Una serie di chiamate anonime nel cuore della notte, la linea telefonica occupata e pochi minuti dopo un accesso non autorizzato a Telegram. È quanto raccontato da Shaban Shaame, fondatore e CEO di EverdreamSoft e figura attiva da anni nel settore delle criptovalute, secondo il quale un attaccante sarebbe riuscito ad accedere al suo account attraverso la segreteria telefonica associata al numero di cellulare.
Secondo la ricostruzione pubblicata da Shaame su X, l’attacco sarebbe iniziato intorno alle 3:54 del mattino. Il telefono avrebbe ricevuto circa dieci chiamate consecutive con numero nascosto. L’obiettivo, secondo l’autore, non era infastidirlo, ma mantenere occupata la linea. Nello stesso momento l’attaccante avrebbe tentato di effettuare l’accesso a Telegram tramite il numero telefonico della vittima e richiesto la ricezione del codice tramite una chiamata automatica. Con la linea occupata, la chiamata sarebbe stata trasferita alla segreteria telefonica, dove il sistema automatico avrebbe pronunciato il codice di accesso.
L’aggressore, secondo Shaame, avrebbe quindi avuto accesso da remoto alla casella vocale e recuperato il codice. Alle 3:59 avrebbe ottenuto l’accesso all’account Telegram.
L’attaccante cercava wallet e criptovalute
Le numerose telefonate hanno però svegliato Shaame, che ha controllato le notifiche e ha notato l’accesso da un dispositivo sconosciuto. L’utente ha quindi terminato la nuova sessione nel giro di pochi minuti.
Il tempo sarebbe comunque bastato all’attaccante per cercare eventuali fondi collegati all’account. Shaame riferisce che il responsabile ha utilizzato comandi come /balance e /start su vecchi bot dedicati ai wallet presenti nelle conversazioni Telegram.
I bot non risultavano più operativi e, secondo il racconto, non sono state sottratte criptovalute. L’attaccante avrebbe però avuto il tempo di configurare una propria password per la verifica in due passaggi.
Il ruolo della verifica in due passaggi
Shaame consiglia di proteggere Telegram con la verifica in due passaggi e una password aggiuntiva. Telegram stessa raccomanda questa funzione nella propria documentazione: oltre al codice ricevuto sul dispositivo, l’accesso richiede una password impostata dall’utente.
C’è però un elemento della ricostruzione che richiede cautela. Secondo le FAQ attualmente pubblicate da Telegram, i codici di accesso comunicati tramite chiamata telefonica sono disponibili soltanto per gli account che hanno già attivato la verifica in due passaggi.
Questo dettaglio non coincide completamente con il racconto di Shaame, secondo il quale l’attaccante avrebbe configurato la password 2FA soltanto dopo l’accesso. Non è possibile stabilire sulla base del solo post se la procedura fosse diversa nel momento dell’incidente, se fossero presenti configurazioni specifiche sull’account o se alcuni passaggi non siano stati descritti.
Attenzione anche alla segreteria telefonica
Il caso richiama comunque l’attenzione sulla sicurezza della casella vocale dell’operatore, soprattutto quando questa permette l’ascolto da remoto. Se il servizio prevede un PIN, è opportuno sostituire eventuali codici predefiniti e verificare con il proprio gestore le modalità di accesso dall’esterno.
Shaame suggerisce anche il codice ##002# per eliminare le deviazioni di chiamata. Il comando esiste effettivamente nelle reti mobili e disattiva le deviazioni attive, comprese quelle che possono indirizzare le chiamate alla segreteria. Vodafone, ad esempio, indica ##002# come codice per disattivare tutte le deviazioni.
Il comando, però, non equivale necessariamente alla disattivazione completa della casella vocale: modalità ed effetti dipendono dall’operatore. Vodafone specifica, per esempio, che ##002# impedisce alle chiamate di essere inoltrate alla segreteria, ma non elimina automaticamente la casella e i messaggi già presenti.
Shaame raccomanda inoltre di non conservare seed phrase, chiavi private o password nei Messaggi salvati di Telegram e di considerare una sequenza anomala di chiamate anonime come un possibile segnale di attacco. In questi casi è utile controllare subito le notifiche di sicurezza e l’elenco dei dispositivi collegati all’account.
Aiutaci a crescere: lasciaci un like :)