Il clone di Signal che Mike Waltz è stato sorpreso a usare ha accesso diretto alle chat degli utenti

L'app di comunicazione TeleMessage Signal, utilizzata da almeno un alto funzionario dell'amministrazione Trump per archiviare i messaggi, avrebbe già subito violazioni che evidenziano preoccupanti falle di sicurezza e hanno portato la sua società madre a imporre la sospensione del servizio questa settimana in attesa di indagini. Ora, secondo nuove e dettagliate scoperte del giornalista e ricercatore in sicurezza Micah Lee, la funzione di archiviazione di TM Signal sembra minare radicalmente le principali garanzie di sicurezza di Signal, inviando messaggi tra l'app e l'archivio messaggi di un utente senza crittografia end-to-end, rendendo così le comunicazioni degli utenti accessibili a TeleMessage.

Lee ha condotto un'analisi dettagliata del codice sorgente Android di TM Signal per valutarne il design e la sicurezza. In collaborazione con 404 Media, aveva già segnalato un attacco hacker a TM Signal nel fine settimana, che aveva rivelato alcuni messaggi degli utenti e altri dati – un chiaro segno che almeno alcuni dati venivano inviati in chiaro, o in chiaro, almeno in parte all'interno del servizio. Questo di per sé sembrerebbe contraddire le affermazioni di marketing di TeleMessage secondo cui TM Signal offre "crittografia end-to-end dal telefono cellulare all'archivio aziendale". Tuttavia, Lee afferma che le sue ultime scoperte dimostrano che TM Signal non è crittografato end-to-end e che l'azienda potrebbe accedere al contenuto delle chat degli utenti.

"Il fatto che ci siano log in chiaro conferma la mia ipotesi", dice Lee a WIRED. "Il fatto che il server di archivio fosse così facile da hackerare, e che TM Signal avesse una sicurezza di base così incredibile, era peggio di quanto mi aspettassi."

TeleMessage è un'azienda israeliana che ha completato l'acquisizione lo scorso anno da parte di Smarsh, società statunitense di archiviazione di comunicazioni digitali. TeleMessage è un appaltatore federale, ma le app consumer che offrenon sono approvate per l'uso nell'ambito del programma federale di gestione dei rischi e delle autorizzazioni (FedRAMP) del governo statunitense.

Smarsh non ha risposto alle richieste di commento di WIRED sulle conclusioni di Lee. L'azienda ha dichiarato lunedì: "TeleMessage sta indagando su un potenziale incidente di sicurezza. Dopo averlo rilevato, abbiamo agito rapidamente per contenerlo e abbiamo incaricato un'azienda esterna di sicurezza informatica di supportare la nostra indagine".

Le scoperte di Lee sono probabilmente significative per tutti gli utenti di TeleMessage, ma assumono particolare rilevanza dato che TM Signal è stato utilizzato dall'ex consigliere per la sicurezza nazionale del presidente Donald Trump, Mike Waltz. La scorsa settimana è stato fotografato mentre utilizzava il servizio durante una riunione di gabinetto e la foto sembrava mostrare che stava comunicando con altri funzionari di alto rango, tra cui il vicepresidente J.D. Vance, la direttrice dell'intelligence nazionale statunitense Tulsi Gabbard e quello che sembra essere il Segretario di Stato americano Marco Rubio. TM Signal è compatibile con Signal e rivelerebbe i messaggi inviati in una chat con qualcuno che utilizza TM Signal, indipendentemente dal fatto che tutti i partecipanti lo utilizzino o che alcuni utilizzino l'app Signal originale.

Lee ha scoperto che TM Signal è progettato per salvare i dati di comunicazione di Signal in un database locale sul dispositivo dell'utente e poi inviarli a un server di archiviazione per la conservazione a lungo termine. I messaggi, afferma, vengono inviati direttamente al server di archiviazione, apparentemente come log di chat in chiaro nei casi esaminati da Lee. L'analisi, afferma, "ha confermato che il server di archiviazione ha accesso ai log di chat in chiaro".

I dati prelevati dal server di archivio di TeleMessage durante l'attacco includevano registri di chat, nomi utente e password in chiaro, e persino chiavi di crittografia private.

In una lettera di martedì, il senatore statunitense Ron Wyden ha chiesto al Dipartimento di Giustizia di indagare su TeleMessage, sostenendo che si tratta di "una seria minaccia alla sicurezza nazionale degli Stati Uniti".

"Le agenzie governative che hanno adottato TeleMessage Archiver hanno scelto la peggiore opzione possibile", ha scritto Wyden. "Hanno offerto ai loro utenti un'app che assomiglia per aspetto e funzionalità a Signal, l'app di comunicazione sicura più affidabile. Invece, ad alti funzionari governativi è stata fornita una pessima imitazione di Signal che pone una serie di gravi minacce alla sicurezza e al controspionaggio. La minaccia alla sicurezza rappresentata da TeleMessage Archiver non è teorica".