Negli ultimi mesi è tornato al centro del dibattito un tema che, per chi si occupa di protezione dei dati e sicurezza, non è affatto marginale: la possibilità di dedurre informazioni tecniche e personali su utenti WhatsApp, anche in assenza di qualunque interazione diretta con i loro messaggi.

Due ricerche distinte, condotte in modo indipendente, hanno rivelato vulnerabilità sistemiche nella gestione dei metadati della piattaforma di messaggistica più diffusa al mondo, con oltre 3 miliardi di utenti. Il punto centrale non è “leggere i messaggi” – che restano protetti dalla crittografia end-to-end – ma comprendere che la riservatezza del contenuto non esaurisce la tutela della privacy. Spesso, ciò che fa davvero la differenza è il contesto.

Come abbiamo già evidenziato nel nostro contributo “Comunicazione digitale consapevole nel rispetto della privacy e le app o i servizi che si scelgono”, la domanda “quale app è più sicura?” è posta in modo errato: la sicurezza non è l’unico criterio per una scelta consapevole.

Punti chiave

  • E2EE ≠ metadati protetti: la crittografia end-to-end protegge il contenuto, ma non chi comunica con chi, quando, da quale dispositivo
  • Enumerazione = correlazione numero ↔ identità/profilo: 3,5 miliardi di record WhatsApp associati a numeri telefonici, foto profilo e testo “About”
  • Fingerprinting = targeting più efficace: inferire sistema operativo e tipo di dispositivo facilita la selezione dei target e la scelta degli exploit

Due ricerche, un problema comune

La ricerca dell’Università di Vienna: 3,5 miliardi di account enumerati

Nel novembre 2025, un team di ricercatori dell’Università di Vienna e di SBA Research ha pubblicato uno studio che documenta una vulnerabilità nel meccanismo di contact discovery di WhatsApp. Sfruttando l’assenza di rate limiting efficace e utilizzando un client reverse-engineered denominato whatsmeow, i ricercatori sono riusciti a interrogare oltre 100 milioni di numeri telefonici all’ora tramite chiamate automatizzate ad alta frequenza alle API della piattaforma.

I dati esposti riguardavano circa 3,5 miliardi di account registrati e associati a numeri telefonici. È importante precisare che questo conteggio può includere anche account non più attivi o numeri riciclati, come evidenziato nelle analisi successive. I ricercatori hanno potuto accedere a numeri telefonici, timestamp, testo del campo “About”, foto profilo e chiavi pubbliche per la crittografia E2EE.

Secondo gli autori dello studio, se questo dataset fosse stato raccolto e pubblicato da attori malevoli anziché in un contesto di ricerca responsabile, avrebbe potuto configurarsi come uno dei più grandi data leak mai osservati.

Particolarmente significativo il dato sulle foto profilo: oltre il 57% degli account enumerati ne aveva una visibile pubblicamente, e due terzi di queste contenevano volti umani riconoscibili. I ricercatori hanno evidenziato come questi dati potrebbero essere utilizzati per costruire un servizio di reverse phonebook basato su tecniche di riconoscimento facciale (AI/ML).

Gabriel Gegenhuber, ricercatore dell’Università di Vienna e primo autore dello studio, ha osservato che normalmente un sistema non dovrebbe rispondere a un numero così elevato di richieste in un tempo così breve, specialmente quando provengono da una singola fonte.

Meta ha implementato limitazioni più stringenti (rate limiting) sul client web di WhatsApp a partire da ottobre 2025, dopo che i ricercatori avevano segnalato il problema attraverso il programma bug bounty nell’aprile dello stesso anno.

La ricerca di Tal Be’ery: fingerprinting dei dispositivi

Nel gennaio 2026, SecurityWeek ha riportato i risultati di una ricerca condotta da Tal Be’ery, co-fondatore e CTO del wallet di criptovalute Zengo. Be’ery ha dimostrato come i valori prevedibili degli ID delle chiavi crittografiche assegnati da WhatsApp consentano di inferire informazioni tecniche sul dispositivo dell’utente.

