Le condizioni che innescano il controllo del rischio di WhatsApp includono l’invio di oltre 20 messaggi al minuto, essere segnalato più di 5 volte in 24 ore, l’invio di contenuti sensibili come link di frode, l’utilizzo di API non ufficiali (tasso di blocco dell’80%), e accessi anomali con IP che attraversano 3 o più paesi; per evitarlo, è necessario controllare la frequenza, parlare in modo conforme, utilizzare strumenti ufficiali e verificare l’accesso anomalo il prima possibile.

Introduzione di base al meccanismo di controllo del rischio

Secondo i dati ufficiali di Meta, WhatsApp ha oltre 2 miliardi di utenti attivi mensili in tutto il mondo e gestisce fino a 100 miliardi di messaggi al giorno. Per mantenere l’ordine della piattaforma, il suo sistema di controllo del rischio adotta un doppio meccanismo di apprendimento automatico e analisi dei modelli comportamentali, che valuta istantaneamente il rischio dell’account attraverso oltre 120 parametri. Quando un comportamento anomalo supera una soglia, il sistema attiva automaticamente una gestione a livelli in una media di 3,2 secondi, che va dalla limitazione delle funzioni al ban permanente in 4 livelli. Le statistiche del 2022 mostrano che il tasso di blocco dei nuovi account registrati nella prima settimana raggiunge il 15%, l’80% dei quali è dovuto a deviazioni del modello comportamentale superiori al 70% rispetto agli utenti normali.

Il cuore del controllo del rischio di WhatsApp risiede nell’analisi della catena comportamentale. Il sistema traccia il percorso completo dell’account, dalla registrazione alle operazioni quotidiane. Ad esempio, se un nuovo account invia più di 50 messaggi o aggiunge più di 30 contatti sconosciuti entro 24 ore dalla registrazione, attiverà immediatamente un primo contrassegno di rischio. I dati effettivi mostrano che la probabilità che tali account vengano successivamente bloccati è 6 volte superiore rispetto agli utenti normali. Inoltre, se la frequenza di invio dei messaggi supera i 12 messaggi al minuto (esclusi gli scenari di messaggistica di massa), il sistema declassa automaticamente la gestione, etichettando l’account come “stato di carico elevato” e dandogli priorità nella coda di revisione manuale.

Il sistema di controllo del rischio ha un’altissima precisione nel rilevamento dell’ambiente del dispositivo e della rete. Se lo stesso dispositivo registra più di 3 account in 90 giorni, l’ID del dispositivo verrà permanentemente etichettato come vettore ad alto rischio. Allo stesso tempo, se viene rilevato l’uso di VPN o server proxy (soprattutto se la frequenza di salto IP supera le 5 volte all’ora), il sistema limiterà direttamente le funzioni dell’account. Secondo i test interni del 2023, gli account che utilizzano IP dinamici hanno una probabilità del 40% superiore di essere bloccati rispetto agli IP fissi, e il tasso di successo dello sblocco è inferiore al 20%.

Un errore comune degli utenti è pensare che “cambiare il numero di telefono possa resettare il controllo del rischio”, ma in realtà il sistema associa il codice hardware del dispositivo (come l’IMEI), la cronologia della SIM e l’impronta digitale del comportamento di rete. Ad esempio, anche se il numero viene cambiato, se l’identificatore del dispositivo non è cambiato e il modello comportamentale è simile a quello dell’account precedentemente bloccato con una somiglianza superiore al 60%, si innescherà comunque un blocco correlato.

Il tasso di sopravvivenza dell’account è strettamente correlato alla strategia iniziale di “allevamento” dell’account. I dati mostrano che se un nuovo account mantiene una media giornaliera di 5-10 conversazioni, un volume di messaggi giornaliero inferiore a 20 e aumenta gradualmente la frequenza di interazione nella prima settimana, la stabilità dell’account può raggiungere il 95% dopo 90 giorni. Al contrario, se l’account aggiunge un gran numero di gruppi o invia messaggi broadcast il primo giorno, il tasso di blocco sale bruscamente al 75%. Il sistema presta particolare attenzione alla “velocità di aggiunta ai gruppi” – l’adesione a più di 2 gruppi all’ora attiva il rilevamento di abuso di gruppo, e la soglia di applicazione di questa regola è ancora più rigorosa in mercati come India e Brasile (1 all’ora).

