L'incredibile storia del clone di Signal, vulnerabile, usato dall'Amministrazione Trump per scambiare dati riservati

Le proporzioni del caso TeleMessage si fanno sempre più sconcertanti. Al centro della vicenda vi sono infatti l’uso di app di messaggistica non ufficiali da parte di alti funzionari governativi, vulnerabilità tecniche potenzialmente sfruttate o quanto meno sfruttabili da attori malevoli, e una catena di eventi che sollevano interrogativi profondi su sicurezza, compliance normativa e rischio geopolitico.

Cos’è TeleMessage e perché è nella bufera

L’ex Consigliere per la Sicurezza Nazionale USA Mike Waltz, recentemente allontanato, è stato di recente “pizzicato” da una fotografa di Reuters (Evelyn Hockstein) mentre utilizzava l’app TeleMessage.

TeleMessage è una piattaforma di messaggistica sviluppata in Israele e acquisita nel 2024 dalla statunitense Smarsh, specializzata in soluzioni di archiviazione e compliance per comunicazioni digitali. Si propone come una variante “aziendale” della nota ed apprezzata Signal, offrendo funzionalità di cifratura end-to-end simili ma introducendo strumenti di archiviazione e backup pensati per agevolare lo storage dei messaggi ai fini della normativa federale sulla trasparenza e la conservazione dei dati.

Nonostante ciò, TeleMessage non è approvata nell’ambito del Federal Risk and Authorization Management Program (FedRAMP), standard federale per la sicurezza delle applicazioni cloud adottate dal governo USA. L’adozione dell’app da parte di Waltz e di altri funzionari dell’Amministrazione Trump rappresentava quindi, già di per sé, una deviazione dalle best practice di sicurezza federale.

La cronologia degli eventi: dal “Signalgate” all’hack di TeleMessage

• Marzo 2025 – Mike Waltz crea un gruppo Signal per coordinare le operazioni militari in Yemen, includendo accidentalmente il giornalista direttore di The Atlantic. L’incidente rivela l’uso improprio di chat effimere per gestire discussioni riservate, strettamente legate con la sicurezza nazionale, violando i protocolli di sicurezza e le normative sulla conservazione dei record federali.
• Maggio 2025 – Scoperta di TeleMessage: una foto Reuters realizzata da Evelyn Hockstein, mostra Waltz durante una riunione di gabinetto mentre utilizza TeleMessage (identificata come “TM SGNL”). L’app, apparentemente simile a Signal, è in realtà una versione modificata con funzioni di archiviazione “integrate”. I destinatari dei messaggi includevano figure come Marco Rubio, Tulsi Gabbard e JD Vance.
• 5 maggio 2025 – La violazione: 404 Media rivela che un hacker ha sfruttato una vulnerabilità individuata nel backend di TeleMessage, riuscendo a intercettare messaggi di alcuni utenti. Sebbene non vi siano prove che i messaggi di Waltz o di altri membri del gabinetto siano stati compromessi, la notizia scatena un’ondata di preoccupazione sulla sicurezza delle comunicazioni governative.

A valle dell’accaduto, Smarsh ha comunicato di aver immediatamente sospeso tutti i servizi TeleMessage e di aver proceduto ad avviare un’indagine con il supporto di una società di cybersecurity esterna. Anche altre agenzie federali, come la Customs and Border Protection, prescrivono la disattivazione dell’app in via precauzionale.

Analisi tecnica della vulnerabilità di TeleMessage

In primis, è opportuno rimarcare che Signal, app di messaggistica ripetutamente consigliata anche da figure di spicco come Edward Snowden, non è al momento interessata da alcuna vulnerabilità nota.

Ciò che hanno fatto gli autori di TeleMessage è riutilizzare il codice open source di Signal per introdurre una serie di modifiche. Nello specifico, si sono aggiunte funzionalità specifiche per consentire l’archiviazione centralizzata dei messaggi, una funzione richiesta da molte organizzazioni pubbliche e private per esigenze di conformità normativa.

Secondo gli esperti, modificare il funzionamento dei meccanismi di storage e backup di un’app di messaggistica cifrata può compromettere l’integrità del modello di crittografia end-to-end: i messaggi, una volta archiviati su server esterni, possono diventare accessibili da parte di soggetti terzi, soprattutto in presenza di vulnerabilità lato backend.

