WhatsApp dichiara di offrire la crittografia end-to-end per tutte le conversazioni. Questa protezione copre i messaggi di testo, le chiamate vocali e lo scambio di contenuti multimediali. Si basa sul protocollo Signal, un protocollo open source sottoposto regolarmente a verifiche da parte di ricercatori di sicurezza. Tuttavia, la crittografia non copre tutti i livelli di informazioni legati all’uso dell’applicazione, lasciando diverse zone d’ombra che le impostazioni predefinite non risolvono.
Backup di WhatsApp nel cloud: l’anello debole che la crittografia non protegge
La crittografia end-to-end si applica ai messaggi in transito tra due dispositivi. Quando un backup viene inviato su iCloud o Google Drive, esce da questo perimetro.
Per impostazione predefinita, i backup nel cloud non sono crittografati end-to-end. Restano leggibili dal provider di archiviazione e potenzialmente accessibili su richiesta delle autorità giudiziarie o in caso di compromissione dell’account cloud.
WhatsApp offre un’opzione dedicata per crittografare questi backup. Il 30 ottobre 2025, Meta ha annunciato l’introduzione delle passkey (impronta digitale, riconoscimento facciale o blocco schermo) per proteggere questa procedura, con un’implementazione graduale. L’attivazione resta manuale: bisogna andare in Impostazioni, poi Chat, quindi Backup e attivare la crittografia end-to-end del backup.
Un aspetto spesso poco noto riguarda la privacy dei dati su WhatsApp oltre al semplice scambio di messaggi: il backup rappresenta una copia integrale della cronologia, comprese foto e documenti. Non crittografarlo significa lasciare una copia di tutte le proprie conversazioni su un server di terze parti senza una protezione specifica.
Metadati di WhatsApp: cosa non viene nascosto dalla crittografia
Il contenuto dei messaggi resta illeggibile per Meta. I metadati, invece, vengono raccolti ed elaborati. Numeri di telefono dei contatti, orari degli scambi, frequenza d’uso, dati del profilo e indirizzo IP durante le chiamate: queste informazioni delineano un profilo dettagliato delle abitudini d’uso.
L’iniziativa europea Klicksafe ricorda che WhatsApp tratta questi metadati in base alle proprie condizioni d’uso. La crittografia protegge il contenuto, non il contesto della comunicazione. Sapere chi parla con chi, a che ora e da quale area geografica approssimativa consente già di ricostruire una rete di relazioni.
Protezione dell’indirizzo IP durante le chiamate
Durante una chiamata vocale o video, gli indirizzi IP dei partecipanti vengono scambiati per impostazione predefinita. Questa informazione rivela una posizione approssimativa. WhatsApp consente di instradare le chiamate attraverso i propri server per nascondere l’indirizzo: Impostazioni, poi Privacy, quindi Avanzate e attivare “Proteggi l’indirizzo IP durante le chiamate”.
Questo inoltro riduce leggermente la qualità audio. Il compromesso è accettabile per le chiamate standard, ma è importante sapere che questa opzione è disattivata per impostazione predefinita.
Privacy avanzata delle chat e limiti concreti
Annunciata da WhatsApp il 23 aprile 2025, la funzione di privacy avanzata delle chat risponde a un rischio specifico: la diffusione indesiderata del contenuto di una conversazione. Impedisce di esportare una chat e ai partecipanti di scaricare automaticamente i contenuti multimediali.
Questa opzione è pensata per i gruppi sensibili (gruppi di supporto, circoli professionali ristretti). Non riguarda la crittografia, ma il controllo sull’uso dei contenuti dopo la ricezione.
Il suo limite principale è di natura tecnica: nulla impedisce a un partecipante di fotografare lo schermo o trascrivere manualmente un messaggio. La funzione ostacola la diffusione automatizzata, non quella intenzionale. L’attivazione resta a discrezione di ogni utente o amministratore del gruppo.
Meta AI e accesso alle conversazioni di WhatsApp
L’integrazione di Meta AI in WhatsApp solleva una domanda diretta: l’assistente legge le conversazioni private? Secondo le pagine di assistenza e le condizioni pubblicate da Meta, l’assistente accede solo ai messaggi che un utente gli invia direttamente o in cui viene menzionato esplicitamente.
L’uso di Meta AI è quindi un’azione volontaria, distinta dalla normale messaggistica. Le conversazioni tra utenti non vengono trasmesse a Meta AI senza un’azione esplicita.
La precisazione riguarda le chat di gruppo: se un partecipante menziona Meta AI in un gruppo, l’assistente accede al messaggio in questione. Gli altri membri del gruppo devono esserne consapevoli, anche se la crittografia end-to-end continua ad applicarsi agli scambi tra persone all’interno dello stesso gruppo.
Impostazioni da controllare per limitare l’esposizione
Oltre agli aspetti già trattati, è opportuno controllare regolarmente diverse impostazioni:
- L’autenticazione a due fattori (verifica in due passaggi) aggiunge un PIN di sei cifre a ogni nuovo accesso. Si trova in Impostazioni, poi Account, quindi Verifica in due passaggi. Senza questa protezione, un aggressore che intercetta l’SMS di verifica può prendere il controllo dell’account.
- La visibilità della foto del profilo, dello stato e dell’ultimo accesso può essere limitata ai soli contatti. Per impostazione predefinita, queste informazioni sono visibili a tutti gli utenti di WhatsApp, facilitando la raccolta di informazioni da parte di sconosciuti.
- Il controllo degli inviti ai gruppi consente di limitare chi può aggiungere un numero a un gruppo. Impostazioni, poi Privacy, quindi Gruppi: scegliere “I miei contatti” o “I miei contatti eccetto” per evitare aggiunte indesiderate.
- Aggiungere un indirizzo email all’account offre un ulteriore metodo di recupero in caso di perdita dell’accesso, indipendente dal numero di telefono.
Normativa europea e condivisione dei dati con Meta
Il Digital Markets Act (DMA) impone a Meta obblighi di interoperabilità e trasparenza nel trattamento dei dati. Nello Spazio economico europeo, WhatsApp applica un’informativa sulla privacy specifica che disciplina la condivisione dei dati con le altre società del gruppo Meta.
La condivisione di metadati tra WhatsApp e Facebook o Instagram a fini pubblicitari è soggetta a restrizioni in Europa dall’entrata in vigore del GDPR e, successivamente, del DMA. Gli utenti europei beneficiano di un quadro normativo più protettivo rispetto a quello di altre regioni, ma il confine tra i dati necessari al funzionamento del servizio e quelli utilizzati a fini commerciali resta oggetto di controversie tra Meta e le autorità di regolamentazione.
Le impostazioni di privacy di WhatsApp non sostituiscono la necessaria attenzione all’intero ecosistema. Un account WhatsApp protetto che esegue il backup su un cloud non crittografato, associato a un account Meta utilizzato senza limitazioni alla condivisione, offre una protezione parziale. La coerenza tra le impostazioni di ciascun servizio resta il fattore determinante.
