I ricercatori della George Mason University affermano di aver scoperto una grave vulnerabilità nella rete Trova il mio di Apple che consente agli hacker di tracciare praticamente qualsiasi dispositivo abilitato Bluetooth all’insaputa del proprietario.

Grave falla iPhone sull’app “Dov’è”

Chiamato “nRootTag”, questo exploit sfrutta un inganno della rete “Dov’è” sui normali dispositivi Bluetooth, rendendoli dei veri e propri AirTag, consentendo ad eventuali hacker e malintenzionati di trasformare laptop, smartphone, controller di gioco, cuffie VR e persino e-bike in beacon di tracciamento inconsapevoli.

L’app Dov’è funziona facendo in modo che gli AirTag ed altri elementi compatibili con tale funzione, inviino segnali Bluetooth ai dispositivi Apple vicini, che poi inoltrano in modo anonimo i dati sulla posizione ai server di Apple. I ricercatori hanno scoperto che potevano manipolare le chiavi crittografiche per far credere alla rete che qualsiasi dispositivo Bluetooth fosse un AirTag legittimo, e scoprire la posizione di chiunque nel mondo.

Il team di ricerca ha scoperto che l’attacco ha un tasso di successo del 90% e può individuare la posizione di un dispositivo in pochi minuti. “Anche se è spaventoso se la tua serratura intelligente viene hackerata, diventa molto più orribile se l’attaccante conosce anche la sua posizione”, ha detto uno dei ricercatori rilasciando una dichiarazione ufficiale giorni fa.

Ciò che rende l’exploit ancora più preoccupante è che non richiede accesso fisico o privilegi di amministratore sul dispositivo di destinazione: può effettivamente essere eseguito da remoto. Nei loro esperimenti, il team ha rintracciato con successo un computer fisso con una precisione di 10 piedi ed ha persino ricostruito l’esatta traiettoria di volo di una console di gioco portata a bordo di un aereo.

L’attacco a questa grave falla iPhone richiede risorse informatiche piuttosto pesanti: il team di ricerca ha utilizzato centinaia di unità di elaborazione grafica per trovare rapidamente chiavi crittografiche corrispondenti. Tuttavia, notano che ciò potrebbe essere ottenuto in modo relativamente economico noleggiando delle GPU, dato che è ormai diventata una pratica comune nella comunità del crypto-mining.

Il team ha detto di aver notificato ad Apple la vulnerabilità nel luglio 2024, e da allora Apple ha riconosciuto il problema negli aggiornamenti di sicurezza, ma la società non ha ancora rivelato come risolverà il problema, che ancora non ha risolto del tutto.

Come evitare di essere rintracciati?

Anche dopo che Apple ha implementato una correzione all’accaduto, i ricercatori avvertono che la vulnerabilità potrebbe persistere per anni, poiché molti utenti ritardano l’aggiornamento dei loro dispositivi. È infatti importantissimo aggiornare ogni mese i propri dispositivi connessi, dato che vengono sempre corrette falle di sistema molto gravi, scoperte anche anni addietro. “La vulnerabile rete Dov’è continuerà ad esistere fino a quando quei dispositivi non si ‘estingueranno’ lentamente o verranno aggiornati, e questo processo richiederà anni ed anni”, ha detto un ricercatore.

Insomma, aggiornare sempre all’ultima versione software disponibile su iPhone, ma anche su iPad, Mac ed Apple Watch, per evitare che una grave falla iPhone possa colpirvi, tracciarvi o rubare i vostri dati.