L’hacker, rimasto anonimo, ha dichiarato a 404 Media di aver avuto accesso diretto ai sistemi di backend di TeleMessage, riuscendo a estrarre messaggi da più utenti e fornendo prove parzialmente verificate dalla redazione.

Quella che ai funzionari dell’Amministrazione Trump è sembrata una “mossa furba” (usare un’applicazione che sfrutta le basi di Signal, abbinando un meccanismo di storage aggiuntivo) si è trasformata in un pericoloso boomerang.

Seguendo queste indicazioni, potete divertirvi anche voi ad analizzare il sorgente del clone di Signal usato dall’Amministrazione Trump: come conferma Micah Lee, contiene diverse vulnerabilità e, addirittura, credenziali hardcoded. Complimenti a tutti!

Gli impatti su sicurezza e conformità

Il giorno dopo la scoperta dell’uso di TeleMessage, Trump ha rimosso Waltz dall’incarico di Consigliere per la Sicurezza Nazionale. Tuttavia, come racconta 404 Media, i buoi sono ormai scappati dalla stalla.

La compromissione di una piattaforma utilizzata da alti funzionari statunitensi rappresenta un potenziale rischio di intelligence senza precedenti, soprattutto considerando che TeleMessage nasce all’estero (in Israele) e solo successivamente passa sotto il controllo di Smarsh. La possibilità che messaggi sensibili siano stati archiviati e poi esfiltrati da un attore esterno solleva inoltre forti dubbi sulla sicurezza dell’intera catena di comunicazione governativa.

L’hacker protagonista della scoperta della “scomoda” vulnerabilità, afferma di non aver avvisato TeleMessage prima di rendere pubblica la violazione, temendo un tentativo di insabbiamento.

Signal non supporta l’uso di versioni non ufficiali

Signal scoraggia fortemente l’uso e la promozione di client non ufficiali o modificati: le versioni modificate possono introdurre vulnerabilità, backdoor o comportamenti non sicuri, compromettendo la sicurezza e la privacy degli utenti. Inoltre, Signal non garantisce la sicurezza né offre supporto per client derivati o modificati. Anche se questi, derivati dal codice sorgente originale, riescono a inviare e ricevere dati appoggiandosi al network della fondazione diretta da Meredith Whittaker.

Modifiche al codice originale, soprattutto per aggiungere funzionalità come archiviazione centralizzata o backup su server esterni, possono rompere il modello di sicurezza end-to-end. Ad esempio, TeleMessage, basata su Signal, ha introdotto archiviazione non cifrata lato server, che ha portato a una grave violazione.

Le versioni modificate di Signal, così come di qualunque altro client di messaggistica, possono includere moduli dannosi che raccolgono dati sensibili e li inviano a server controllati da terzi, come dimostrato da casi di mod spyware per Signal e Telegram diffuse attraverso vari canali.

Infine, va osservato come i client non ufficiali non ricevano patch di sicurezza tempestive e non siano sottoposti agli stessi controlli rigorosi del client ufficiale.

Signal e il rilascio del codice sorgente

Signal è un’applicazione open source, il cui codice sorgente è pubblicamente disponibile per garantire trasparenza, sicurezza e verifica indipendente da parte della comunità e degli esperti di cybersecurity. Il rilascio del codice serve a:

• Consentire a chiunque di esaminare e verificare la robustezza della crittografia end-to-end.
• Favorire lo sviluppo collaborativo e il miglioramento continuo della sicurezza.
• Aumentare la fiducia degli utenti mostrando che non ci sono backdoor o pratiche nascoste.

Questa apertura è una scelta di trasparenza e sicurezza, non un invito a creare versioni modificate non ufficiali.

A questo proposito, la vice segretaria stampa della Casa Bianca Anna Kelly ha dichiarato che “Signal è un’applicazione approvata per l’uso governativo ed è caricata sui telefoni del governo“.

Mentre gli esperti di sicurezza si “spolmonano” a spiegare come verificare la corrispondenza tra codice sorgente di un’applicazione (pubblicata ad esempio su GitHub) e versioni compilate distribuite attraverso i principali “store”, l’Amministrazione a stelle e strisce non si fa problemi a usare un’app non ufficiale, intrinsecamente insicura.

Credit immagine in apertura: iStock.com – Svetlana Shamshurina