Una chiamata WhatsApp può rivelare la tua città

Nel novembre 2023, gli ingegneri di WhatsApp hanno spiegato un compromesso a cui la maggior parte delle persone non pensa mai quando risponde a una chiamata. Per avere il miglior audio e video, le app di chiamata di solito collegano direttamente i due telefoni, il che significa, hanno scritto, che «gli indirizzi IP sono visibili a entrambi i chiamanti in una chiamata uno a uno». E un indirizzo IP può contenere una «posizione geografica generica o il provider internet».

La loro risposta è un’opzione chiamata Proteggi indirizzo IP nelle chiamate, che Meta descrive come facoltativa: non cambia nulla finché non la attivi. Qualche settimana prima, TechCrunch aveva mostrato perché conta. Un ricercatore di sicurezza ha chiamato un account Telegram appena creato, che lo aveva salvato come contatto, e poco dopo quell’account ha inviato a TechCrunch l’indirizzo IP del computer su cui era in esecuzione.

Senza l’interruttore, WhatsApp sceglie il percorso per te. L’azienda ha detto a TechCrunch nel 2023 che passa automaticamente da chiamate dirette a chiamate inoltrate, a seconda della latenza e di quale offra la qualità migliore. Le chiamate di gruppo passano già dai suoi server, secondo il centro assistenza di WhatsApp riportato da BleepingComputer. L’esposizione riguarda le chiamate uno a uno, comprese quelle da persone che conosci appena.

L’inoltro nasconde il tuo indirizzo all’altra persona, non a WhatsApp, i cui server trasportano poi l’intera chiamata. Cooper Quintin, ricercatore di sicurezza della Electronic Frontier Foundation, ha detto a TechCrunch che non esiste un progetto perfetto: o i chiamanti rivelano i propri indirizzi IP a vicenda, oppure i server di inoltro di un’app finiscono per contenere un elenco di chi chiama chi.

MaxMind, un’azienda che vende dati di localizzazione IP, aggiunge due avvertenze. Le reti mobili possono distribuire un indirizzo su un’area ampia, quindi una ricerca può fermarsi alla regione. E dietro una VPN, la ricerca trova il server della VPN, non la persona che la usa.

Quindi una chiamata non porterà nessuno alla tua porta, ma può comunque contare. Runa Sandvik, esperta di sicurezza digitale che lavora con persone a rischio, afferma che un indirizzo IP esposto può essere comunque un rischio, soprattutto per le vittime di abusi, come ha riferito TechCrunch. Per chi si nasconde da un ex, «da qualche parte in questo paese» e «in questa città» sono risposte molto diverse.

1. Step 1Apri le impostazioni avanzate di privacyIn WhatsApp vai su Impostazioni > Privacy > Avanzate. Su iPhone, Impostazioni potrebbe comparire come Tu, come ha segnalato Tech Advisor a febbraio 2026.
2. Step 2Attiva Proteggi indirizzo IP nelle chiamateDa quel momento, le tue chiamate passano dai server di WhatsApp, e l’altra persona vede l’indirizzo di un server anziché il tuo. Trusted Reviews segnala che di conseguenza la qualità della chiamata potrebbe calare.
3. Step 3Attiva Disattiva anteprime dei linkSi trova nello stesso menu. Quando invii un link, WhatsApp recupera un’anteprima dal tuo telefono, che mostra al sito il tuo indirizzo IP. Con le anteprime disattivate, il sito ti vede solo se tocchi il link.
4. Step 4Oppure usa le impostazioni account rigoroseLanciate a gennaio 2026 per chi è esposto a rischi maggiori, attivano diverse protezioni insieme. TechCrunch ha riferito che disattivano le anteprime dei link, silenziano le chiamate da numeri sconosciuti e limitano la foto del profilo, Info e l’ultimo accesso ai soli contatti.

Menu e impostazioni cambiano di continuo, quindi considera i percorsi una guida e cerca le parole inoltro, peer-to-peer o indirizzo IP. Il compromesso è lo stesso ovunque. Il portavoce di Telegram ha detto a TechCrunch che le chiamate dirette tra contatti offrono una qualità migliore e una latenza minore, e che lo svantaggio è che entrambi i lati devono conoscere l’indirizzo IP dell’altro.

