Telegram accusa WhatsApp: le chat non sono davvero al sicuro (e il motivo è nei backup)

Una frase provocatoria, “le tue foto intime sono al sicuro con noi“, ha riacceso un confronto che in realtà dura da anni: quanto sono davvero protette le conversazioni sulle app di messaggistica? Il tema non nasce oggi. Dal 2016, quando WhatsApp ha introdotto la cifratura end-to-end su larga scala, il dibattito tra sicurezza reale e percezione dell’utente non si è mai fermato. Oggi la discussione torna centrale anche per effetto di nuove accuse e di una crescente attenzione pubblica verso la gestione dei dati personali: basti pensare che WhatsApp supera i 2 miliardi di utenti attivi, mentre Telegram si avvicina al miliardo. Numeri che trasformano ogni dettaglio tecnico in una questione di massa.

Le accuse di Durov e il tema dei backup cloud

Pavel Durov, fondatore di Telegram, ha attaccato frontalmente WhatsApp definendo la sua cifratura end-to-end una “truffa per i consumatori“.

Il punto non riguarda tanto la trasmissione dei messaggi, quanto la loro conservazione. Secondo Durov, fino al 95% delle conversazioni finirebbe in backup non crittografati end-to-end su servizi come Google Drive o iCloud, rendendo di fatto aggirabile la protezione dichiarata.

Dal punto di vista tecnico, l’osservazione non è infondata: WhatsApp utilizza il Signal Protocol per la cifratura end-to-end durante il transito dei messaggi, ma i backup cloud dei messaggi e degli allegati storicamente non erano protetti allo stesso modo. Solo a partire dal 2021 è stata introdotta un’opzione di backup cifrato end-to-end, disattivata di default e subordinata alla scelta dell’utente.

In pratica, la sicurezza reale dipende da una configurazione manuale. Ed è qui che nasce l’equivoco: molti utenti credono che la protezione sia totale, mentre in realtà esiste una superficie di esposizione significativa.

Cifratura end-to-end: cosa protegge davvero

Conviene chiarire un aspetto spesso frainteso. La end-to-end encryption (E2EE) protegge i dati durante il trasferimento tra dispositivi: il messaggio è cifrato sul telefono del mittente e decifrato solo su quello del destinatario. Nemmeno il server (i.e. gestore del servizio) può leggerlo, a meno della presenza di backdoor (il cui inserimento era stato in passato spesso richiesto da alcune autorità e governi occidentali…).

Il problema emerge fuori dal flusso principale. Quando il messaggio viene salvato, ad esempio in un backup automatico, esce dal perimetro della cifratura end-to-end. Se quel backup non è cifrato con una chiave controllata dall’utente, diventa accessibile al provider cloud o a chi riesce a compromettere l’account.

Va detto che WhatsApp non nasconde questa architettura. La documentazione ufficiale spiega chiaramente che i backup non sono protetti allo stesso modo della chat in tempo reale, almeno se l’utente non abilita le opzioni avanzate, accedendo alle impostazioni di WhatsApp, toccando Chat, scorrendo fino a trovare Backup delle chat e infine servendosi della funzione Backup crittografato end-to-end in basso (deve essere impostata su Sì).

Il problema è comunicativo: l’utente medio non distingue tra cifratura in transito e cifratura a riposo.

Rischi concreti per i backup di WhatsApp: attacchi, accessi e fraintendimenti

Il rischio legato ai backup di WhatsApp non è teorico. Gli attacchi più comuni passano proprio da lì: phishing su account Google o Apple, furto di credenziali, oppure accesso legale tramite richieste alle piattaforme cloud. In questi casi, il contenuto delle chat può diventare leggibile anche senza violare direttamente l’app di messaggistica e, in particolare, l’algoritmo crittografico end-to-end che agisce sullo scambio dei messaggi in transito.

Durov rincara la dose con dichiarazioni taglienti: “Apple e Google divulgano a terze parti i messaggi WhatsApp salvati nei backup migliaia di volte all’anno. Nel frattempo, Telegram non ha mai divulgato un solo byte dei messaggi degli utenti in tutta la sua storia di oltre 12 anni“.

E aggiunge un altro elemento di riflessione: “anche se applichi la cifratura ai tuoi backup di WhatsApp con una password robusta, i tuoi messaggi finiscono comunque in backup su cloud non crittografati, perché oltre il 90% delle persone con cui messaggi non ha fatto lo stesso. Aggiungi il fatto che WhatsApp memorizza e rivela con chi chatti, e il quadro è desolante“.

Cosa vuole sottolineare il CEO di Telegram? Che anche attivando la cifratura end-to-end in WhatsApp dalle impostazioni dell’applicazione (sezione Backup delle Chat, Backup crittografato end-to-end), la stragrande maggioranza degli utenti WhatsApp con i quali si scambiano messaggi non avrà fatto la stessa cosa quindi i dati delle conversazioni dell’utente saranno comunque potenzialmente estraibili dai backup Google Drive ed Apple iCloud degli altri utenti.

Il confronto con Telegram: differenze reali e percepite

Durov sfrutta la polemica per posizionare Telegram come alternativa più sicura. Ma qui la questione si complica.

Telegram non applica la cifratura end-to-end di default nelle chat standard: utilizza invece un modello client-server basato sul protocollo MTProto: i messaggi sono crittografati ma comunque gestiti sui server dell’azienda.

Le chat realmente end-to-end esistono, ma solo nella modalità Chat segreta, che l’utente deve attivare esplicitamente. In altre parole, Telegram privilegia accessibilità e sincronizzazione multi-dispositivo rispetto alla protezione totale “by default“.

WhatsApp cifra tutto di default (almeno per quanto riguarda i messaggi in transito) ma lascia un potenziale “buco” nella gestione dei backup; Telegram attiva la cifratura end-to-end solo nelle cosiddette Chat segrete, evitando però il problema dei backup cloud centralizzati ed assicurando di non aver mai condiviso alcun dato con terze parti. Nessuna delle due soluzioni è perfetta. Cambia il compromesso.

Una lettura critica dello scontro tra piattaforme di messaggistica

Le dichiarazioni di Durov non sono solo tecniche; hanno anche una dimensione competitiva evidente. Telegram e WhatsApp rappresentano due modelli opposti di gestione dei dati e dell’infrastruttura: le critiche reciproche fanno parte di una strategia di posizionamento, oltre che di una discussione sulla sicurezza.

Durov ne ha infatti anche per Signal: “è finanziato dal governo USA e ha troppe dipendenze discutibili da altre aziende statunitensi (AWS, Microsoft, Intel…)“.

Va detto che Signal (ma anche una soluzione come Tor!…) hanno ricevuto nel tempo anche finanziamenti legati al governo statunitense, in particolare tramite programmi come l’Open Technology Fund, ma ciò non implica un controllo diretto sulle piattaforme. Entrambi i progetti sono open source e sottoposti a verifiche pubbliche, rendendo estremamente difficile l’introduzione di backdoor senza essere scoperti. Piuttosto, questi finanziamenti rientrano in una strategia più ampia di promozione della libertà digitale e dell’accesso all’informazione, con implicazioni più geopolitiche che tecniche.

La polemica in essere ha comunque un merito: costringe a guardare oltre gli slogan. La cifratura end-to-end non è una garanzia assoluta; è una componente di un sistema più ampio, che include backup, metadati e gestione delle chiavi.