Una nuova ricerca dell’Università di Vienna e di SBA Research ha mappato oltre 3,5 miliardi di account WhatsApp attivi in 245 Paesi senza violare alcun sistema di sicurezza avanzato. Lo studio, condotto tra dicembre 2024 e aprile 2025, dimostra come sia stato possibile enumerare milioni di profili, sfruttando esclusivamente una funzione legittima già presente nell’app: il contact discovery, ovvero il meccanismo con cui WhatsApp confronta la rubrica dell’utente con i numeri registrati sulla piattaforma.
Secondo lo studio, in Italia sono stati identificati 55.606.677 account attivi, un volume altissimo che colloca il nostro Paese tra i principali mercati WhatsApp in Europa.
A livello globale, il primato spetta all’India, con oltre 749 milioni di account, seguita da altri Paesi ad alta densità mobile.
Colpisce anche la presenza di utenti in aree dove WhatsApp è formalmente vietato, come Cina, Myanmar e Corea del Nord, segno di un utilizzo non ufficiale ma comunque diffuso.
Il team di ricerca ha utilizzato uno script automatizzato in grado di inviare oltre 100 milioni di query all’ora tramite WhatsApp Web, replicando l’azione dell’app quando verifica la rubrica salvata dall’utente.
Grazie a questa tecnica, gli studiosi hanno potuto raccogliere informazioni associate agli account mappati, tra cui:
- foto profilo (nel 57% dei casi)
- Status (29%)
- dettagli sui dispositivi collegati
- alcune chiavi pubbliche di crittografia, non sufficienti a compromettere la sicurezza dei messaggi
Lo studio evidenzia come, anche senza accedere ai contenuti delle chat, sia stato possibile ricostruire abitudini d’uso, orari di attività e altri metadati capaci di delineare profili piuttosto dettagliati degli utenti.
La vulnerabilità non è nuova: già nel 2017 il ricercatore Loran Kloeze aveva dimostrato che era possibile enumerare account WhatsApp, anche se su scala limitata.
La nuova ricerca austriaca conferma che, fino al 2025, non erano presenti blocchi, limiti di richiesta o sistemi di protezione efficaci contro questa forma di raccolta dati.
A seguito della segnalazione formale dei ricercatori, Meta è intervenuta introducendo:
- limiti più rigidi al numero di query consentite
- controlli aggiuntivi lato server
- nuove restrizioni per prevenire l’automazione del contact discovery
Le misure sono diventate effettive a ottobre 2025, e test indipendenti hanno confermato che le contromisure sono state implementate correttamente.
Lo studio dimostra che, pur senza violare la crittografia end-to-end, sistemi come WhatsApp possono rivelare una grande quantità di metadati, utili a profilare gli utenti.
La vicenda solleva quindi interrogativi sulla necessità di:
- maggiori limiti all’accesso ai dati pubblici
- controlli più severi sulle query automatizzate
- trasparenza sul trattamento dei numeri di telefono e delle informazioni associate
Un tema che rimette al centro l’importanza della privacy digitale, soprattutto in un’app con oltre 2 miliardi di utenti attivi e un impatto quotidiano sulla comunicazione globale.