CatchApp, l’app che spia WhatsApp: pericolo o bufala?

Tra le presunte app spia WhatsApp, CatchApp è forse il caso più emblematico. Presentata nel 2016 e attribuita alla società israeliana Wintego, prometteva di spiare WhatsApp nonostante la crittografia end-to-end: tramite il dispositivo WINT avrebbe intercettato le comunicazioni, letto le chat e raccolto dati da uno smartphone bersaglio.

Il caso, emerso dall’inchiesta di Forbes basata su brochure riservate, ha attirato attenzione perché tocca una domanda ancora attuale: WhatsApp può davvero essere spiato? La risposta richiede cautela. All’epoca non erano disponibili dimostrazioni pubbliche e verificabili dell’efficacia di CatchApp e, a distanza di anni, nessun elemento ha mai confermato un reale superamento della crittografia end-to-end della piattaforma.

Più che dimostrare una falla certa nella crittografia di WhatsApp, il caso CatchApp resta utile per capire come funzionano le promesse commerciali delle app spia WhatsApp, quali rischi possono riguardare il dispositivo dell’utente e perché la sicurezza delle chat non dipende solo dall’algoritmo crittografico, ma anche da smartphone, account, backup, rete Wi-Fi e comportamenti dell’utente.

App spia WhatsApp: cos’era davvero CatchApp

Wintego era una società di sorveglianza con sede a Haifa, fondata da ex dipendenti di Verint, gruppo israeliano storicamente attivo nel settore dell’intelligence e indicato tra i fornitori della statunitense National Security Agency. Wintego si presentava come specializzata in data-decoding, ovvero estrazione e decodifica di dati da account e dispositivi.

CatchApp non era un prodotto a sé, ma una funzione del sistema WINT dell’azienda. Le informazioni divennero pubbliche nel settembre 2016, quando il giornalista Thomas Brewster di Forbes ottenne e pubblicò le brochure commerciali distribuite a eventi di settore riservati a forze di polizia e agenzie di intelligence. In quei materiali Wintego rivendicava una capacità “senza precedenti” di superare la crittografia di WhatsApp e prelevare l’intero contenuto di un account: cronologia delle chat, lista contatti, file e media scambiati. Secondo la brochure, CatchApp sarebbe stata attivabile sulla maggior parte dei dispositivi con Android 4.0 o successivi e iPhone con iOS 7.0 o successivi.

Un punto resta dirimente: tutte queste affermazioni provenivano da materiali prodotti dalla stessa Wintego. Nessuna dimostrazione pratica indipendente è mai stata effettuata o diffusa.

WhatsApp può essere spiato nonostante la crittografia end-to-end?

La crittografia end-to-end di WhatsApp si basa sul Signal Protocol e protegge il contenuto dei messaggi durante il transito tra mittente e destinatario: in condizioni normali, ciò che viaggia non dovrebbe essere leggibile da intermediari di rete, provider o soggetti terzi. È un piano distinto dalla crittografia di trasporto (TLS, l’evoluzione di SSL), che protegge invece la connessione tra l’app e i server. Confondere i due livelli è un errore frequente: la robustezza dell’end-to-end non dipende da SSL, e una debolezza in SSL non equivale a “rompere” la cifratura dei messaggi.

Questo non significa che un account WhatsApp sia invulnerabile in assoluto. Gli attacchi più realistici, infatti, non puntano a forzare l’algoritmo crittografico, ma a compromettere uno degli estremi della comunicazione: lo smartphone, il backup, l’account, la sessione web, il codice di verifica o l’ambiente di rete dell’utente. È questa la chiave per capire se e come WhatsApp può essere spiato nella pratica, e perché tante app spia WhatsApp restano più promessa che realtà.

È esattamente la lettura data all’epoca dagli esperti. Matthew Green, crittografo della Johns Hopkins University, osservò che per leggere i messaggi un attaccante avrebbe dovuto sconfiggere sia la cifratura verso il server sia quella end-to-end del Signal Protocol, un risultato che riteneva non plausibile anche disponendo di un access point Wi-Fi malevolo. La spiegazione più probabile, secondo Green, era molto più ordinaria: il furto delle credenziali tramite phishing, non un attacco alla crittografia.

Il ruolo di WINT e le ipotesi sull’intercettazione Wi-Fi

Nelle brochure, WINT era descritto come un “Cyber Data Extractor” abbastanza compatto da entrare in uno zaino. Il dispositivo avrebbe utilizzato quattro access point Wi-Fi separati per seguire più bersagli contemporaneamente e antenne ad alto guadagno per agganciare i target a distanza, restando in prossimità della vittima e del suo smartphone.

