WhatsApp e Telegram Web: gli allegati corretti nel 2017

Correzione del 31 ottobre 2026. Precisati client web, interazioni richieste e correzioni già distribuite nel 2017; distinta la cifratura delle chat cloud di Telegram da quella end-to-end.

Nel marzo 2017 Check Point rese pubblici due problemi nella gestione degli allegati da parte di WhatsApp Web e Telegram Web. Documenti costruiti appositamente potevano apparire come immagini o video e, con le interazioni descritte dai ricercatori, consentire il furto di dati della sessione nel browser.

Non bastava quindi “iniettare codice in una qualsiasi foto” e il risultato non riguardava indistintamente tutte le app mobili. I percorsi differivano fra i due client: nel caso Telegram descritto era richiesta anche l’apertura del contenuto in una nuova scheda.

La segnalazione originale di Check Point precisa che le aziende furono avvisate il 7 marzo e distribuirono correzioni prima della pubblicazione. Alla data di questo articolo, il 18 marzo 2017, non era corretto presentare il difetto come ancora privo di rimedio.

Il confine era nel browser

Una sessione sottratta può esporre ciò che il client è autorizzato a leggere o fare. La crittografia dei messaggi non rende sicura una gestione errata dei contenuti sul dispositivo. Inoltre le chat cloud di Telegram, accessibili dal web, non sono le Secret Chat end-to-end: la FAQ di Telegram distingue esplicitamente i due modelli.

Il caso insegna a verificare versioni, stato delle correzioni e dispositivi collegati, senza trasformare una vulnerabilità storica in un allarme permanente su qualunque immagine ricevuta.