Telegram, Durov sfida gli hacker: “Provate a violare il mio account”
“Se pensi il contrario, prova a hackerare il mio account“. Pavel Durov, fondatore di Telegram, ha risposto con una sfida pubblica alle notizie su nuove vulnerabilità dei widget interattivi del messenger. La discussione è nata dopo che ricercatori di sicurezza hanno mostrato come determinati contenuti incorporati nelle conversazioni potessero arrivare a eseguire codice al di fuori dell’ambiente protetto previsto dall’applicazione. Durov contesta soprattutto l’idea che un semplice messaggio ricevuto da uno sconosciuto basti, senza altre condizioni, a compromettere automaticamente l’account di un utente.
La vicenda non può essere liquidata come un falso allarme: le dimostrazioni tecniche su Android e Windows indicano problemi reali nella gestione dei widget. Allo stesso tempo, eseguire la calcolatrice durante un test non equivale a dimostrare il furto di un account Telegram. Per capire quanto sia concreto il rischio bisogna distinguere il comportamento osservato, le condizioni necessarie per attivarlo e le protezioni introdotte dagli aggiornamenti.
Durov agli hacker: “Provate a violare il mio account”
Secondo la ricostruzione pubblicata da Gazeta.ru, Durov ha respinto le interpretazioni secondo cui un attacco potrebbe compromettere il suo account semplicemente attraverso la ricezione di un messaggio. Il fondatore di Telegram ha sostenuto che le prove citate richiedevano prima l’interazione con un servizio di terze parti e che il problema individuato era già stato corretto sul lato server.
Per rafforzare la sua posizione, Durov ha invitato chi non fosse d’accordo a tentare di violare il suo account, indicando il proprio profilo pubblico. La provocazione è una presa di posizione del fondatore, non una verifica indipendente dell’assenza di vulnerabilità.
Il dibattito è diventato particolarmente acceso perché Telegram aveva appena presentato una nuova funzionalità che consente ai bot di incorporare piccoli elementi interattivi direttamente nei messaggi. Si tratta di una novità utile, ma che introduce anche codice eseguibile in un contesto tradizionalmente dedicato allo scambio di testo e contenuti.
Cosa sono i nuovi widget interattivi di Telegram
I Telegram Widgets permettono ai bot di inviare blocchi interattivi che compaiono all’interno delle chat. Possono mostrare sondaggi, piccoli giochi, schede informative e altre interfacce che si aggiornano senza aprire un’applicazione esterna.
La funzionalità è stata introdotta con la Bot API 10.4. I widget utilizzano HTML, CSS e JavaScript, ma il codice viene eseguito in un ambiente isolato, chiamato sandbox, che dovrebbe impedire l’accesso diretto a risorse sensibili del dispositivo.
La documentazione ufficiale prevede limiti alle dimensioni del contenuto e restrizioni alle comunicazioni di rete. Tuttavia, una sandbox è efficace soltanto se il motore che interpreta il codice non presenta errori sfruttabili. È proprio questo il punto sollevato dai ricercatori.
V12 mostra una vulnerabilità su Telegram per Android
L’11 novembre 2026, i ricercatori di sicurezza V12 hanno pubblicato una dimostrazione relativa a Telegram per Android. Nel video, un utente apre una conversazione con un bot e avvia il servizio. Successivamente un widget provoca l’apertura della calcolatrice del telefono.
L’apertura della calcolatrice è una tecnica dimostrativa molto diffusa nella ricerca sulle vulnerabilità: serve a mostrare che il codice ha raggiunto un livello di esecuzione diverso da quello previsto dall’applicazione.
La prova non dimostra, da sola, che siano stati sottratti messaggi, password o chiavi di accesso. Non risulta documentato pubblicamente un furto di account attraverso quella specifica dimostrazione.
Le analisi tecniche collegano il problema al motore JavaScript QuickJS utilizzato dai widget. Un errore nella gestione della memoria avrebbe consentito di superare i limiti previsti dalla sandbox. La ricostruzione del collegamento con una specifica correzione deriva dall’analisi del codice e non da un rapporto tecnico completo pubblicato da V12.
Telegram per Android 13.2.2 introduce una protezione aggiuntiva
Secondo l’analisi pubblicata da Gram News, la versione Telegram per Android 13.2.2 (7303) include una correzione pertinente al problema dimostrato. L’aggiornamento modifica anche il modo in cui vengono eseguiti i widget.
Il codice interattivo viene spostato in un processo separato e isolato, senza accesso alle autorizzazioni Android, alla rete o ai file privati dell’applicazione. Questo riduce il rischio che un eventuale nuovo errore nel motore dei widget consenta di raggiungere messaggi e dati dell’account.
È un cambiamento significativo: la sicurezza non dipende soltanto dall’assenza di bug, ma anche dalla capacità di limitarne le conseguenze. Un componente isolato può essere compromesso senza concedere automaticamente accesso a tutte le informazioni gestite dall’app principale.
Per chi usa Telegram su Android, la precauzione più semplice è aggiornare immediatamente l’applicazione e controllare il numero di versione nelle impostazioni.