Lo schema rivendicato era un attacco man-in-the-middle: WINT avrebbe intercettato le comunicazioni Wi-Fi del dispositivo bersaglio, su reti aperte o protette, con l’obiettivo di acquisire le credenziali di accesso e poi scaricare silenziosamente i dati associati all’account. Sul “come” tecnico le ipotesi degli analisti divergevano. Jonathan Zdziarski ipotizzò lo sfruttamento di vulnerabilità nelle implementazioni SSL, inclusi attacchi di downgrade e altre varianti di MITM. Un’altra lettura, coerente con la brochure (dove si legge che l’operatore “attiva CatchApp sul dispositivo bersaglio”), è che WINT veicolasse via Wi-Fi un impianto malevolo, cioè un malware installato sul telefono. In entrambi i casi il bersaglio non era l’algoritmo crittografico in sé, ma il dispositivo, la rete o le credenziali.

Perché il caso CatchApp va letto con cautela

Il punto centrale è la verificabilità. Nel caso CatchApp, le informazioni disponibili provenivano soprattutto da materiali promozionali e non da analisi tecniche indipendenti o dimostrazioni pubbliche riproducibili. Né WhatsApp né Moxie Marlinspike, ideatore del Signal Protocol, vollero commentare in assenza di dettagli verificabili sulle reali capacità dello strumento. La stessa Wintego, negli anni successivi, è uscita di scena: le fonti di settore la indicano come società ormai inattiva, e di CatchApp non è mai stata diffusa alcuna prova indipendente. Come per molte presunte app spia WhatsApp, sono rimasti gli opuscoli, non i fatti.

Per questo motivo il caso va trattato come una presunta capacità offensiva, non come prova definitiva di una vulnerabilità strutturale di WhatsApp. Vale la pena ricordare un precedente vicino nel tempo e altrettanto istruttivo: nello stesso periodo la società israeliana Ability promuoveva ULIN, un sistema che prometteva di intercettare chiamate, messaggi e posizione di qualunque telefono sfruttando le debolezze del protocollo di segnalazione SS7.

La tecnica di base era reale, ma le rivendicazioni commerciali si rivelarono sovradimensionate: gli investitori accusarono in seguito l’azienda di aver gonfiato sviluppo e vendite del prodotto, in una vicenda poi chiusa con una transazione. La lezione è che, nel mercato della sorveglianza, la distanza tra ciò che viene promesso e ciò che è dimostrabile può essere ampia.

Dal 2016 a oggi: come WhatsApp è stato davvero attaccato

Negli anni successivi al caso CatchApp, gli attacchi più gravi e documentati contro gli utenti di WhatsApp hanno confermato la lettura degli esperti del 2016: non hanno “rotto” la crittografia end-to-end, ma hanno compromesso il dispositivo, leggendo i messaggi dopo la decifratura, direttamente sull’endpoint. Sono i casi che definiscono oggi gli spyware WhatsApp più avanzati e mostrano cosa può fare davvero un’app spia WhatsApp, ben oltre le promesse del 2016.

Il primo caso di riferimento è quello di Pegasus, lo spyware come Pegasus sviluppato dalla società israeliana NSO Group. Nel 2019 NSO sfruttò una vulnerabilità nello stack delle chiamate VoIP di WhatsApp per installare silenziosamente Pegasus su circa 1.400 dispositivi appartenenti a giornalisti, avvocati, attivisti e funzionari in oltre venti Paesi.

WhatsApp citò in giudizio NSO negli Stati Uniti: a fine 2024 il tribunale della California riconobbe la responsabilità dell’azienda, a maggio 2025 una giuria le impose il pagamento di danni a Meta e a ottobre 2025 il giudice emise un’ingiunzione permanente che vieta a NSO di colpire ancora WhatsApp, riducendo nel contempo i danni punitivi a circa quattro milioni di dollari. NSO ha presentato appello (che non sospende l’ingiunzione) e, a giugno 2026, WhatsApp ha depositato un’istanza per violazione dell’ingiunzione, sostenendo di aver individuato e bloccato nuovi tentativi collegati alla società. Gli atti processuali hanno inoltre chiarito un punto rilevante: era NSO stessa, e non i suoi clienti governativi, a installare ed estrarre i dati dai dispositivi.

Il secondo caso, più recente e con un risvolto direttamente italiano, riguarda Graphite, lo spyware della società Paragon Solutions. A inizio 2025 WhatsApp notificò a circa novanta utenti, tra cui giornalisti e membri della società civile, di essere stati bersaglio di un attacco zero-click: un PDF malevolo recapitato all’interno di gruppi WhatsApp, capace di compromettere il dispositivo senza alcuna azione della vittima.

Tra i bersagli accertati in Italia figurano i giornalisti di Fanpage.it Francesco Cancellato e Ciro Pellegrino, oltre ad alcuni attivisti; il caso è stato oggetto di un’indagine del COPASIR e ha portato alla conferma che il governo italiano era cliente di Paragon, con la successiva chiusura dei contratti. La vulnerabilità zero-day sfruttata su iOS, identificata come CVE-2025-43200, è stata corretta da Apple, mentre WhatsApp ha neutralizzato il vettore di attacco. La ricostruzione tecnica completa di entrambe le campagne è documentata nelle analisi di Citizen Lab.

