Cosa è successo
Questa settimana un ricercatore di sicurezza ha dimostrato un semplice trucco sui telefoni Android. Quando un telefono bloccato riceve una videochiamata WhatsApp, si può rispondere alla chiamata direttamente dalla schermata di blocco. Dall'interno di quella chiamata, la funzione di effetti foto e sfondo di WhatsApp può essere guidata ad aprire la galleria foto del telefono — e da lì è visibile l'intero rullino. In nessun momento il telefono chiede il PIN, la sequenza o l'impronta digitale che normalmente lo proteggono.
La parte importante per le persone comuni è ciò che non richiede: nessuna password, nessuna attrezzatura speciale e nessuna competenza da hacker. Richiede però che qualcuno abbia fisicamente in mano il tuo telefono. È un problema del tipo “qualcuno ha preso il tuo telefono”, non del tipo “qualcuno dall'altra parte del mondo”.
Quanto dovresti preoccuparti?
Mantieni le proporzioni. Poiché l'aggressore deve avere in mano il tuo telefono vero e proprio, non è il tipo di falla che permette a sconosciuti online di frugare tra le tue foto. Il rischio reale è più vicino: un telefono perso o rubato, o un momento in cui lo tiene in mano qualcuno di cui preferiresti non fidarti.
Meta e Google sono state informate del problema, che è la via normale per farlo correggere. Ma al momento in cui scriviamo non è stato rilasciato alcun aggiornamento che lo chiuda, quindi conviene fare tu stesso il passo di un minuto qui sotto invece di aspettare.
La soluzione in due minuti
Non devi disinstallare nulla. La soluzione più pulita è smettere di dare a WhatsApp l'accesso alla tua intera libreria foto, così che anche se il bug viene attivato ci sia ben poco da mostrare.
Su Android: apri Impostazioni → App → WhatsApp → Autorizzazioni → Foto e video, e cambia da “Consenti tutto” a “Consenti accesso limitato” (alcuni telefoni la chiamano “Foto selezionate”) oppure “Chiedi ogni volta”. Puoi comunque scegliere e inviare singole foto in WhatsApp — ti chiederà semplicemente ogni volta invece di avere le chiavi di tutto.
Già che sei lì, è una buona abitudine scorrere le altre app e porti una domanda semplice: quest'app ha davvero bisogno di tutto il mio rullino? Per la maggior parte delle app la risposta è no. Limitare l'accesso alle foto è una delle impostazioni di privacy più preziose su un telefono, e questo bug è un buon promemoria per usarla.
La lezione più ampia: bloccato non è lo stesso che sigillato
È allettante pensare alla schermata di blocco come a un muro attorno a tutto ciò che c'è sul telefono. In realtà è più simile a una porta d'ingresso: impedisce a qualcuno di entrare con disinvoltura, ma non è mai stata pensata per essere l'unica cosa tra uno sconosciuto e i tuoi file più privati. Le app a cui hai concesso un accesso ampio possono, attraverso un bug come questo, diventare una finestra laterale.
Ecco perché il posto più sicuro per quel pugno di foto, video e documenti che non vorresti mai far vedere a uno sconosciuto non è affatto il rullino comune. È uno spazio separato e crittografato — protetto da un proprio segreto, e che le altre app semplicemente non possono raggiungere anche quando si comportano male. Un bug in un'app non dovrebbe poter esporre le cose che contano di più.
Dove si colloca Sealby
Sealby non corregge WhatsApp, e non impedirà a qualcuno di prendere in mano il tuo telefono. Ciò che fa è dare alle tue foto, video, note e file più sensibili una casa tutta loro: crittografati sul tuo dispositivo, aperti solo con il tuo PIN o la tua passphrase, e tenuti fuori dal rullino condiviso che le app ordinarie possono vedere. Così, quando comparirà la prossima storia del tipo “il telefono bloccato non era poi così bloccato” — e ce n'è sempre una prossima — le cose a cui tieni di più non saranno lì dove può arrivare l'errore di una singola app.