Cosa è stato dimostrato

In particolare, un attaccante può dedurre il dispositivo principale dell’utente, il sistema operativo di ciascun dispositivo collegato (differenziando iOS/Android) e l’anzianità approssimativa dei dispositivi o delle sessioni attive, oltre a verificare se WhatsApp è in esecuzione tramite app mobile o browser web su desktop. Questa tecnica di fingerprinting può essere eseguita senza generare alcuna notifica sul dispositivo target.

Meta ha iniziato ad assegnare valori casuali agli ID delle chiavi, inizialmente per i dispositivi Android. Be’ery è stato premiato attraverso il programma bug bounty di Meta, che nel 2025 ha distribuito oltre 4 milioni di dollari per quasi 800 segnalazioni valide, portando il totale storico a oltre 25 milioni di dollari.

Scenari di rischio plausibili

Sulla base di quanto dimostrato, emergono scenari di rischio concreti: la conoscenza del sistema operativo e del tipo di dispositivo può facilitare significativamente le attività di targeting e reconnaissance, riducendo lo spazio di ricerca per exploit mirati.

Gli zero-day di WhatsApp sono rari e di alto valore: Sono stati pubblicamente annunciati premi fino a 1 milione di dollari per catene 0-click su WhatsApp in contesti di ricerca e competizioni di sicurezza (es. Pwn2Own). Nel gennaio 2025, WhatsApp ha dichiarato che circa 90 tra giornalisti e membri della società civile sarebbero stati presi di mira con spyware Paragon/Graphite in un attacco “zero-click”. La capacità di pre-selezionare i target sulla base del sistema operativo può aumentare significativamente l’efficacia di tali attacchi.

I metadati: cosa sono e perché sono rilevanti per la privacy

Definizione e caratteristiche

I metadati sono comunemente definiti come “dati sui dati”: informazioni che descrivono, contestualizzano o caratterizzano altri dati senza costituirne il contenuto principale. Nel contesto delle comunicazioni digitali, i metadati includono elementi come mittente e destinatario, timestamp di invio e ricezione, tipo di dispositivo utilizzato, posizione geografica (se disponibile), frequenza e durata delle comunicazioni, informazioni tecniche sul client e sul sistema operativo, chiavi crittografiche pubbliche e identificativi di sessione.

A differenza del contenuto di un messaggio, i metadati sono spesso generati automaticamente, trasmessi in chiaro o con protezioni inferiori rispetto al payload, e necessari per il funzionamento stesso del sistema di comunicazione.

Perché i metadati sono dati personali

Sul piano giuridico, la cornice è inequivocabile: ai sensi dell’art. 4 GDPR, è dato personale qualunque informazione che renda una persona fisica identificata o identificabile. I metadati soddisfano pienamente questa definizione quando permettono, direttamente o indirettamente, di risalire a un individuo specifico.

I metadati non sono neutri, non sono “anonimi” per definizione e diventano particolarmente invasivi quando sono aggregati, correlati o utilizzati per inferire attributi ulteriori. La giurisprudenza e la dottrina hanno progressivamente riconosciuto che i metadati delle comunicazioni possono rivelare tanto – se non più – del contenuto stesso.

Alcuni esempi concreti: la frequenza delle comunicazioni tra due persone può rivelare la natura della loro relazione; gli orari di attività online possono indicare abitudini, fusi orari o stati emotivi; la combinazione di dispositivo, sistema operativo e pattern di utilizzo può creare un’impronta digitale unica; la presenza in determinate chat di gruppo può rivelare affiliazioni politiche, religiose o sessuali.

Metadati, contenuti del profilo e categorie particolari di dati

La ricerca dell’Università di Vienna ha evidenziato un aspetto particolarmente rilevante: il testo inserito nel campo “About” può rivelare informazioni sensibili come orientamento sessuale, opinioni politiche, affiliazione religiosa o uso di sostanze.

È importante precisare che in questi casi non è tanto il metadato “tecnico” a ricadere nell’ambito dell’art. 9 GDPR, quanto il fatto che alcuni campi del profilo (come il testo “About”) e le inferenze derivate dalla correlazione dei dati possano rivelare categorie particolari di dati personali soggette a tutela rafforzata.

