Intercettare WhatsApp: è davvero possibile? Cosa dicono la legge e la crittografia

Una delle domande piu’ comuni nell’ambito delle indagini informatiche e’ se sia possibile intercettare o spiare i messaggi WhatsApp di un altro numero di telefono. Questo articolo nasce per fare chiarezza su un tema spesso oggetto di dubbi e disinformazione: si possono davvero intercettare i messaggi WhatsApp? La risposta e’ netta: no, non e’ possibile leggere le conversazioni di altri utenti, ne’ dal punto di vista legale ne’ attraverso una “intercettazione” delle comunicazioni in transito. Nei paragrafi che seguono analizziamo in dettaglio le ragioni di questa impossibilita’, distinguendo con precisione il piano giuridico da quello tecnico-informatico, e chiarendo l’unico contesto in cui le autorita’ competenti possono accedere ai contenuti.

Affronteremo l’argomento sia dal punto di vista legale, sia da quello tecnico, rispondendo alle domande piu’ frequenti: chi puo’ leggere i miei messaggi, la polizia puo’ intercettare WhatsApp, cosa sono i tabulati WhatsApp e quanto restano conservati i messaggi.

Cosa significa “intercettare”:

Il termine intercettazione si riferisce all’ascolto e al controllo delle comunicazioni a distanza, effettuati senza il consenso dei soggetti coinvolti, mediante l’inserimento occulto di un terzo tra gli interlocutori.

Questa definizione si applica a qualsiasi forma di comunicazione privata, tra cui email, SMS, telefonate, posta cartacea e messaggi su WhatsApp, Telegram e altre app di messaggistica istantanea. Anche la registrazione di una conversazione tra due soggetti in un ambiente privato, eseguita da un terzo, rientra nella categoria delle intercettazioni.

Captazione e intercettazione: due cose diverse:

Un concetto distinto dall’intercettazione è quello di captazione. Registrare una conversazione alla quale si partecipa attivamente non costituisce reato: se un individuo registra un colloquio tra se’ e un’altra persona, non commette alcun illecito, perchè sta documentando una comunicazione di cui è parte.

Diverso è il caso in cui si decida di registrare, captare o intercettare una conversazione tra terzi, senza il loro consenso. Questo comportamento, sia che avvenga con mezzi telefonici, ambientali o tramite strumenti di messaggistica, è illegale.

L’intercettazione abusiva e’ un reato:

E’ fondamentale chiarire che qualsiasi forma di intercettazione abusiva è un reato penale. L’unico caso in cui è legalmente consentita è quando viene disposta dall’autorità giudiziaria nell’ambito di un’indagine, con le garanzie previste dalla legge.

Pertanto, chiunque sostenga di poter offrire servizi di intercettazione di WhatsApp o di altri sistemi di comunicazione per raccogliere informazioni a supporto di un’indagine sta dichiarando, di fatto, di poter commettere un reato. Inoltre, per i motivi tecnici che vedremo, queste promesse non corrispondono alla realta’.

Contrariamente a quanto si potrebbe pensare, il reato di intercettazione abusiva non riguarda solo la privacy, ma un diritto fondamentale sancito dalla Costituzione. L’articolo 15 della Costituzione stabilisce infatti che la libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione sono inviolabili, e che la loro limitazione può avvenire soltanto per atto motivato dell’autorità giudiziaria, con le garanzie stabilite dalla legge.

L’Agenzia Investigativa delle Alpi redige questo articolo a titolo informativo, prendendo fermamente le distanze da qualsiasi attività disonesta o illegale. Ribadiamo che ogni attività investigativa deve essere svolta nel pieno rispetto della normativa vigente e che nessun istituto di investigazioni, inclusa la nostra agenzia, è autorizzato a effettuare intercettazioni di alcun tipo: si tratta di un’attività riservata esclusivamente alle autorità competenti.

E’ possibile intercettare WhatsApp? L’analisi tecnica:

Rispondere alla domanda “è possibile intercettare WhatsApp?” significa, di fatto, parlare della solidità del sistema di sicurezza dell’applicazione.

WhatsApp è progettato per garantire la massima riservatezza grazie alla crittografia end-to-end (E2EE), che protegge messaggi, foto, video, chiamate e altri contenuti. Questo significa che solo il mittente e il destinatario possono accedere alle comunicazioni, mentre terze parti, inclusi malintenzionati, governi e la stessa WhatsApp, non possono leggerle nè ascoltarle.

