Checklist di sicurezza per WhatsApp

I backup predefiniti che WhatsApp crea su iCloud o Google Drive NON sono crittografati end-to-end. Questo significa che un tribunale può obbligare Apple o Google a consegnare tutta la cronologia delle tue chat. Anche se i tuoi messaggi sono stati inviati in modo sicuro, il backup annulla questa protezione, perché offre un modo facile per rivelare tutta la cronologia delle tue chat.

Disattivare i backup ti protegge anche se un hacker entra nel tuo account iCloud o Google tramite phishing o una password riutilizzata.

Se hai davvero bisogno dei backup, leggi Fai il backup sicuro delle tue chat di WhatsApp per scoprire come farlo in sicurezza.

Di default, chiunque con cui hai mai scambiato messaggi può vedere quando sei statə su WhatsApp l'ultima volta. Per chi fa attivismo, è un modo semplicissimo per mappare le tue abitudini di attività.

Attivando le Impostazioni rigorose dell'account accendi diverse protezioni tutte insieme. È una buona impostazione di base per chiunque faccia attivismo.

Attivare i messaggi effimeri come impostazione predefinita protegge di più te e i tuoi contatti se un telefono viene sequestrato o violato. Non sappiamo di chi sarà il telefono che gli sbirri sequestreranno. Anche se pensi di parlare di cose del tutto legali, il governo può trovare il modo di distorcere le tue parole.

Su WhatsApp puoi scegliere tra 24 ore, 7 giorni o 90 giorni. 7 giorni è una buona scelta predefinita, e poi puoi impostare a mano un tempo più breve per le conversazioni più delicate.

Tieni presente che le discussioni su temi politici o strategici potrebbero essere sorvegliate da gruppi di estrema destra, soprattutto nei gruppi o canali usati per la comunicazione/mobilitazione di massa, dove non hai il pieno controllo su chi entra.

Evita di scrivere su WhatsApp qualsiasi cosa che non pubblicheresti apertamente sui social.

Se stai pianificando azioni delicate con persone di fiducia, usa Signal.

Per chi fa attivismo, Meta AI è uno strumento di raccolta dati travestito da assistente utile. Tutto quello che gli chiedi sul tuo attivismo, sui tuoi contatti, sui luoghi che frequenti o sui tuoi piani viene salvato, usato per profilarti e potenzialmente consegnato agli sbirri.

Se tagghi @MetaAI in una chat di gruppo, i messaggi circostanti finiscono nei sistemi di Meta, anche se volevi solo fare una domanda veloce. Una volta che Meta AI entra nella conversazione, quella cronologia non resta più solo tra le persone nella chat.

Per tenere Meta AI fuori da chat e gruppi specifici, attiva anche la chat con restrizioni in quelle chat.

Cos'è "Dispositivi collegati"? WhatsApp ti permette di usare il tuo account su altri dispositivi (un computer, un tablet, un secondo telefono) collegandoli tramite un codice QR o un codice di collegamento. La maggior parte delle persone non usa mai questa funzione. Se vuoi saperne di più, dai un'occhiata alla guida ufficiale di WhatsApp.

Chi attacca ha capito che può ingannarti per farti collegare il suo dispositivo al tuo account. Se un sito web o una persona sconosciuta ti guida nella "verifica" chiedendoti di inserire un codice in WhatsApp, quella non è una verifica. In pratica, sei tu a dargli l'accesso completo alle tue chat. Lo stesso trucco funziona con i codici QR.

Quindi: non inserire mai un codice di collegamento e non scansionare mai un codice QR di WhatsApp perché te l'ha chiesto un sito web o una persona. Scansiona un codice QR di WhatsApp solo quando sei tu ad aver appena aperto WhatsApp Web o Desktop.

Puoi controllare il tuo account in qualsiasi momento. Vedi Controlla regolarmente i dispositivi collegati.

Il tuo PIN di WhatsApp e il codice di verifica a 6 cifre che WhatsApp ti manda via SMS sono le chiavi del tuo account. Chiunque li ottenga può prenderne il controllo.

Non condividere mai questi codici con nessuno, per nessun motivo. Vale anche se la persona dice di essere del "Supporto WhatsApp" o della "Sicurezza WhatsApp". WhatsApp non ti scriverà mai in privato, non ti chiamerà e non ti manderà SMS per chiederti il PIN o il codice di verifica. Se qualcuno te li chiede, è un tentativo di phishing.

Stanno aumentando i messaggi falsi che dicono di arrivare dal "Supporto WhatsApp" e cercano di rubarti l'account in questo modo. Se non sei sicurə che un messaggio sia autentico, non rispondere, non toccare nessun link e non inserire nessun codice. Invece, contatta WhatsApp dalla sezione Aiuto dell'app.