I ricercatori hanno riscontrato che circa il 29% degli account aveva testo nel profilo, e in molti casi questo conteneva informazioni che andrebbero considerate sensibili. In paesi con regimi autoritari o legislazioni repressive, l’esposizione di tali informazioni può avere conseguenze che vanno ben oltre la sfera digitale.

Il paradosso della crittografia

La crittografia end-to-end protegge efficacemente il contenuto delle comunicazioni, ma crea un paradosso: mentre il messaggio è illeggibile, tutto ciò che lo circonda – chi comunica con chi, quando, con quale frequenza, da quale dispositivo – resta potenzialmente esposto.

Come ha sintetizzato Aljosha Judmayer dell’Università di Vienna, la crittografia end-to-end protegge il contenuto dei messaggi, ma non necessariamente i metadati associati. La ricerca dimostra che i rischi per la privacy possono emergere anche quando tali metadati vengono raccolti e analizzati su larga scala.

I rischi specifici nell’utilizzo di WhatsApp

Nel nostro precedente contributo “Persistere nell’uso di Whatsapp: come perseverare inconsapevolmente. I motivi del nostro «No»” abbiamo già analizzato le ragioni per cui riteniamo WhatsApp una soluzione da evitare. Le ricerche qui discusse confermano e amplificano quelle preoccupazioni.

Rischi per la sicurezza individuale

L’esposizione dei metadati di WhatsApp comporta rischi concreti per la sicurezza degli utenti.

Per quanto riguarda il targeting di attacchi, i metadati abilitano la fase di ricognizione (reconnaissance) tipica degli attacchi avanzati. Conoscere o inferire dettagli sul contesto tecnico consente di selezionare target più “appetibili”, scegliere exploit compatibili (differenziando iOS/Android), ridurre tentativi a vuoto, e aumentare la probabilità di successo di tecniche come social engineering, spear phishing o exploit chain. La disponibilità di metadati su larga scala può inoltre alimentare pipeline di analisi automatizzata e AI/ML per OSINT, clustering e profiling, riducendo i costi di selezione dei target e aumentando l’efficacia di campagne mirate.

Un ulteriore rischio riguarda il riconoscimento facciale: la possibilità di associare foto profilo a numeri telefonici su scala miliardaria apre scenari inquietanti. I ricercatori hanno esplicitamente avvertito che nelle mani di un attore malevolo, questi dati potrebbero essere utilizzati per costruire un servizio di lookup basato sul riconoscimento facciale – effettivamente una “rubrica telefonica inversa” – dove individui e i loro numeri di telefono e metadati disponibili possono essere interrogati sulla base del loro volto.

Rischi per categorie esposte

Per chi opera in contesti regolati o ad alta esposizione – professionisti, istituzioni, giornalisti, attivisti, ruoli sensibili – l’impatto può essere amplificato, perché la correlazione di metadati diventa un elemento di rischio anche fisico e personale, non solo digitale.

La ricerca ha identificato milioni di account registrati in paesi dove WhatsApp è ufficialmente vietato: 2,3 milioni in Cina, 1,6 milioni in Myanmar, oltre 59 milioni in Iran (prima della revoca del blocco a fine 2024). In questi contesti, la sola identificazione dell’utilizzo di WhatsApp può esporre gli utenti a conseguenze legali o persecutorie.

Rischi strutturali del modello centralizzato

WhatsApp opera su un’architettura centralizzata dove Meta controlla l’intera infrastruttura: server, protocollo, client e – soprattutto – i metadati. Questo modello presenta criticità intrinseche.

In primo luogo, esiste un single point of failure: una vulnerabilità nel sistema centrale espone potenzialmente tutti i 3 miliardi di utenti. La ricerca dell’Università di Vienna lo ha dimostrato empiricamente.

In secondo luogo, vi è un problema di opacità del protocollo. Come hanno osservato i ricercatori, WhatsApp ha ereditato una responsabilità paragonabile a quella di un’infrastruttura di telecomunicazioni pubblica o di uno standard Internet. Tuttavia, a differenza dei protocolli Internet governati da RFC pubblici e mantenuti attraverso standard collaborativi, questa piattaforma non offre lo stesso livello di trasparenza o verificabilità per facilitare il controllo di terze parti.