Perchè WhatsApp non può leggere i messaggi:

I messaggi vengono cifrati sul dispositivo del mittente e possono essere decifrati solo sul dispositivo del destinatario. Neanche WhatsApp (o Meta, la società proprietaria) ha accesso ai contenuti delle conversazioni. La crittografia end-to-end funziona così:

1. Cifratura sul dispositivo mittente. Quando scrivi un messaggio, viene immediatamente cifrato utilizzando una chiave univoca.
2. Trasmissione sicura. Il messaggio viaggia sui server di WhatsApp in forma cifrata: nessuno puo’ leggerlo durante il transito.
3. Decifratura sul dispositivo del destinatario. Solo il destinatario possiede la chiave necessaria per decifrare e leggere il messaggio.

Anche se un malintenzionato riuscisse a intercettare un messaggio durante la trasmissione, vedrebbe solo un testo cifrato e incomprensibile, privo di significato senza la chiave di decrittazione, presente esclusivamente sui dispositivi del mittente e del destinatario. Questa sicurezza è garantita dall’integrazione con il Signal Protocol, considerato tra i sistemi di cifratura più avanzati e affidabili al mondo.

Il vero punto debole non è la cifratura, ma il dispositivo:

Qui sta il cuore della questione, spesso frainteso. La crittografia rende le comunicazioni inviolabili durante il transito: non è possibile “agganciarsi alla linea” e leggere i messaggi WhatsApp di due persone, come si farebbe con una vecchia intercettazione telefonica. L’unico punto in cui i messaggi esistono in chiaro è agli estremi della conversazione, cioè sui dispositivi del mittente e del destinatario (e, in alcuni casi, nei backup).

Ne consegue che chiunque prometta di “intercettare WhatsApp a distanza” sta affermando qualcosa di tecnicamente irrealistico. Le uniche modalità con cui un contenuto può essere realmente letto presuppongono l’accesso fisico o software al dispositivo, attività che per un privato cittadino costituisce reato e che, per le autorità, è ammessa solo entro i rigidi limiti che vediamo di seguito.

WhatsApp e le forze dell’ordine: cosa può fare l’autorità giudiziaria:

Una delle ricerche più frequenti riguarda le intercettazioni WhatsApp da parte della polizia: la polizia può intercettare WhatsApp? Possono farlo i carabinieri o la guardia di finanza? La risposta richiede una distinzione importante.

Le forze dell’ordine non “rompono” la crittografia end-to-end e non leggono i messaggi mentre viaggiano in rete: tecnicamente non è un’operazione praticabile. Quando l’autorità giudiziaria ha bisogno di accedere a comunicazioni protette, e sempre nell’ambito di un procedimento penale, agisce con strumenti diversi, autorizzati da un giudice.

Il captatore informatico (trojan):

Lo strumento principale è il cosiddetto captatore informatico, un software (un “trojan”) che viene installato sul dispositivo della persona indagata e che consente di acquisire le comunicazioni direttamente sull’apparecchio, prima della cifratura o dopo la decifratura. La giurisprudenza ha riconosciuto la legittimità di questo strumento e il legislatore lo ha disciplinato espressamente: le intercettazioni telematiche tramite captatore sono regolate dagli articoli 266 e 266-bis del codice di procedura penale.

Si tratta di uno strumento riservato all’autorità giudiziaria, soggetto ad autorizzazione del giudice e previsto per categorie di reati particolarmente gravi (tra cui criminalità organizzata, terrorismo e determinati reati contro la pubblica amministrazione). Non è in alcun modo a disposizione di privati, aziende o investigatori.

Sequestro del dispositivo e dei backup:

Un’altra via, alternativa all’intercettazione in tempo reale, è il sequestro del dispositivo: una volta acquisito il telefono, gli inquirenti possono analizzarne il contenuto (chat comprese) con strumenti di informatica forense. Allo stesso modo, l’autorità può richiedere l’acquisizione dei backup salvati nel cloud (Google Drive o iCloud), quando questi non sono protetti da crittografia end-to-end.

I tabulati WhatsApp e i metadati:

Anche se i contenuti dei messaggi non sono accessibili, restano i metadati delle comunicazioni, cioè le informazioni su chi ha contattato chi e quando. Sono i cosiddetti tabulati.