Il meccanismo di controllo del rischio include anche una strategia di adattamento regionale. Ad esempio, in Europa, il sistema si concentra sul controllo della conformità al GDPR (come la legittimità del trasferimento dei dati degli utenti), mentre nei mercati del Sud-est asiatico rafforza l’identificazione dei messaggi di frode (ad esempio, se i messaggi contenenti parole chiave come “offerta” o “bonifico” vengono inviati più di 5 volte al giorno, si attiverà una revisione manuale). È importante notare che anche le chiamate vocali sono soggette a controllo del rischio: se un account non verificato effettua più di 10 chiamate al giorno, la funzione di chiamata verrà sospesa per 24 ore.

Evitare l’invio frequente di messaggi

Secondo il rapporto sulla trasparenza ufficiale di WhatsApp, nel secondo trimestre del 2023, oltre 2,3 milioni di account sono stati limitati per “bombardamento di messaggi”, di cui gli account che hanno inviato più di 100 messaggi in un solo giorno rappresentano il 67% del blocco totale. Il sistema di controllo del rischio esegue una tripla ispezione su frequenza di invio al minuto, tasso di ripetizione del destinatario e somiglianza del messaggio. Se vengono inviati più di 12 messaggi al minuto per 5 minuti consecutivi, il sistema attiva immediatamente un meccanismo di limitazione del flusso, contrassegnando l’account come “potenziale comportamento promozionale” e portando il tasso di consegna dei messaggi al di sotto del 30% entro 24 ore.

Il monitoraggio della frequenza di WhatsApp adotta un meccanismo di regolazione dinamica della soglia. Se il volume di messaggi inviati da un nuovo account nel primo giorno di registrazione supera i 50, la probabilità di attivare il controllo del rischio è alta all’82%; mentre per gli account in uso stabile da oltre 3 mesi, il volume di invio sicuro giornaliero può essere esteso a 200 messaggi. Ma è necessario prestare attenzione: le regole di calcolo per l’invio di messaggi di massa (broadcast) sono diverse. Quando il destinatario di ogni batch di messaggi di massa supera le 25 persone, il sistema avvia una scansione dei contenuti e, se la somiglianza dei contenuti supera l’80% per 3 batch consecutivi, la funzione di messaggistica di massa viene sospesa direttamente per 24 ore. I dati effettivi mostrano che oltre il 35% degli account aziendali ha le funzioni limitate a causa dell’ignoranza di questa regola.

Il tipo di messaggio è strettamente correlato al livello di rischio. I messaggi contenenti link hanno una probabilità di attivare il controllo del rischio 4,3 volte superiore rispetto ai messaggi di solo testo. Se vengono inviati più di 10 messaggi contenenti link in un giorno e il tasso di clic è inferiore al 5% (il tasso di clic medio degli utenti normali è del 15%), il sistema contrassegna automaticamente il link come “contenuto potenzialmente a rischio”. Ancora più grave è se lo stesso link viene inviato a più di 50 utenti diversi entro 24 ore, indipendentemente dal fatto che il contenuto sia conforme o meno, l’account mittente viene forzato a entrare in un “periodo di raffreddamento” – è vietato inviare qualsiasi link per 72 ore.

La strategia di intervallo di tempo è fondamentale per evitare il controllo del rischio. I dati di prova mostrano che gli account che mantengono un intervallo di almeno 90 secondi tra ogni messaggio e mettono in pausa l’operazione per 5 minuti dopo l’invio di ogni 5 messaggi, difficilmente attivano il controllo del rischio (probabilità inferiore allo 0,2%). Al contrario, se i messaggi vengono inviati continuamente a una velocità di 1 messaggio al secondo, la probabilità che l’account venga limitato entro 15 minuti raggiunge il 95%. Inoltre, il sistema monitora in modo specifico le “fasce orarie di alta attività” (dalle 19:00 alle 22:00 ora locale), durante le quali la soglia di frequenza di invio viene ridotta del 30%, il che significa che lo stesso numero di messaggi inviati in questa fascia oraria aumenta il coefficiente di rischio di 1,7 volte.

Di seguito è riportata una tabella di confronto dei parametri di sicurezza per l’invio di messaggi per diversi stati dell’account:

È necessario prestare particolare attenzione al fatto che anche la concentrazione del destinatario è inclusa nella dimensione del controllo del rischio. Se oltre il 60% dei messaggi inviati in un giorno è concentrato su meno di 5 contatti, il sistema lo giudicherà come “sospetto di molestie”. Tali account, anche se il volume totale di invio non supera la soglia, possono comunque essere richiesti per la verifica del numero di telefono (la probabilità di accadimento è di circa il 12%). Dopo l’aggiornamento del sistema nel 2023, analizza persino il tasso di segnalazione del ricevente del messaggio – se oltre il 15% dei riceventi contrassegna l’account come spam, l’account verrà immediatamente sospeso.