Il punto tecnico è cruciale per inquadrare la portata reale di minacce come CatchApp: Graphite, una volta installato, opera a livello di dispositivo e legge i messaggi dopo che sono stati decifrati, aggirando di fatto la crittografia end-to-end senza mai romperla. È la stessa logica che gli analisti avevano attribuito nel 2016 alle ipotesi su CatchApp e WINT: l’obiettivo non è l’algoritmo, ma l’estremo della comunicazione.

Come proteggere WhatsApp da spyware, phishing e accessi non autorizzati

Poiché gli attacchi più concreti colpiscono il dispositivo, l’account o le credenziali, la difesa più efficace agisce proprio su quei fronti. Alcune misure di base, alla portata di chiunque, migliorano sensibilmente la sicurezza WhatsApp e riducono il rischio che un’app spia WhatsApp o un malware comprometta l’account:

• attivare la verifica in due passaggi;
• non condividere mai il codice di verifica ricevuto via SMS;
• controllare periodicamente i dispositivi collegati a WhatsApp Web;
• evitare reti Wi-Fi sconosciute o non protette;
• mantenere aggiornati sistema operativo e applicazione;
• proteggere lo smartphone con PIN, biometria e blocco schermo;
• diffidare dei link ricevuti via chat, SMS o email;
• verificare le impostazioni dei backup cloud;
• installare app solo da store ufficiali.

Per inquadrare il vettore più sfruttato in concreto, è utile approfondire come operano phishing e ingegneria sociale: la sicurezza delle comunicazioni non dipende solo dalla crittografia, ma anche dalla capacità di riconoscere i tentativi di furto di credenziali. Le impostazioni e le funzioni di protezione ufficiali sono descritte nella pagina dedicata alla sicurezza di WhatsApp.

CatchApp era una bufala?

Non è corretto liquidare il caso soltanto come “bufala”, ma nemmeno considerarlo una prova certa della possibilità di spiare WhatsApp. La posizione più corretta è intermedia: CatchApp rappresentava una promessa tecnica molto aggressiva, priva però di evidenze pubbliche sufficienti a dimostrare un bypass reale e generalizzato della crittografia end-to-end. A distanza di anni, nessuna dimostrazione indipendente ha mai confermato quella capacità.

Il caso resta interessante perché mostra un aspetto ancora attuale della cybersecurity: molte minacce non devono necessariamente rompere la crittografia per essere efficaci. Possono colpire il dispositivo, l’utente, le credenziali, il backup o le sessioni collegate. È su questi anelli, più che sull’algoritmo, che si gioca davvero la sicurezza delle conversazioni, come hanno poi confermato i casi Pegasus e Graphite. Il vero rischio, in sintesi, non è quasi mai l’app spia WhatsApp pubblicizzata, ma il dispositivo compromesso.

Domande frequenti

Esiste un’app spia WhatsApp che funziona davvero? Nessuna app spia WhatsApp disponibile pubblicamente è in grado di rompere la crittografia end-to-end. Gli strumenti realmente efficaci, come gli spyware governativi Pegasus e Graphite, non agiscono sull’algoritmo ma compromettono il dispositivo, e non sono in libera vendita.

CatchApp può davvero spiare WhatsApp? Non esistono prove pubbliche sufficienti per affermare che CatchApp fosse in grado di violare in modo generalizzato la crittografia end-to-end di WhatsApp. Il caso va letto come una presunta capacità offensiva, non come una vulnerabilità dimostrata.

WhatsApp è sicuro contro le app spia? La crittografia end-to-end protegge il contenuto dei messaggi durante la trasmissione, ma non elimina tutti i rischi. Uno smartphone compromesso, una sessione WhatsApp Web non controllata, un backup esposto o un furto del codice di verifica possono mettere a rischio l’account. I casi Pegasus e Graphite mostrano che gli attacchi più sofisticati colpiscono il dispositivo, non l’algoritmo.

È possibile leggere i messaggi WhatsApp di un’altra persona? Leggere le comunicazioni altrui senza consenso è illecito. Dal punto di vista tecnico, gli attacchi più realistici non consistono nel rompere la crittografia, ma nel compromettere il dispositivo, l’account o le credenziali della vittima.

Come capire se WhatsApp è sotto controllo? Segnali sospetti possono essere sessioni WhatsApp Web sconosciute, notifiche di accesso inattese, consumo anomalo della batteria, app non riconosciute, comportamenti insoliti del dispositivo o richieste sospette di codici di verifica.

Come proteggere il proprio account WhatsApp? È consigliabile attivare la verifica in due passaggi, controllare i dispositivi collegati, aggiornare l’app, proteggere lo smartphone e non condividere mai codici di verifica o credenziali.

---

Approfondisci anche: il tema della sorveglianza e degli spyware mercenari è al centro dei lavori del Forum ICT Security e della Cyber Crime Conference. Per restare aggiornato sulle analisi della redazione, iscriviti alla newsletter di ICT Security Magazine.