Cosa si vede dai tabulati WhatsApp? Si possono ricavare informazioni come il numero, gli orari di invio e ricezione, la frequenza dei contatti e i dati tecnici del dispositivo, ma mai il contenuto dei messaggi o delle chiamate. La conservazione e l’acquisizione di questi dati sono disciplinate dall’articolo 132 del Codice Privacy: i dati di traffico telefonico sono conservati fino a 24 mesi, quelli di traffico telematico fino a 12 mesi. Dopo le modifiche introdotte nel 2021, l’acquisizione dei tabulati richiede l’autorizzazione di un giudice ed è ammessa solo per reati di una certa gravità. Va inoltre considerato che i dati relativi a WhatsApp sono detenuti da Meta e che la loro acquisizione passa, di norma, attraverso canali di cooperazione giudiziaria internazionale.

In sintesi: ciò che per un privato è un reato, per l’autorità giudiziaria è un’attività eccezionale, limitata a reati gravi, autorizzata da un giudice e mai eseguibile “rompendo” la crittografia a distanza.

Quali dati conosce e quali NON conosce WhatsApp:

Anche se i messaggi e le chiamate sono protetti dalla crittografia end-to-end, WhatsApp raccoglie diversi metadati, ovvero informazioni sull’uso dell’app.

Tra i dati che WhatsApp conosce:

• Numero di telefono e dati del profilo (nome, foto, stato);
• Orari di invio e ricezione di messaggi e chiamate (ma non il contenuto);
• Con chi si comunica e con quale frequenza;
• Tipo di contenuti inviati (testo, foto, video, audio);
• Indirizzo IP e dati del dispositivo (modello, sistema operativo, rete);
• Utilizzo dell’app (ultimo accesso, stato online, impostazioni di privacy);
• Dati condivisi con Meta (interazioni con aziende, identificativo pubblicitario).

Tra i dati che WhatsApp NON conosce:

• Contenuto dei messaggi e delle chiamate;
• Foto, video e documenti inviati o ricevuti;
• Audio delle chiamate;
• Posizione in tempo reale (se condivisa in chat, perchè anch’essa cifrata).

 Per quanto tempo WhatsApp conserva i messaggi?

Una domanda ricorrente riguarda la durata di conservazione dei messaggi. WhatsApp non conserva i contenuti dei messaggi e delle chiamate sui propri server dopo la consegna.

• Se il destinatario è online, il messaggio viene consegnato immediatamente e rimosso dai server.
• Se il destinatario è offline, il messaggio viene conservato temporaneamente fino alla consegna, per un massimo di 30 giorni, dopodichè viene eliminato automaticamente.
• Anche le chiamate non vengono registrate nè archiviate.

Vengono invece conservati per un certo periodo i metadati delle comunicazioni (chi ha contattato chi, orari, tipo di contenuto), che possono essere resi disponibili alle autorità in caso di richiesta legale.

Si possono recuperare i messaggi WhatsApp cancellati?

Quando si elimina un messaggio, questo viene rimosso dal dispositivo e, se gia’ consegnato, non e’ piu’ presente sui server di WhatsApp. Il recupero e’ possibile solo in casi limitati: ad esempio se il messaggio e’ incluso in un backup precedente alla cancellazione, oppure tramite analisi forense del dispositivo da parte di personale specializzato. Non esistono invece servizi che, da remoto e senza accesso al telefono, possano “recuperare” le conversazioni cancellate di un altro utente: si tratta, ancora una volta, di promesse irrealistiche.

Le chiamate e le videochiamate WhatsApp possono essere intercettate?

La domanda vale anche per la voce: le chiamate e le videochiamate WhatsApp possono essere intercettate o spiate? Anche le chiamate e le videochiamate sono protette dalla crittografia end-to-end, esattamente come i messaggi. Non vengono registrate da WhatsApp e non sono “ascoltabili” da terzi durante la trasmissione. Valgono qui le stesse considerazioni viste per i messaggi: l’unico punto di possibile accesso è il dispositivo, con le limitazioni di legge già descritte.

I backup nel cloud: il vero anello debole:

Se l’utente attiva il backup delle chat, i messaggi vengono salvati su Google Drive o iCloud. Per impostazione predefinita questi backup non sono protetti dalla crittografia end-to-end, il che significa che potrebbero risultare accessibili in caso di compromissione dell’account cloud o di richiesta legale.