Controllo del numero di gruppi a cui si aderisce

Secondo il rapporto sull’ecosistema dei gruppi di Meta del 2023, il numero di nuovi gruppi WhatsApp in tutto il mondo raggiunge i 120 milioni al mese, ma allo stesso tempo oltre 4 milioni di account sono stati limitati a causa di operazioni anomale sui gruppi. Il sistema di controllo del rischio esegue un’analisi completa su frequenza di adesione al gruppo all’ora, corrispondenza dell’attività del gruppo e modello comportamentale tra i gruppi. I dati mostrano che se un nuovo account aderisce a più di 10 gruppi entro 24 ore, la probabilità di attivare il controllo del rischio sale immediatamente al 58%, e oltre 20 gruppi attiveranno direttamente un periodo di raffreddamento di 72 ore per l’adesione al gruppo.

Il cuore del controllo del rischio per l’adesione al gruppo risiede nell’identificazione del modello temporale. Il sistema registra la data e l’ora di ogni operazione di adesione al gruppo e, se rileva un’adesione regolare e massiva (ad esempio, aderire a 1 gruppo ogni 5 minuti per più di 2 ore), anche se il volume totale non supera la soglia, verrà comunque contrassegnato come comportamento da bot. I dati effettivi mostrano che l’89% di tali account ha una probabilità di essere richiesto per la verifica del telefono entro 7 giorni. Ancora più critico è che l’operazione di abbandono del gruppo immediatamente dopo l’adesione è considerata ad alto rischio dal sistema: se il tasso di abbandono entro 24 ore supera il 40% del numero di adesioni, l’account verrà automaticamente declassato.

Il tipo di gruppo è direttamente correlato al coefficiente di rischio. L’adesione a gruppi con più di 500 persone ha un peso nel controllo del rischio 3,2 volte superiore rispetto ai gruppi normali. Se un nuovo account aderisce a più di 3 gruppi di grandi dimensioni nella prima settimana e il tasso di segnalazione di questi gruppi supera la media della piattaforma (attualmente 0,7%), le funzioni dell’account verranno immediatamente limitate. Inoltre, il sistema monitora in modo specifico la “diffusione di contenuti tra i gruppi” – se lo stesso messaggio viene inviato a più di 5 gruppi entro 1 ora, l’account mittente ha una probabilità del 76% di vedersi sospendere il permesso di invio di massa.

La strategia di distribuzione del tempo è fondamentale. I dati di prova mostrano che gli account che mantengono un intervallo di almeno 30 minuti dopo l’adesione a 1 gruppo e limitano il numero totale di adesioni al gruppo a 5 al giorno, hanno una probabilità inferiore al 2% di attivare il controllo del rischio. Al contrario, se si aderisce continuamente ai gruppi durante le ore di punta dell’attività degli utenti (dalle 20:00 alle 23:00), la soglia del sistema viene automaticamente ridotta del 40%. È importante notare che la tolleranza di monitoraggio è superiore del 25% nei fine settimana rispetto ai giorni feriali, ma si consiglia comunque di non superare gli 8 gruppi al giorno.

Di seguito sono riportati i parametri di sicurezza per le operazioni sui gruppi per diversi stati dell’account:

È necessario prestare particolare attenzione alle differenze nelle regole regionali. In mercati ad alta densità come India e Brasile, il sistema attiva il rilevamento della densità del gruppo: se oltre il 35% dei membri nei gruppi a cui l’account ha aderito si sovrappongono, si attiva l'”analisi dello strato di rete del gruppo”. Una volta giudicato come costruzione deliberata di una catena di diffusione, l’account verrà permanentemente bannato dalla creazione di nuovi gruppi. Allo stesso tempo, se l’account viene rimosso da più di 5 amministratori di gruppo entro 72 ore, il sistema lo contrassegnerà automaticamente come “membro di bassa qualità” e il tasso di successo dell’adesione ai gruppi successivi diminuirà del 60%.