Infine, gli utenti hanno un controllo limitato su come i propri dati (inclusi i metadati) vengono raccolti, conservati e utilizzati. Le impostazioni di privacy sono limitate e le modifiche unilaterali ai termini di servizio sono frequenti.

Cosa può fare l’utente oggi

In attesa di migrare verso soluzioni alternative, gli utenti WhatsApp possono adottare alcune misure immediate per ridurre la propria esposizione:

  • Limitare la visibilità della foto profilo: impostare la visibilità su “I miei contatti” o “Nessuno” anziché “Tutti”
  • Ridurre le informazioni nel campo “About”: evitare di inserire informazioni personali, politiche, religiose o che possano rivelare aspetti sensibili
  • Evitare foto del volto per ruoli esposti: giornalisti, attivisti e professionisti in contesti sensibili dovrebbero considerare l’uso di immagini non identificabili
  • Disattivare la sincronizzazione dei contatti: riduce la quantità di dati condivisi con la piattaforma
  • Verificare regolarmente i dispositivi collegati: rimuovere sessioni web o desktop non più utilizzate
  • Valutare alternative per comunicazioni sensibili: utilizzare Signal, Matrix o XMPP per conversazioni che richiedono maggiore protezione

Alternative sicure e open source: XMPP e Matrix

Di fronte ai rischi evidenziati, è opportuno considerare alternative basate su protocolli aperti, decentralizzati e verificabili. Come abbiamo già illustrato in diversi contributi precedenti, due soluzioni emergono come particolarmente mature: XMPP e Matrix.

XMPP: lo standard aperto per la messaggistica

XMPP (Extensible Messaging and Presence Protocol), originariamente noto come Jabber, è un protocollo di comunicazione aperto sviluppato dal 1999 e standardizzato dall’IETF nel 2004. Le sue specifiche sono pubblicate come RFC 6120, RFC 6121 e RFC 7622. Ne abbiamo parlato approfonditamente nel contributo “XMPP: il protocollo per la comunicazione sicura che rispetta la privacy”.

Le caratteristiche principali di XMPP includono la decentralizzazione, con un’architettura simile all’email dove chiunque può gestire il proprio server XMPP, garantendo controllo completo sui propri dati e metadati. Il protocollo è basato su standard aperti: le specifiche sono pubbliche, documentate e mantenute dalla XMPP Standards Foundation attraverso un processo trasparente. L’estensibilità del sistema permette di aggiungere funzionalità attraverso XMPP Extension Protocols (XEP), mantenendo la retrocompatibilità. Per quanto riguarda la sicurezza, XMPP supporta TLS per la crittografia del trasporto e SASL per l’autenticazione, mentre l’estensione OMEMO (XEP-0384) fornisce crittografia end-to-end basata sul Double Ratchet Algorithm (lo stesso di Signal). La federazione consente a server XMPP diversi di comunicare tra loro, permettendo agli utenti di scegliere il proprio provider mantenendo l’interoperabilità.

Tra i client XMPP moderni troviamo Conversations per Android, Dino per Linux/desktop, Gajim per Windows/Linux/macOS, Monal per iOS e macOS, e Profanity per terminale.

Nel nostro contributo “XMPP è una soluzione che permette agli utenti di avere il controllo sulle proprie informazioni personali: la nostra scelta Snikket” abbiamo descritto la nostra scelta di Snikket, un progetto basato su XMPP che abbiamo installato sui nostri server. Come ulteriormente approfondito in “Essere o non essere dipendenti dalle app di messaggistica istantanea: questa è la domanda da porsi. Scegliete di essere liberi: Snikket”, Snikket rappresenta un esempio concreto di come sia possibile implementare un sistema di messaggistica che rispetti i principi di minimizzazione dei dati e controllo dell’utente.

I vantaggi di XMPP in termini di privacy sono significativi: il protocollo non richiede numero di telefono, la minimizzazione dei metadati è strutturale (ogni server gestisce solo i metadati dei propri utenti), e la possibilità di self-hosting elimina la dipendenza da terze parti.