Restricted chat è un'impostazione da attivare chat per chat. Quando è attiva, nessuna persona in quella chat può:

• Esportare la chat
• Salvare automaticamente nella propria galleria foto e video della chat
• Usare le funzioni di Meta AI nella chat
• Aprire la chat su un dispositivo collegato, come WhatsApp Web, WhatsApp Desktop o un tablet

Serve a tenere gli agenti AI e le app WhatsApp non ufficiali fuori dalle tue chat. Questi strumenti si collegano all'account WhatsApp di una persona come dispositivo collegato. Se qualcuno nel tuo gruppo ne ha collegato uno, può leggere tutte le chat del suo account, compresa quella del vostro gruppo. Attivando Restricted chat, gli impedisci di leggere quella chat. Aiuta anche nel caso in cui qualcuno con cattive intenzioni inganni una persona nella chat e la convinca a collegare il proprio dispositivo al suo account (vedi Controlla regolarmente l'elenco dei dispositivi collegati di WhatsApp).

Devi attivarla per ogni chat sensibile. Non si può impostare automaticamente per tutte le chat e puoi modificarla solo dal tuo telefono principale.

Le foto e i video che ricevi su WhatsApp possono finire in più posti di quanto pensi. Di default, WhatsApp potrebbe salvarli direttamente nel rullino, e poi iCloud o Google Foto ne faranno il backup automatico sul cloud.

Questo significa che immagini sensibili (video delle proteste, foto di chi organizza, qualsiasi cosa che possa esporre la tua comunità) e i loro metadati (come il luogo e l'ora in cui è stata scattata la foto) possono restare in un account Google o Apple, dove gli sbirri possono ottenerli con un mandato di comparizione. A quel punto, cancellare ogni copia diventa molto più difficile.

Buona parte dell'organizzazione nelle comunità avviene in gruppi WhatsApp aperti, dove non sai fino a che punto puoi fidarti di tutte le persone presenti. Questi gruppi possono essere infiltrati da avversari di destra e dagli sbirri.

Usare un nome falso o solo il nome di battesimo impedisce a chiunque di risalire alla tua vera identità con una ricerca su Google. Usare una foto che non mostra il tuo volto impedisce a chiunque di trovare i tuoi profili social tramite la ricerca per immagini o il riconoscimento facciale. Entrambi i passaggi ti aiutano a difenderti dal doxxing e dalle molestie online.

Ricorda anche alle altre persone nei tuoi gruppi di farlo. La sicurezza è un gioco di squadra.

Ora WhatsApp ti permette di scegliere un nome utente. Una volta attivato il nome utente, chi non ha già salvato il tuo numero di telefono vedrà il tuo nome utente invece del numero. Puoi anche dare a qualcuno il tuo nome utente invece del numero di telefono quando vuoi metterti in contatto.

Conta soprattutto nei gruppi di organizzazione grandi o non verificati, dove possono infiltrarsi persone malintenzionate. Il tuo numero di telefono è uno dei modi più facili per scoprire chi sei.

WhatsApp sta attivando i nomi utente un Paese alla volta. Se dove vivi i nomi utente non sono ancora attivi, puoi comunque prenotarne uno adesso, così sarà pronto quando arriveranno.

WhatsApp ti permette di condividere la tua posizione in tempo reale con una persona o un gruppo per un periodo di tempo stabilito. È facile attivarla e dimenticarsene, soprattutto se hai iniziato a condividerla con qualcuno ore fa.

Per chi fa attivismo, una condivisione della posizione in tempo reale lasciata attiva è una mappa diretta dei tuoi spostamenti, visibile a chiunque sia nella chat.

L'opzione più sicura è lasciare i backup completamente disattivati (vedi Disattiva i backup delle chat di WhatsApp). Attiva i backup solo se ti servono davvero, per esempio se stai passando a un nuovo dispositivo o devi attraversare un confine e cancellare WhatsApp temporaneamente.

Se i backup ti servono, attiva il backup crittografato end-to-end integrato in WhatsApp. Senza questa protezione, Google o Apple possono essere costrette a consegnare tutta la cronologia delle tue chat agli sbirri.

Se gestisci un gruppo di organizzazione, le impostazioni del gruppo contano quanto le tue impostazioni personali.

La privacy di una chat di gruppo è forte quanto il suo membro meno sicuro. Se una persona è un'infiltrata o ha un dispositivo compromesso, tutto ciò che c'è nella chat può essere esposto. Aiuta il tuo gruppo a seguire insieme delle regole condivise.

WhatsApp ha una funzione più recente chiamata Community che ti permette di creare un gruppo principale che contiene più sottogruppi.