Utilizzo dell’applicazione ufficiale

Secondo il rapporto sulla sicurezza di Meta del 2023, oltre 2,7 milioni di account WhatsApp in tutto il mondo sono stati permanentemente bloccati a causa dell’utilizzo di versioni modificate non ufficiali (come GB WhatsApp), e il tempo medio di sopravvivenza di questi account è stato di soli 17 giorni. La differenza fondamentale tra l’applicazione ufficiale e le versioni modificate risiede nel meccanismo di verifica della sicurezza: la versione ufficiale esegue almeno 3 verifiche crittografate con il server ogni 24 ore, mentre le versioni modificate di solito aggirano questo processo, portando a un tasso di rilevamento anomalo dell’account fino al 92%. Inoltre, la latenza di trasmissione dei messaggi degli account che utilizzano versioni modificate è superiore di 400 millisecondi rispetto alla versione ufficiale, e questo ritardo aggiuntivo è la finestra temporale in cui il sistema di controllo del rischio esegue la scansione di sicurezza.

Il problema più fatale delle applicazioni modificate è la mancanza di corrispondenza a livello di protocollo. WhatsApp ufficiale utilizza il protocollo Signal con crittografia end-to-end, e ogni pacchetto di messaggi contiene un codice di autenticazione di 16 bit; le versioni modificate di solito non riescono a simulare completamente questo processo, il che fa sì che ogni pacchetto di messaggi inviato attivi uno 0,3% di contrassegno anomalo. Quando i contrassegni anomali si accumulano a 150 volte (circa 500 messaggi inviati), il sistema inserisce automaticamente l’account nell’elenco di osservazione. I dati del 2023 mostrano che la probabilità che gli utenti che utilizzano applicazioni modificate ricevano un “avviso di sicurezza pop-up” è 28 volte superiore rispetto alla versione ufficiale, e il 43% di questi account avrà le funzioni limitate entro 7 giorni.

L’identificazione dell’impronta digitale del dispositivo è un’altra linea di difesa del sistema di controllo del rischio. L’applicazione ufficiale restituisce al server parametri del dispositivo standardizzati (inclusi il livello API di Android, la versione della patch di sicurezza, ecc.), mentre le versioni modificate spesso non riescono a falsificare un set completo di parametri. Le statistiche mostrano che quando il tasso di parametri mancanti restituiti dal dispositivo supera il 20%, il sistema attiva immediatamente il contrassegno di rischio del dispositivo. Anche se tali account cambiano il numero di telefono, c’è comunque una probabilità del 78% di essere bloccati nuovamente a causa dell’associazione dell’impronta digitale del dispositivo. Ancora più grave, per gli account che eseguono la versione ufficiale di WhatsApp su dispositivi Root o con jailbreak, la soglia di controllo del rischio viene automaticamente ridotta del 50%, il che significa che il coefficiente di rischio per lo stesso comportamento raddoppia.

La conformità agli aggiornamenti influisce direttamente sulla durata dell’account. L’applicazione ufficiale richiede un aggiornamento forzato alla versione più recente ogni 14 giorni (la differenza di versione superiore a 60 giorni interrompe completamente il servizio), mentre gli utenti della versione modificata tendono a rimanere su versioni precedenti. Ciò aumenta la precisione di rilevamento del sistema di controllo del rischio per questi account al 95%, poiché le versioni precedenti non dispongono delle protezioni del protocollo di sicurezza più recente. I dati mostrano che la probabilità che gli account che utilizzano un’applicazione non aggiornata per più di 90 giorni (ufficiale o modificata) vengano bloccati è 4,8 volte superiore rispetto a quelli che aggiornano regolarmente.

I seguenti comportamenti accelerano significativamente l’attivazione del controllo del rischio:

• Accesso allo stesso account su due dispositivi contemporaneamente (tasso di attivazione 42%)
• Trasferimento di file multimediali di oltre 100 MB utilizzando la versione modificata (tasso di attivazione 67%)
• Passaggio dell’account tra la versione ufficiale e quella modificata (tasso di attivazione 89%)
• Disabilitazione della funzione di aggiornamento automatico dell’applicazione ufficiale (coefficiente di rischio aumentato di 2,3 volte)

La differenza nel backup su cloud è anche un fattore chiave. L’applicazione ufficiale utilizza un backup crittografato su Google Drive o iCloud, e ogni backup contiene un codice di verifica della conformità; le versioni modificate di solito utilizzano servizi di archiviazione cloud di terze parti non certificati. Quando si ripristina un backup, il sistema verifica la validità del codice di verifica – i backup non validi portano a un tasso di fallimento del ripristino della cronologia chat del 100% e attivano uno stato anomalo dell’account. I dati del primo trimestre del 2023 mostrano che il 35% degli account bloccati è dovuto al ripristino utilizzando backup non ufficiali.