E’ però importante sapere che WhatsApp mette a disposizione, da alcuni anni, un’opzione per proteggere anche i backup con crittografia end-to-end, tramite una password o una chiave a 64 cifre conosciuta solo dall’utente. Si attiva manualmente in “Impostazioni > Chat > Backup delle chat > Backup crittografato end-to-end“. Si tratta di una funzione opt-in, che la maggior parte degli utenti non attiva: ed è proprio per questo che il backup, e non la cifratura dei messaggi, rappresenta oggi il punto più vulnerabile.

Quanto costa intercettare o spiare WhatsApp?

In rete si trovano servizi e applicazioni che promettono di intercettare i messaggi WhatsApp “per pochi euro”. E’ bene essere chiari: non esiste un prezzo per intercettare WhatsApp a distanza, perche’ tecnicamente non e’ possibile e legalmente costituisce reato.

Se fosse davvero semplice ed economico intercettare i messaggi o le chiamate, assisteremmo quotidianamente a scandali legati alla diffusione di conversazioni private di personaggi pubblici. La realta’ e’ diversa: governi di tutto il mondo investono ingenti risorse nel tentativo di violare la sicurezza delle principali piattaforme di messaggistica, senza risultati replicabili su larga scala.

Particolare attenzione va prestata ai cosiddetti software spyphone, che promettono di “spiare” uno smartphone. Nella realtà la loro installazione richiede l’accesso fisico al dispositivo e, spesso, lo sblocco o il rooting del telefono. Oltre a essere tecnicamente complesso, questo tipo di operazione è illegale e può comportare gravi conseguenze penali, sia per chi la commissiona sia per chi la esegue. Molti di questi servizi, inoltre, sono semplici truffe o veicoli di malware.

Come capire se il proprio WhatsApp è sotto controllo:

Se il timore e’ di essere spiati, e’ utile sapere che il vettore piu’ frequente non e’ una sofisticata intercettazione, ma metodi molto piu’ semplici: l’accesso fisico al telefono o il collegamento di un dispositivo non autorizzato tramite WhatsApp Web. Alcune buone pratiche di base:

• Controllare periodicamente i dispositivi collegati in *Impostazioni > Dispositivi collegati* e disconnettere quelli sconosciuti;
• Attivare la verifica in due passaggi;
• Non condividere mai i codici di verifica ricevuti via SMS;
• Usare il blocco delle chat e mantenere aggiornati telefono e applicazione.

Approfondiremo i segnali, i sintomi e le verifiche da fare in un articolo dedicato: come capire se il telefono è intercettato.

La soluzione legale: raccogliere prove in modo valido:

Se siete arrivati fin qui, avrete compreso la complessità del tema e i rischi legali connessi a pratiche di intercettazione non autorizzate. Spesso, peraltro, chi cerca di “intercettare WhatsApp” ha già legittimo accesso a una conversazione (ad esempio una chat sul proprio dispositivo) e ha bisogno soltanto di darle valore probatorio.

Per questo esiste la cristallizzazione: l’acquisizione formale di un contenuto digitale, eseguita garantendone l’integrità e attribuendo una data certa, in modo che possa essere utilizzato come prova. E’ una procedura lecita, ben diversa dall’intercettazione, che approfondiremo in un articolo dedicato: la cristallizzazione delle prove digitali.

Agenzia Investigativa delle Alpi, autorizzata ex art. 134 T.U.L.P.S. dalla Prefettura di Torino e attiva dal 1992, vanta oltre 30 anni di esperienza nel settore delle investigazioni ed è un punto di riferimento a livello nazionale per l’acquisizione di prove in modo legale e utilizzabile in sede di giudizio. Operiamo a Torino, in Piemonte e su tutto il territorio nazionale.

Contattandoci, un colloquio con il responsabile permetterà di valutare il vostro caso con un approccio personalizzato, fornendovi soluzioni efficaci e conformi alla normativa vigente. Grazie all’impiego di metodologie investigative avanzate, tra cui OSINT (Open Source Intelligence), SOCMINT (Social Media Intelligence) e HUMINT (Human Intelligence), siamo in grado di raccogliere informazioni strategiche e probatorie in maniera lecita e documentata.

Domande frequenti (FAQ):