Il vantaggio per chi organizza è che le Community hanno una funzione di "privacy del numero di telefono", così i membri non possono vedere i numeri di telefono degli altri.

Se gestisci un grande gruppo di organizzazione su WhatsApp, valuta di passare a una Community per ridurre il rischio che i membri subiscano doxxing da parte di altri membri o di infiltrati.

Lo spyware è un tipo di attacco avanzato, che sfrutta vulnerabilità sofisticate dei nostri dispositivi. Per questo, Apple e Google hanno introdotto una modalità di sicurezza avanzata che offre una protezione più forte contro lo spyware.

Su iPhone si chiama Lockdown Mode, mentre su Android si chiama Advanced Protection Program. (Puoi attivare il Programma di protezione avanzata anche solo sul tuo account Google, pure se non hai un telefono Android.)

Non ci risulta nessun caso di persone infettate da spyware che avessero attiva la Modalità di isolamento di Apple. La Protezione avanzata di Android è più recente e la sua efficacia deve ancora essere messa alla prova.

Ogni volta che esce un nuovo aggiornamento del sistema operativo, chiude delle falle di sicurezza. Ogni aggiornamento che non hai installato significa una lista più lunga di modi in cui gli sbirri possono entrare nel tuo dispositivo. Immaginalo come un grande edificio con sempre più porte lasciate aperte.

Se il tuo sistema operativo non è aggiornato, molti degli altri consigli di questa guida non proteggeranno i tuoi dati.

Inizia dal telefono. Se stai facendo qualcosa di più rischioso, assicurati di aggiornare tutti i tuoi dispositivi.

Attenzione però: lo sblocco con volto e impronta ti permette di usare password più forti senza doverle digitare ogni volta. Se devi scegliere, è meglio avere un codice di sblocco più lungo che disattivare lo sblocco con volto/impronta. Se lasci attivi i dati biometrici, assicurati di sapere come disattivarli in fretta se stai per entrare in una situazione ad alto rischio (vedi i consigli qui sotto).

Quanto ci vuole per craccare un codice?

Nota: questi tempi valgono solo per i telefoni. I computer si possono craccare molto più in fretta e hanno bisogno di password molto più robuste.

Fonti: le stime nella tabella qui sopra si basano sul numero di tentativi al secondo effettivamente osservati con gli strumenti di hacking forense usati dagli sbirri. Se ti serve più sicurezza, usa un codice di 10 cifre: ti protegge anche negli scenari di cracking più estremi. Trovi le fonti nelle FAQ sui codici di sblocco qui.

Di recente Meta ha lanciato una funzione nell'app di Facebook che invia ai suoi server tutte le immagini della tua libreria foto per elaborarle. È una grave violazione della privacy e potrebbe esporre chi fa attivismo a rischi legali.

Meta (la società madre che possiede anche WhatsApp) sostiene che su WhatsApp non esista una funzione del genere. Anche così, vale la pena togliere a WhatsApp l'accesso completo alle foto, visto che l'azienda ha lanciato proprio questa funzione su Facebook.

Se ti confiscano il telefono, la cronologia delle notifiche può rivelare il contenuto dei messaggi e i nomi di chi li ha inviati, anche dopo che i messaggi stessi sono spariti. Leggi il caso Prairieland per capire perché è importante.

Con iOS/iPadOS 26.4.2 (e con la versione di manutenzione precedente 18.7.8) Apple ha risolto il problema per cui le notifiche in arrivo di Signal venivano conservate anche dopo che i messaggi erano stati disattivati. Anche se il problema è stato risolto, non è chiaro se i telefoni Android abbiano ancora la stessa vulnerabilità, quindi conviene nascondere le anteprime su entrambe le piattaforme.

Apple Intelligence e i riepiloghi delle notifiche di Android possono inviare parti delle tue notifiche a server cloud. Non è del tutto chiaro cosa venga inviato e dove, e un governo potrebbe ottenere quei dati con una richiesta formale.

Abbiamo un articolo su questo tema che riguarda Signal. Lo stesso ragionamento vale per WhatsApp: Apple Intelligence sta leggendo i miei messaggi Signal?

La funzione multi-dispositivo di WhatsApp è una delle vie principali per prendere il controllo del tuo account. Chi attacca ti inganna e ti fa scansionare un codice QR o inserire un codice di collegamento: da quel momento il suo computer può vedere tutti i messaggi che invii e ricevi.

La stessa infrastruttura multi-dispositivo è stata usata anche da spyware mercenari per colpire giornalistə e attivistə. Per saperne di più, leggi la nostra pagina sugli spyware.

Per le chat e i gruppi più delicati, attivare la chat con restrizioni tiene quelle chat completamente fuori dai dispositivi collegati, così anche un dispositivo collegato compromesso non può leggerle.