Attenzione al comportamento di accesso all’account

Secondo il rapporto sulla sicurezza degli accessi di WhatsApp del 2023, oltre 1,9 milioni di account in tutto il mondo vengono limitati dal controllo del rischio ogni mese a causa di comportamenti di accesso anomali, il 72% dei quali si verifica nelle prime 96 ore dopo la registrazione dell’account. Il sistema di controllo del rischio monitora tre dimensioni principali: frequenza di accesso, tasso di variazione dell’impronta digitale del dispositivo e ragionevolezza dello spostamento geografico. I dati mostrano che se un account tenta di accedere su più di 3 dispositivi entro 24 ore, o se il luogo di accesso attraversa più di 800 chilometri senza un intervallo di tempo ragionevole, il sistema attiva immediatamente il meccanismo di verifica della sicurezza, facendo entrare l’account in un periodo di raffreddamento di 48 ore per l’accesso.

L’identificazione dell’impronta digitale del dispositivo è la tecnologia centrale del controllo del rischio. Ad ogni accesso, il sistema raccoglie 12 parametri del dispositivo (inclusi versione del sistema operativo, risoluzione dello schermo, architettura della CPU, ecc.) e, quando rileva che il tasso di variazione dei parametri del dispositivo supera il 40%, richiede immediatamente la verifica in due passaggi. I dati di prova mostrano che se un nuovo account cambia dispositivo di accesso più di 2 volte nella prima settimana, la probabilità di attivare il codice di verifica via SMS raggiunge l’85%, e il fallimento della verifica per più di 3 volte porta direttamente al congelamento dell’account per 24 ore. È importante notare che, anche se la verifica ha successo, la frequente sostituzione del dispositivo aumenta comunque il punteggio di controllo del rischio dell’account del 60% e i comportamenti successivi saranno monitorati in modo più rigoroso.

Il rilevamento dello spostamento geografico utilizza il calcolo della soglia di velocità. Il sistema calcola la distanza geografica e l’intervallo di tempo tra due accessi e, se la velocità di movimento supera i 950 chilometri all’ora (all’incirca la velocità di un aereo commerciale), viene contrassegnato come accesso anomalo. I dati del 2023 mostrano che il 79% di tali account è richiesto per la verifica biometrica (come impronta digitale o riconoscimento facciale). Ancora più importante, se un account ha più di 5 record di accesso transfrontaliero entro 72 ore, anche se la velocità è ragionevole ogni volta, il sistema attiverà comunque il “blocco in modalità viaggio”, limitando l’uso di alcune funzioni sensibili (come i trasferimenti di pagamento).

Anche il modello temporale di accesso è un indicatore importante. Il sistema stabilisce un profilo delle ore di attività per ogni utente e, se l’accesso avviene in un orario non convenzionale (ad esempio, tra le 2:00 e le 5:00 ora locale) ed è accompagnato da operazioni ad alto rischio (come l’esportazione in massa di contatti), la probabilità di attivazione del controllo del rischio aumenta di 3,3 volte rispetto all’orario normale. I dati mostrano che il 38% dei tentativi di accesso effettuati nelle ore piccole locali dell’utente attivano una verifica aggiuntiva tramite domanda di sicurezza, e oltre il 25% degli account viene temporaneamente limitato a causa del mancato superamento della verifica.

I seguenti comportamenti di accesso ad alto rischio aumentano significativamente il livello di controllo del rischio:

• Accesso tramite VPN e l’indirizzo IP non corrisponde al paese di registrazione della SIM (tasso di attivazione 64%)
• Fallimento di 5 accessi consecutivi e successo al 6° tentativo (tasso di attivazione 91%)
• Modifica immediata del nome dell’account o dell’immagine del profilo dopo l’accesso (tasso di attivazione 57%)
• Accesso su una rete Wi-Fi pubblica e la versione del protocollo di crittografia della trasmissione è inferiore a TLS1.2 (tasso di attivazione 43%)

Il monitoraggio dello stato della SIM è l’ultima linea di difesa. Il sistema verifica regolarmente la corrispondenza tra il numero di telefono e i dati dell’operatore e, se rileva che il numero ha cambiato SIM (o eSIM) negli ultimi 30 giorni, tutti i comportamenti di accesso dell’account vengono registrati come livello ad alto rischio. I dati effettivi mostrano che gli account entro 7 giorni dal cambio della SIM hanno un tasso di fallimento della verifica di accesso superiore del 220% rispetto agli account normali e hanno una probabilità del 15% di essere richiesti a presentare documenti di identità per la revisione manuale. Inoltre, se l’account accede da un numero di operatore virtuale (MVNO), la soglia di controllo del rischio viene automaticamente ridotta del 20%, il che significa che lo stesso comportamento attiverà più facilmente il meccanismo di sicurezza.