Avviso di truffa su WhatsApp: l’intelligenza artificiale controlla solo gli sconosciuti, non i Suoi contatti

Il 12 agosto Meta ha pubblicato una panoramica tecnica su Scam Alert, una nuova funzionalità di WhatsApp. È stata progettata per avvertire gli utenti della presenza di messaggi truffaldini prima che qualcuno ci caschi. Il processo di verifica avviene interamente sul telefono dell’utente.

Una volta attivata, WhatsApp scarica un piccolo modello di intelligenza artificiale sul dispositivo. Questo modello analizza i messaggi in arrivo e li confronta con gli schemi delle truffe segnalate, ovvero con le conversazioni e le formulazioni tipiche delle truffe note. A tal fine, nessun contenuto dei messaggi lascia il telefono. La crittografia end-to-end, in cui solo il mittente e il destinatario vedono il testo in chiaro, rimane intatta.

Solo il destinatario vede l’avviso

Se il modello rileva un probabile tentativo di truffa, viene visualizzata una notifica direttamente nella chat. Il mittente non riceve alcuna notifica. A quel punto, l’utente può bloccare il mittente, segnalarlo o semplicemente proseguire la conversazione. WhatsApp non segnala automaticamente nulla a Meta. Ciò avviene solo se l’utente tocca attivamente “Segnala”.

Vengono controllati solo i messaggi provenienti da mittenti non presenti nella rubrica

Questo è il limite, ed è indicato nella stessa descrizione fornita da Meta. Il modello classifica esclusivamente i messaggi provenienti da mittenti che non sono salvati nei contatti dell’utente. I messaggi provenienti da persone già presenti nella rubrica non vengono controllati.

Ciò significa che, ironia della sorte, la truffa che funziona meglio viene esclusa. Se l’account WhatsApp di un amico o di un parente viene compromesso, il messaggio truffaldino proviene da un account reale e familiare. In tali casi, Scam Alert non interviene. Il caso di un’app contraffatta che dirotta gli account WhatsApp ha dimostrato come funzioni tale dirottamento. Anche la telefonata scioccante con una voce clonata aggira questo controllo poiché non passa affatto attraverso WhatsApp.

Contrassegnatelo come affidabile una volta sola e non vedrete mai più un avviso

Se ritenete che un avviso sia falso, potete contrassegnare la chat come affidabile. L’avviso scomparirà quindi definitivamente per quel contatto. Si tratta di una funzione comoda, ma rappresenta anche il punto debole: è proprio il tipo di decisione che si prende sotto pressione quando un truffatore esperto ha già avviato una conversazione. Chiunque contrassegni la chat in questo modo può anche inviare volontariamente a WhatsApp gli ultimi cinque messaggi ricevuti.

Progettato per la verificabilità

In materia di trasparenza, Meta si spinge oltre il solito. Ogni versione del modello viene registrata in un registro pubblico insieme al proprio checksum prima di essere implementata. La firma proviene da Cloudflare; Meta non possiede la chiave necessaria a tal fine. I pesi del modello vengono pubblicati in modo che i ricercatori possano verificare se il modello rilevi effettivamente solo le truffe. Gli utenti stessi possono trovare un registro alla voce «Account» > «Richiedi informazioni» > «Attività di avviso truffa» che mostra quali messaggi sono stati controllati e quale versione del modello era in esecuzione in quel momento.

Le statistiche relative alla frequenza con cui sono stati emessi gli avvisi e alle risposte degli utenti vengono elaborate in ambienti informatici isolati. Prima che Meta possa prenderne visione, i dati vengono aggregati e resi irriconoscibili, in modo che non sia possibile trarre conclusioni sui singoli utenti.

Non è ancora disponibile

Scam Alert è attualmente in fase di beta limitata, parallelamente al programma di bug bounty di Meta. L’azienda non ha annunciato una data per il lancio completo né i Paesi in cui sarà disponibile. Finora non è stata rilasciata alcuna dichiarazione riguardo alla Germania. Fino ad allora, vale la vecchia regola: se riceve una richiesta di denaro o un numero di telefono apparentemente nuovo, contatti la persona in questione tramite un secondo canale, preferibilmente chiamando il numero precedente. Se desidera sapere con quale rapidità un account possa essere compromesso anche senza password, consulti il rapporto sul cookie di sessione rubato.