Checklist di sicurezza per Signal

Molta organizzazione dal basso avviene in gruppi Signal non verificati, dove non sai quanto puoi fidarti di tutte le persone del gruppo. Questi gruppi possono essere infiltrati da avversari di destra e dagli sbirri.

Usare un nome falso impedisce che qualcuno risalga alla tua vera identità con una semplice ricerca su Google.

Usare una foto che non mostra il tuo volto impedisce che qualcuno trovi i tuoi profili social tramite la corrispondenza delle immagini o il riconoscimento facciale.

Entrambi i passaggi ti aiutano a difenderti dal doxxing e dalle molestie online.

Lo stesso principio vale ancora di più per i social media. Se il tuo profilo Instagram, Facebook o LinkedIn associa il tuo nome completo reale a una foto chiara del tuo volto, chi vuole attaccarti può identificarti facilmente anche se il resto del profilo è privato. Per saperne di più, vedi Blinda i tuoi social media.

Ricorda anche alle persone dei tuoi gruppi di fare queste cose. La sicurezza è un gioco di squadra.

Se hai installato Signal prima di marzo 2024, quando sono stati introdotti i nomi utente, il tuo numero di telefono potrebbe essere ancora visibile alle altre persone.

Così ti proteggi da alcuni tipi di attacchi. Però controlla sempre con attenzione l'URL che ti mandano, per capire se viene da un sito che ti senti tranquillə ad aprire.

Background tecnico: Nel 2025 è stato pubblicato un attacco che permette a chi attacca di stimare la tua posizione con un margine di circa 250 miglia.

Di default, le chiamate su Signal si collegano direttamente tra te e l'altra persona. Questo significa che il dispositivo dell'altra persona può vedere il tuo indirizzo IP. Con un ordine del tribunale al tuo provider internet, il tuo indirizzo IP può essere usato per identificarti con precisione.

Attivando "Inoltra sempre le chiamate", le tue chiamate passano attraverso i server di Signal e il tuo indirizzo IP resta nascosto all'altra persona. (Se usi già una VPN, il tuo indirizzo IP è già nascosto.)

Il miglior passo avanti che tuttə possiamo fare nell'uso di Signal è assicurarci che i messaggi effimeri siano attivati di default. La maggior parte dellə attivistə con cui parliamo non li ha attivati di default. (E quasi tuttə si dimenticano di attivarli a mano per ogni nuova chat.)

Così proteggi te stessə e anche lə altrə. Non sappiamo di chi sarà il telefono che gli sbirri sequestreranno. Anche se pensiamo di parlare di cose perfettamente legali, il governo può trovare il modo di distorcere le nostre parole per cercare di montare un caso contro di noi per il nostro dissenso

Ci sono due cose da tenere d'occhio riguardo ai messaggi effimeri:

1. Primo, cambia l'impostazione predefinita così che ogni chat che crei abbia questa funzione attivata.
2. Secondo, assicurati che siano attivati nelle chat avviate da altrə: se qualcun altrə avvia la chat, potrebbe non avere i messaggi effimeri attivati. Potresti doverli attivare tu.

Scegliere la durata dei messaggi effimeri: quanto tempo impostare dipende da quanto sono delicati i tuoi messaggi. Una domanda che potresti farti è: "se il dispositivo di qualcunə venisse sequestrato o hackerato, quanto è importante che questi messaggi non siano accessibili?"

• Per chiacchierare di cose a basso rischio con amicə, potresti scegliere 4 settimane.
• Per il normale lavoro di organizzazione politica, potresti scegliere 1 settimana.
• Per le azioni più a rischio, potresti impostarlo su 1 giorno, 1 ora o 5 minuti, così i messaggi spariscono prima che l'azione inizi.

Se ti sequestrano il telefono, gli sbirri hanno due modi per accedere alla cronologia delle tue notifiche:

1. Possono vedere le notifiche sulla schermata principale senza sbloccare il telefono.
2. Se usano strumenti di hacking, possono accedere al registro delle notifiche ricevute dal tuo telefono. (Esempio dal caso Prairieland.)

Questo vale solo per i messaggi in arrivo. Ed è un rischio anche dopo che il messaggio è sparito da Signal (se hai attivato i messaggi effimeri).

Per info: se vuoi cancellare il registro delle notifiche che iOS ha già salvato, l'unico modo è ripristinare il telefono alle impostazioni di fabbrica e configurarlo come nuovo dispositivo, non da un backup, perché i backup includono la cronologia delle notifiche.

• Blocco schermo: se passi il telefono sbloccato a qualcuno, questa opzione fa sì che debba di nuovo usare volto/impronta/PIN per sbloccarlo prima di aprire Signal.
• Nascondi nel selettore app: nasconde i tuoi messaggi quando passi da un'app all'altra.

Così gli sbirri non possono vedere la cronologia delle tue chiamate Signal se ti sequestrano il telefono.

Se gli sbirri ti sequestrano il telefono, uno dei rischi più grandi è esporre tutta la tua rete. Anche se le persone non usano il loro vero nome sull'account Signal, dietro ogni nome utente Signal c'è comunque un ID univoco. E gli sbirri possono usarlo per collegare l'identità di qualcuno attraverso tanti dispositivi sequestrati.

Devi sia uscire dal gruppo SIA eliminarlo:

• Se esci soltanto dal gruppo, sul tuo telefono restano i vecchi messaggi e la cronologia di chi faceva parte del gruppo.
• Se elimini soltanto il gruppo, continueranno ad arrivare nuovi messaggi e la chat ricomparirà.

Consigli di igiene digitale:

• Imposta un promemoria ricorrente per fare pulizia nelle tue chat Signal ogni 3 mesi.
• Assicurati di segnarti da quali gruppi esci e a chi puoi chiedere di riaggiungerti dopo l'azione.

