Cosa è davvero possibile (e cosa no)
Negli ultimi giorni sta circolando molto un thread su Reddit che ha riportato l’attenzione su un tema spesso sottovalutato: quanto sia facile ricavare informazioni personali partendo da un semplice numero di telefono.
Alla discussione si è affiancato anche un progetto open-source pubblicato su GitHub, che dimostra in modo pratico come alcune informazioni possano essere inferite senza violare direttamente il dispositivo della vittima.
Facciamo chiarezza, senza allarmismi e senza scorciatoie narrative.
Il punto chiave: il numero di telefono è diventato un identificatore digitale
Oggi il numero di telefono non serve più solo a chiamare o ricevere SMS. È diventato una vera e propria chiave di identità digitale, utilizzata come:
- credenziale di registrazione per app e servizi
- metodo di login o recupero account
- collegamento tra profili social
- identificatore per servizi di messaggistica
- riferimento per advertising e data broker
A differenza di email e username, il numero di telefono è persistente: si cambia raramente, resta associato alla persona per anni ed è spesso richiesto come requisito “minimo”.
Ed è proprio questa persistenza a renderlo prezioso — e potenzialmente rischioso.
Non si parla di “spionaggio diretto”, ma di correlazione
Un chiarimento fondamentale è necessario.
Nella maggior parte dei casi non c’è accesso diretto al telefono, non c’è intercettazione dei messaggi e non c’è tracciamento GPS in tempo reale.
Il meccanismo è molto più sottile: correlazione e inferenza dei dati.
Partendo da un numero di telefono, è possibile:
- collegarlo a servizi online dove è stato utilizzato
- incrociarlo con database trapelati in seguito a data breach
- associarlo a profili social pubblici o semi-pubblici
- dedurre interessi, abitudini e contesto geografico
- ricostruire pattern di attività nel tempo
Tutto questo senza “bucare” nulla.
Cosa si può realisticamente scoprire (e cosa no)
È importante distinguere tra possibilità reali e miti.
Informazioni plausibili:
✔️ Area geografica approssimativa
✔️ Presenza su specifici social o servizi
✔️ Abitudini digitali (orari, frequenza d’uso)
✔️ Interessi commerciali o comportamentali
Cose che NON avvengono:
❌ Accesso ai messaggi
❌ Tracciamento GPS continuo
❌ Controllo remoto del dispositivo
Il rischio non è il “controllo”, ma la profilazione invisibile.
Il proof-of-concept tecnico: Device Activity Tracke
A rendere la discussione particolarmente interessante è un progetto open-source pubblicato su GitHub:
Device Activity Tracker (gommzystudio).
Il progetto non viola la crittografia di WhatsApp o Signal e non legge i messaggi.
Mostra però come sia possibile inferire lo stato di attività di un dispositivo partendo esclusivamente da un numero di telefono.
Come funziona (in sintesi)
- utilizza WhatsApp Web come client
- analizza il tempo di risposta (RTT) delle delivery receipts
- non invia messaggi visibili all’utente target
- non genera notifiche sul telefono monitorato
Dal solo timing delle risposte, il sistema riesce a dedurre se il dispositivo associato a un numero è:
- attivo
- in standby
- offline
È un esempio concreto di quanto i metadati, anche senza contenuti, possano rivelare informazioni sensibili.
Perché è important
Questo progetto dimostra un punto cruciale:
- la sicurezza dei contenuti non basta se i metadati restano osservabili
- anche sistemi con crittografia end-to-end possono rivelare informazioni indirette
- il numero di telefono espone molto più di quanto si pensi
Il repository chiarisce che si tratta di ricerca a fini educativi, ma il messaggio è chiaro:
il problema non è l’hacker, è il modello di esposizione dei dati.
Perché riguarda tutti (anche chi “non ha nulla da nascondere”)
La privacy non riguarda il nascondere qualcosa.
Riguarda chi ha potere sui tuoi dati e cosa può dedurne.
Sapere:
- quando sei attivo
- quando sei offline
- quanto sei prevedibile
- a quali servizi sei collegato
è già informazione sensibile.
Il numero di telefono, oggi, è una identità digitale debole perché è:
- unico
- difficile da cambiare
- richiesto ovunque
Cosa puoi fare concretamente
Senza estremismi, alcune buone pratiche aiutano davvero:
- evitare di usare il numero come login principale quando non necessario
- limitare l’accesso ai contatti concessi alle app
- usare numeri diversi per servizi critici e servizi “usa e getta”
- rivedere le impostazioni privacy di social e app di messaggistica
- diffidare dei servizi che chiedono il numero “solo per comodità”
Non è una questione di paranoia, ma di consapevolezza digitale.
In conclusione
Non è fantascienza.
Non è hacking da film.
È il risultato di anni di accumulo e correlazione dei dati.
Il vero tema non è:
“Possono tracciarmi?”
Ma piuttosto:
“Quante informazioni sto rivelando senza rendermene conto?”
Capire come funziona è il primo passo per riprendere controllo della propria identità digitale.
