche di sicurezza dell’app, che per primo ha portato alla luce questa problematica, la funzione – al momento – non è stata progettata per cancellare i file salvati nella cartella immagini degli iPhone. 

Fortunatamente per tutti i dispositivi Android l’“elimina per tutti” funziona come pubblicizzato, cancellando i file media inviati per errore sul dispositivo o dispositivi di tutti i riceventi. 

La mancanza di chiarezza su questo aspetto è particolarmente preoccupante in quanto l’applicazione su entrambi i sistemi operativi menzionati salva automaticamente i media (video e immagini) ricevuti all’interno delle rispettive caselle. Un’opzione che può essere, chiaramente, disattivata, ma questo è un passaggio che solo una piccola percentuale di persone si prende cura di fare. 

Questa è solo una parte della storia perché, ovviamente, entrano anche in gioco le policy di Apple stessa – notoriamente fastidiose dal punto di vista della protezione del proprio ip commerciale – che non permettono ad alcuna app di apportare modifiche ai file già salvati nel rullino fotografico degli utenti senza il consenso espresso (ovviamente una cosa più che positiva!). Ma se questo è il caso, WhatsApp non dovrebbe nemmeno pubblicizzare né tantomeno rendere disponibile l'opzione "elimina per tutti" agli utenti senza prima aver avvisato che per renderla effettivamente operativa si devono modificare manualmente le impostazioni!

Miglioramenti in vista?

Nella stessa problematica era incappato anche il meno utilizzato, ma comunque popolare, Telegram che aveva immediatamente fatto la release di una patch dedicata a risolvere la criticità. 

Dal canto suo WhatsApp, come riportato sul blog The Hacker News, ha per il momento rifiutato di intervenire sul problema o di modificare questa opzione per rendere più consapevoli gli utenti. L’azienda ha poi fermamente difeso la sua posizione spiegando come la funzionalità fornita dall’“elimina per tutti” ha lo scopo di cancellare il messaggio di testo e non c'è alcuna garanzia che i media (o addirittura il messaggio stesso) sarà cancellato definitivamente dal device e come l'implementazione si concentri principalmente sulla presenza del messaggio in WhatsApp.

In effetti possiamo comprendere, come ha sottolineato il Security Center dell’applicazione di messaggistica istantanea più popolare in Italia, la posizione dell’azienda da un certo punto di vista. I destinatari possono comunque vedere il messaggio prima che tu riesca a cancellarlo o se è passato quel periodo di tempo dove sono ammesse le eliminazioni e comunque non era in grado di impedire ai destinatari di fare screenshot o simili. Anche se WhatsApp dice che non c'è garanzia che un messaggio o gli allegati saranno cancellati, l'azienda ha suggerito che potrebbe apportare modifiche a questa funzionalità e alla sua implementazione in futuro, proprio come ha fatto Telegram. Secondo un portavoce la funzione opera correttamente come da progettazione e l'utilizzo dell’“elimina per tutti' nel tempo porterà alla rimozione dei media dal thread della chat di WhatsApp dove è stato postato. Se un utente iPhone sceglie di salvare le immagini nella propria cartella immagini, queste vengono salvate fuori dalla portata della funzione "Elimina per tutti" di WhatsApp.

Come evitare l’inghippo

Ovviamente problematiche di questo genere posso avere un effetto catastrofico sulla brand reputation di qualsiasi organizzazione. Per evitare di finire nell’occhio del ciclone lasciando la propria organizzazione esposta a vulnerabilità inerenti a privacy e/o integrità del dato, le società devono prendere consapevolezza dell’importanza di monitorare e scansionare costantemente la propria infrastruttura. Servizi come il Vulnerability Assessment, l’analisi di sicurezza che ha l’obiettivo di identificare tutte le vulnerabilità potenziali dei sistemi e delle applicazioni. Lo fa individuando e valutando il danno potenziale che l’eventuale Criminal hacker può infliggere all’unità produttiva. Personale altamente qualificato, in un secondo momento, integra e verifica i risultati attraverso una meticolosa attività manuale. Queste attività hanno lo scopo di rifinire la ricerca evidenziando eventuali errori commessi durante il processo. Uno degli aspetti chiave di questa tipologia di analisi è l’isolamento tempestivo delle vulnerabilità reali.

Uno strumento buono di Vulnerability Assessment permette all’utente di avere una overview aggiornata del livello di sicurezza degli asset IT. Ovviamente, questo è il punto di partenza per ottimizzare tutti gli sforzi di security management. Anche il Network scan, la scansione specifica e dettagliata che analizza l’IP di un network in modo da identificare le sue vulnerabilità e punti deboli, è uno degli strumenti chiave per assicurarsi massima copertura contro le vulnerabilità e criticità emergenti.

Ovviamente queste attività possono avere successo solo se effettuate a intervalli regolari.