Leggi anche:
Telejam segnala problemi anche su Telegram per Windows
La controversia si è estesa alla versione desktop con la pubblicazione del progetto telejam. L’autore descrive due modalità di esecuzione di codice attraverso widget in Telegram Desktop per Windows, presentando prove in cui viene avviata la calcolatrice di sistema.
Secondo la documentazione del progetto, i test sono stati eseguiti sulla versione Telegram Desktop 7.4.2. Una delle vulnerabilità sarebbe collegata a una gestione non corretta delle variabili in QuickJS; un’altra riguarderebbe la creazione di chiusure durante l’inizializzazione di funzioni generatrici.
L’autore sostiene che, in determinate condizioni, il codice possa essere eseguito quando il widget compare nella conversazione, senza un ulteriore clic sul contenuto. Rimane però necessario che il widget venga effettivamente introdotto nella chat tramite le funzionalità dei bot.
Questa distinzione è essenziale: un widget preparato appositamente non è la stessa cosa di un normale messaggio di testo. La documentazione disponibile non dimostra che qualsiasi sconosciuto possa violare automaticamente un account semplicemente scrivendo una frase.
Attacco zero-click: cosa significa davvero
Nel linguaggio della sicurezza informatica, un attacco zero-click è un attacco che non richiede alla vittima di premere un collegamento o confermare un’azione nel momento in cui il codice dannoso viene eseguito.
Questo non significa necessariamente che l’attacco possa partire da qualsiasi messaggio ricevuto in qualunque circostanza. Nel caso dei widget Telegram, le dimostrazioni descritte dipendono da un contenuto interattivo distribuito tramite bot e dalla sua presenza in una conversazione.
Un utente potrebbe aver interagito con un bot in precedenza o trovarsi in una chat nella quale il widget è stato condiviso. La discussione riguarda quindi quali passaggi siano indispensabili prima che il contenuto venga visualizzato ed eseguito.
Durov insiste proprio su questo punto per contestare i titoli più allarmistici. I ricercatori, invece, evidenziano che la necessità di un contesto iniziale non rende innocua una vulnerabilità capace di uscire dalla sandbox.
Si può rubare un account Telegram sfruttando i widget?
La risposta richiede prudenza. Una vulnerabilità di esecuzione di codice remoto, o RCE, può essere grave perché in determinate condizioni permette a un aggressore di eseguire istruzioni non autorizzate sul dispositivo.
Il livello effettivo di rischio dipende però dai privilegi ottenuti, dall’isolamento del processo, dalle protezioni del sistema operativo e dalla possibilità di accedere ai dati dell’applicazione.
Le dimostrazioni pubbliche citate non provano un furto di account Telegram. Non sono emerse conferme affidabili di una campagna di compromissione di massa attribuibile a questi specifici widget.
Questo non significa che il problema debba essere ignorato. Se un attaccante riuscisse a raggiungere le informazioni di una sessione già autorizzata, alcune protezioni pensate per impedire nuovi accessi potrebbero non essere sufficienti. Si tratta tuttavia di uno scenario tecnico potenziale, non di un risultato dimostrato nei test descritti.
Come proteggere Telegram su Android e Windows
La misura più importante è mantenere Telegram aggiornato all’ultima versione disponibile. Su Android, le analisi tecniche indicano la versione 13.2.2 come contenente una correzione pertinente e un nuovo isolamento dei widget.
Su Windows è opportuno verificare gli aggiornamenti ufficiali di Telegram Desktop e non presumere che una vecchia versione sia sicura soltanto perché continua a funzionare. Il progetto telejam ha documentato comportamenti problematici su una specifica build desktop.
Puoi inoltre controllare le sessioni attive dal percorso Impostazioni → Dispositivi, terminare quelle che non riconosci e attivare la verifica in due passaggi nelle impostazioni di privacy e sicurezza.
Evita di aprire bot sconosciuti o utilizzare widget di provenienza dubbia finché non hai aggiornato l’app. Non condividere mai codici di accesso ricevuti via Telegram o SMS e non installare programmi che promettono di riparare vulnerabilità del messenger.
La sfida di Durov non chiude il dibattito sulla sicurezza
Il messaggio del fondatore di Telegram ha un evidente valore provocatorio, ma il problema tecnico merita una valutazione indipendente. La presenza di vulnerabilità dimostrate non prova automaticamente che gli account siano stati rubati; allo stesso modo, l’assenza di furti documentati non rende irrilevante l’esecuzione di codice fuori dalla sandbox.
La nuova funzione dei widget offre possibilità interessanti per bot e sviluppatori, ma aumenta anche la complessità del software. La sicurezza dipenderà dalla qualità dell’isolamento, dalla rapidità degli aggiornamenti e dalla verifica continua del motore che interpreta il codice.
Per gli utenti il messaggio pratico è semplice: aggiornare Telegram, controllare le sessioni e prestare attenzione ai bot sconosciuti. Per gli sviluppatori, il caso ricorda che ogni nuova funzionalità capace di eseguire codice richiede controlli particolarmente rigorosi.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.