Il 23 maggio, l’attore NormalLeVrai ha pubblicato su forum clandestini un presunto dataset di circa 3 miliardi di record associati a WhatsApp, contenente campi come nome, numero di telefono, e-mail, indirizzo fisico e metadati relativi agli account. Nello stesso giorno, l’attore offriva anche un presunto zero-day per WhatsApp a US$ 3.000. Poche ore dopo, è stato bannato dalle piattaforme analizzate.

La narrativa del "più grande hack di WhatsApp della storia" non regge. Il campione osservato rimanda a record del 2023, la comunità underground ne ha contestato l’originalità e non esistono prove di un’intrusione nell’infrastruttura di Meta. Anche l’offerta del presunto zero-day a US$ 3.000 appare poco credibile: le catene affidabili di exploit remoto contro applicazioni ampiamente utilizzate operano generalmente in fasce di prezzo molto più elevate, spesso milionarie, nei mercati specializzati.

Ma il rischio è reale. Solo che si trova nella parte sbagliata della storia.

Il vero pericolo: contesto fabbricato su larga scala

L’ingegneria sociale non ha bisogno di uno zero-day. Ha bisogno di abbastanza contesto per sembrare legittima. Un dataset contenente nome completo, numero di telefono, e-mail e indirizzo fisico fornisce esattamente questo. Anche se i dati sono vecchi, riconfezionati, duplicati o arricchiti da più fonti, consentono ad attaccanti con limitata sofisticazione tecnica di costruire approcci convincenti su scala industriale.

Con questa combinazione di campi diventano possibili:

• Phishing e smishing mirati. Un messaggio che cita il tuo nome, numero di telefono e città non sembra spam generico. Sembra provenire da qualcuno che sa chi sei. Questo contesto trasforma un tentativo comune in una truffa credibile.

• Truffe di falso supporto. Lo script è semplice: "Abbiamo identificato attività sospette sul tuo account. Per confermare la tua identità, comunica il codice appena inviato al tuo telefono." Quando l’attaccante conosce già dati personali della vittima, l’approccio supera il filtro basilare di diffidenza di molti utenti.

• SIM swap contestualizzato. Numeri validati associati a nome e indirizzo possono facilitare attacchi di ingegneria sociale contro operatori telefonici, fase preliminare al trasferimento fraudolento della linea, intercettazione di SMS e sequestro di account collegati al numero.

• Arricchimento incrociato dei dataset. I dati isolati hanno valore limitato. Combinati con stealer logs, precedenti leak, registri pubblici e database commerciali, creano un profilo della vittima molto più utilizzabile. Più campi sono disponibili, più l’approccio diventa personalizzato, e pericoloso.

Il rischio si moltiplica per le aziende

Le organizzazioni che utilizzano WhatsApp come canale di assistenza, vendita o supporto sono doppiamente esposte: i clienti possono essere contattati da criminali che si spacciano per il brand, mentre i dipendenti possono diventare bersagli di pretesti aziendali costruiti con dati reali.

La combinazione di nome, numero di telefono, ruolo deducibile e affiliazione organizzativa può essere sufficiente per costruire un attacco di impersonation contro team finance, HR, supporto, commerciale o direzione esecutiva.

Cosa cambia nella pratica

La lezione del caso NormalLeVrai non è che WhatsApp sia stato hackerato. È che i vecchi dati, una volta ampiamente distribuiti e combinati con altri leak, continuano a generare valore criminale per anni.

Per gli utenti: non condividete mai codici di verifica. Se qualcuno utilizza i vostri dati personali per sembrare legittimo, questo è un segnale di allarme, non di fiducia.

Per i team di sicurezza: riducete la dipendenza da SMS e WhatsApp nei flussi sensibili di autenticazione, monitorate le redistribuzioni del dataset e le campagne derivate, e formate gli utenti affinché comprendano che dati reali nelle mani di un criminale non rendono legittima una richiesta.

Conclusione

L’ingegneria sociale su larga scala non richiede una vulnerabilità tecnica. Richiede dati sufficienti per sembrare reale.

Analisi basata su evidenze primarie raccolte dal team safe-e, screenshot dei thread, profiling dell’attore e riferimenti pubblici di threat intelligence.