Matrix: il protocollo per la comunicazione federata

Matrix è un protocollo aperto per la comunicazione in tempo reale, sviluppato dal 2014 e mantenuto dalla Matrix.org Foundation, un’organizzazione non-profit. Nel dicembre 2025 è stata rilasciata la specifica Matrix 1.17, con Matrix 2.0 atteso per il 2026.

Matrix offre una federazione nativa: ogni organizzazione o individuo può gestire il proprio homeserver, che si sincronizza con gli altri server della rete federata. A differenza di XMPP, Matrix mantiene la storia delle conversazioni replicata tra i server che partecipano a ciascuna stanza (room), con modalità che dipendono dalle configurazioni specifiche.

La crittografia end-to-end è garantita tramite i protocolli Olm e Megolm, implementazioni del Double Ratchet auditate indipendentemente (Least Authority nel 2022, NCC Group in precedenza). L’implementazione di riferimento vodozemac è scritta in Rust e ha sostituito la precedente libolm.

Il protocollo è interoperabile: Matrix supporta bridge verso altre piattaforme (IRC, Slack, Discord, XMPP, Signal), permettendo una migrazione graduale. Nel nostro contributo “Come creare uno script per aggiornare alcuni bridge e plugin per Matrix” abbiamo descritto come gestire i bridge per Telegram e Signal sul nostro server Matrix.

Matrix è inoltre verificabile: tutto il codice è open source, le specifiche sono pubbliche, e il processo di sviluppo avviene attraverso Matrix Spec Change (MSC) proposals trasparenti.

Matrix è adottato in diversi contesti istituzionali europei e nazionali, con iniziative di sovranità digitale e implementazioni governative in crescita, tra cui il progetto ZenDiS in Germania (openDesk). Nel nostro contributo “Digital Markets Act (DMA) e interoperabilità: crittografia e privacy a rischio per i sistemi di messaggistica?” abbiamo analizzato come Matrix possa garantire interoperabilità in totale sicurezza e rispetto per la privacy.

I client Matrix principali includono Element (desktop, mobile, web), Element X (nuova generazione, mobile), FluffyChat, Cinny e Nheko per il desktop.

Confronto tra le alternative

CaratteristicaWhatsAppXMPPMatrix
ArchitetturaCentralizzataFederataFederata
ProtocolloProprietarioAperto (IETF)Aperto (Matrix.org)
Self-hostingNoSìSì
E2EESì (Signal Protocol)Sì (OMEMO)Sì (Olm/Megolm)
Richiede telefonoSìNoNo
Controllo metadatiNessuno (l’utente non ha controllo)A livello di provider; Completo (self-host)A livello di provider; Completo (self-host)*
Audit pubblici / verifiche terze partiParziali (protocollo); scarsa trasparenza sui metadatiSpecifiche pubbliche + implementazioni open sourceSpecifiche pubbliche + implementazioni open source
InteroperabilitàNoSì (gateway)Sì (bridge)

* In Matrix, il controllo sui metadati è soggetto alla federazione e alle policy di configurazione delle stanze.

Nel modello WhatsApp / Meta l’utente non esercita alcun controllo tecnico o organizzativo sui metadati: l’intero trattamento è centralizzato e integralmente governato dal fornitore del servizio.

Al contrario, XMPP e Matrix consentono all’utente un controllo effettivo sui propri dati personali anche quando l’account è ospitato presso un provider, in quanto il modello federato favorisce l’esercizio dei diritti dell’interessato e la libertà di scelta del servizio, in linea con il principio espresso dal considerando 7 del GDPR.

Il pieno controllo anche sul piano infrastrutturale, inclusi i metadati di sistema, si realizza tuttavia solo nel caso di self-hosting, quando il soggetto che comunica controlla direttamente l’infrastruttura tecnica.

Raccomandazioni pratiche

Per chi desidera migrare verso soluzioni più rispettose della privacy, alcune indicazioni operative.

Per utenti individuali è consigliabile valutare un account Matrix su un homeserver pubblico affidabile (matrix.org, tchncs.de, nitro.chat) o un account XMPP su server con buona reputazione (conversations.im, jabber.de, disroot.org). Il passo successivo è installare un client moderno (Element X per Matrix, Conversations per XMPP su Android) e abilitare la crittografia end-to-end e la verifica dei dispositivi.