La via dei documenti coglie di sorpresa molte persone. Una foto inviata nel modo normale viene compressa e perde i metadati, mentre lo stesso file allegato come documento arriva intatto. Quali app rimuovono i dati EXIF spiega perché, e rimuovere da sé la posizione richiede un minuto.

La posizione in tempo reale è l’unica falla che scegli tu. WhatsApp la condivide con una sola chat, per tutto il tempo che scegli, e puoi interromperla in qualsiasi momento, dice l’azienda. La mappa di Snapchat va oltre, mostrando agli amici il livello della batteria e l’orario in cui torni a casa, come spiega chi può vedere la tua posizione su Snapchat.

Le foto del profilo sono più pubbliche di quanto la maggior parte della gente pensi. Quando i ricercatori dell’Università di Vienna hanno esaminato 3,5 miliardi di account WhatsApp nel 2025, hanno potuto vedere una foto del profilo pubblica per circa il 57% di essi e un testo Info per almeno il 29%. WhatsApp ha da allora introdotto limiti di frequenza e regole di visibilità più stringenti per le informazioni del profilo, dice SBA Research. Ciò che mostra la foto è un’altra questione: una sola selfie può rivelare dove vivi attraverso un numero civico o la vista da una finestra.

Lo studio, Careless Whisper, è dell’Università di Vienna e di SBA Research, e ha vinto il premio per il miglior articolo alla conferenza di sicurezza RAID 2025. Il trucco è una reazione a un messaggio che non esiste. Il telefono del bersaglio risponde con una ricevuta di consegna ma non mostra nulla, e il ritmo di un flusso costante di queste ricevute disegna la giornata della persona.

In un test, un volontario ha spento il computer di casa alle 19:28 ed è uscito verso l’ufficio. Le ricevute hanno mostrato il telefono passare dal Wi-Fi ai dati mobili, e poi di nuovo al Wi-Fi alle 19:45, quando il volontario è arrivato al lavoro e si è collegato un portatile aziendale. La conclusione dell’articolo è netta: a un aggressore basta il numero di telefono del bersaglio.

Il team ha segnalato la falla a Meta e a Signal nel settembre 2024. Nel dicembre 2025 CyberInsider ha riferito che nessuna delle due l’aveva corretta a livello di protocollo e che era comparso su GitHub uno strumento pubblico basato sul metodo. I limiti di frequenza più severi di Signal riducono il consumo di batteria e di dati; WhatsApp non aveva limiti simili. La difesa migliore che suggerisce CyberInsider è Blocca messaggi da account sconosciuti, in Impostazioni > Privacy > Avanzate, che blocca gli alti volumi di messaggi da account sconosciuti, anche se sondaggi più lenti potrebbero comunque passare.

Prova una copia con i dati di posizione rimossi (una cattura dello schermo va bene), così la stima si basa su ciò che la fotocamera ha visto. Su geospys.com, l’analisi delle foto è inclusa in GeoSpy Premium, un abbonamento da 7,99 dollari statunitensi a settimana o 29,99 dollari statunitensi all’anno, senza limiti entro un uso ragionevole e con disdetta possibile in qualsiasi momento. Stima una città e un paese, mai un indirizzo, e le foto caricate non vengono conservate. L’app GeoSpy per iPhone offre una prova gratuita.

1. Controlla i dispositivi collegati. La guida di Refuge sulla sicurezza in WhatsApp consiglia di rivedere l’elenco dei dispositivi che possono accedere al tuo account e di uscire da quelli che non riconosci.
2. Controlla chi vede cosa. Refuge suggerisce di limitare Ultimo accesso, Foto del profilo e Info ai miei contatti o a nessuno, di regolare chi vede il tuo stato e di impostare la posizione in tempo reale su Nessuno.
3. Nascondi il tuo indirizzo IP. Attiva Proteggi indirizzo IP nelle chiamate e Disattiva anteprime dei link, oppure le impostazioni account rigorose per attivare insieme un pacchetto di protezioni.
4. Pensa prima alla sicurezza. Refuge avverte che alcuni passaggi possono essere pericolosi se vivi con la persona che ti fa del male. Nel Regno Unito, la National Domestic Abuse Helpline è gratuita al numero 0808 2000 247; negli Stati Uniti, la National Domestic Violence Hotline risponde al numero 1-800-799-7233.