Nota: se trovi questo procedimento parecchio fastidioso e macchinoso (perché lo è!), è un altro buon motivo per usare un telefono secondario durante le azioni. Quel telefono starebbe solo nell'uno o due gruppi necessari per portare a termine l'azione di quel giorno.

Se qualcuno molto determinato riesce a scoprire il tuo numero di telefono, può provare a impossessarsene con una tecnica chiamata "SIM Swapping" oppure chiamando il tuo operatore e avviando la "portabilità" del numero verso un nuovo operatore. Poi potrebbero usare il tuo numero per registrare un account Signal e iniziare a ricevere i messaggi destinati a te.

Sono attacchi avanzati che alla maggior parte delle persone non capitano. Comunque, proteggere il tuo account Signal è facile.

Puoi proteggerti attivando il blocco registrazione su Signal. Impedisce a chiunque di prendere il controllo del tuo account, anche se riesce a rubarti il numero di telefono. Nessuno potrà registrare un nuovo account Signal con il tuo numero finché il tuo account non sarà rimasto inattivo per 7 giorni.

Se dimentichi il PIN, dovrai aspettare 7 giorni prima di poter creare un nuovo account (e i tuoi contatti non verranno recuperati). Scopri di più su PIN e blocco registrazione.

Su Android, la tastiera predefinita può registrare quello che scrivi.

Google e Apple non hanno chiarito quando i loro strumenti di IA mandano le nostre informazioni private (come i messaggi di Signal) dal nostro dispositivo ai loro servizi. Se finiscono sui loro server, il governo potrebbe accedervi con un ordine del tribunale.

Da quello che sappiamo, queste funzioni di IA per ora si limitano a riassumere le notifiche. Ma con l'aria che tira, potrebbero diventare ancora più invasive.

Leggi il nostro articolo Apple Intelligence legge i miei messaggi di Signal?

Stanno aumentando i messaggi falsi del "Supporto Signal" che cercano di prendere il controllo del tuo account.

Usa gli esempi qui sotto per riconoscere i messaggi falsi di Signal.

Ricorda: Signal non ti chiederà mai di inviare il tuo PIN o il codice di verifica. Te li chiederà solo quando installi l'app per la prima volta su un dispositivo.

Scopri di più sulle truffe e sul phishing su Signal.

Ecco alcuni esempi di messaggi truffa:

Quanto ci vuole per craccare un codice?

Nota: questi tempi valgono solo per i telefoni. I computer si possono craccare molto più in fretta e hanno bisogno di password molto più robuste.

Fonti: le stime nella tabella qui sopra si basano sul numero di tentativi al secondo effettivamente osservati con gli strumenti di hacking forense usati dagli sbirri. Se ti serve più sicurezza, usa un codice di 10 cifre: ti protegge anche negli scenari di cracking più estremi. Trovi le fonti nelle FAQ sui codici di sblocco qui.

Ogni volta che esce un nuovo aggiornamento del sistema operativo, chiude delle falle di sicurezza. Ogni aggiornamento che non hai installato significa una lista più lunga di modi in cui gli sbirri possono entrare nel tuo dispositivo. Immaginalo come un grande edificio con sempre più porte lasciate aperte.

Se il tuo sistema operativo non è aggiornato, molti degli altri consigli di questa guida non proteggeranno i tuoi dati.

Inizia dal telefono. Se stai facendo qualcosa di più rischioso, assicurati di aggiornare tutti i tuoi dispositivi.

Attenzione però: lo sblocco con volto e impronta ti permette di usare password più forti senza doverle digitare ogni volta. Se devi scegliere, è meglio avere un codice di sblocco più lungo che disattivare lo sblocco con volto/impronta. Se lasci attivi i dati biometrici, assicurati di sapere come disattivarli in fretta se stai per entrare in una situazione ad alto rischio (vedi i consigli qui sotto).

Lo spyware è un tipo di attacco avanzato, che sfrutta vulnerabilità sofisticate dei nostri dispositivi. Per questo, Apple e Google hanno introdotto una modalità di sicurezza avanzata che offre una protezione più forte contro lo spyware.

Su iPhone si chiama Lockdown Mode, mentre su Android si chiama Advanced Protection Program. (Puoi attivare il Programma di protezione avanzata anche solo sul tuo account Google, pure se non hai un telefono Android.)

Non ci risulta nessun caso di persone infettate da spyware che avessero attiva la Modalità di isolamento di Apple. La Protezione avanzata di Android è più recente e la sua efficacia deve ancora essere messa alla prova.

Signal cifra i tuoi messaggi così solo tu e l'altra persona potete leggerli. Ma in teoria, un attaccante esperto potrebbe mettersi in mezzo tra te e il tuo contatto, intercettando i messaggi prima di inoltrarli. Questo si chiama attacco "man-in-the-middle". I numeri di sicurezza ti permettono di confermare che la tua connessione cifrata arriva direttamente al tuo contatto, senza nessuno in mezzo.

La maggior parte delle persone non ha bisogno di farlo. Se chatti con amici e amiche di organizzazione quotidiana, la crittografia di Signal sta già facendo il suo lavoro. Ma se parli di qualcosa ad alto rischio (azioni dirette, questioni legali delicate, giornalisti che parlano con una fonte), verificare i numeri di sicurezza vale il passaggio in più.

Pensalo come un sigillo di ceralacca su una busta. La crittografia è il sigillo, ma un attaccante esperto potrebbe romperlo, leggere il contenuto e risigillarlo con la propria ceralacca. Verificare i numeri di sicurezza è il modo per confermare che nessuno ha sostituito il sigillo.