Per organizzazioni è indicato considerare il self-hosting di un homeserver Matrix (Synapse, Dendrite) o di un server XMPP (ejabberd, Prosody), definire policy di retention dei metadati coerenti con il principio di minimizzazione e formare gli utenti sulla verifica delle chiavi e sulle best practice di sicurezza.

Per contesti ad alta esposizione (giornalisti, attivisti, whistleblower) è essenziale utilizzare server dedicati e segregati, implementare Tor o VPN per mascherare anche i metadati di rete, e considerare protocolli aggiuntivi. A tal proposito, nel nostro contributo “SimpleX Chat: un’app per la messaggistica istantanea che rispetta la privacy” abbiamo descritto un’ulteriore alternativa particolarmente interessante per contesti ad alto rischio.

Implicazioni GDPR e profili di accountability

Le vulnerabilità emerse richiamano tre pilastri del GDPR.

Il principio di minimizzazione dei dati (art. 5, par. 1, lett. c) stabilisce che anche i metadati dovrebbero essere raccolti e trattati nella misura strettamente necessaria rispetto alle finalità. La ricerca dell’Università di Vienna ha evidenziato come molti utenti espongano pubblicamente dati non necessari alle funzionalità di base del servizio – ma la responsabilità primaria ricade sul fornitore che non implementa privacy by default.

La protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25) implica che la privacy non sia un accessorio, ma debba essere incorporata nelle scelte tecniche. Il fatto che le impostazioni predefinite di WhatsApp permettano la visibilità pubblica di foto profilo e testo “About” solleva questioni sulla conformità a questo principio.

Infine, la sicurezza del trattamento (art. 32) e l’approccio basato sul rischio richiedono che non sia sufficiente “non essere stati bucati”. Serve dimostrare l’adozione di misure adeguate rispetto a minacce realistiche, incluse quelle che passano dalla raccolta di segnali indiretti.

Dal punto di vista dell’accountability, Meta ha impiegato quasi un anno per fornire una risposta significativa alle numerose segnalazioni dei ricercatori. Solo dopo aver ricevuto una pre-print del paper e la notifica dell’intenzione di pubblicare, l’azienda ha richiesto una conference call e ha chiesto un rinvio della pubblicazione.

Conclusione: ripensare la comunicazione digitale

La lezione che emerge da queste ricerche è semplice ma spesso trascurata: la crittografia tutela il contenuto, ma la privacy tutela la persona, quindi anche il contesto.

I metadati sono parte integrante del trattamento e, in certe condizioni, diventano il livello più sensibile: non perché “raccontano” un messaggio, ma perché rendono il soggetto più esposto e, talvolta, più prevedibile.

In un ecosistema dove l’automazione aumenta la scala della raccolta e AI/ML rendono più efficiente la correlazione e la classificazione dei metadati, difendere il contesto è diventato importante quanto proteggere il contenuto. Le due ricerche qui analizzate dimostrano che anche sistemi maturi e ampiamente utilizzati possono contenere difetti di progettazione o implementazione con conseguenze concrete.

La disponibilità di alternative open source, federate e verificabili come XMPP e Matrix offre oggi una via d’uscita concreta dal modello centralizzato. Non si tratta di soluzioni perfette – ogni sistema ha le proprie sfide – ma di architetture che restituiscono agli utenti e alle organizzazioni il controllo sui propri dati e metadati.

La scelta non è più solo tecnica: è una decisione consapevole sul livello di autonomia e sovranità che si desidera mantenere sulle proprie comunicazioni digitali.

Fonti:

Articoli correlati su questo blog:

Hashtag correlati

#WhatsApp #Privacy #Metadata #GDPR #Cybersecurity #DataProtection #E2EE #Meta #BugBounty #Fingerprinting #PrivacyByDesign #DataMinimization #InfoSec #DigitalRights #XMPP #Matrix #OpenSource #Decentralization #Federation #OMEMO #DigitalSovereignty #SecureMessaging #OpenProtocols #SelfHosting #PrivacyFirst #TechPolicy