SMS of Death, la vulnerabilità Android che può bloccare le chiamate: rischi e difese

Un solo SMS, che non compare in nessuna casella e non chiede nessun tocco, può far crollare il servizio telefonico di uno smartphone Android: il caso è esploso a fine ottobre 2026 e ha un nome da titolo di giornale, “SMS of Death”.

E a rendere più pericolosa questa minaccia, c’è l’intelligenza artificiale che accorcia la distanza tra una scoperta e un attacco, in uno scenario in cui le reti mobili sono già considerate terreno di guerra ibrida.

Cosa è stato scoperto

Il ricercatore indipendente Mark Blaszczyk ha pubblicato i dettagli della vulnerabilità nel modo in cui Android legge i messaggi WAP Push, un formato vecchio di decenni che gli operatori usano per notifiche MMS e configurazioni, e che il sistema elabora in automatico senza mostrarlo all’utente.

Secondo le ricostruzioni, un messaggio costruito ad arte contiene un valore che, una volta convertito, diventa negativo. Android prova ad allocare un array di quella dimensione, genera un’eccezione che nessuno intercetta e il processo com.android.phone, cioè quello che governa chiamate e rete cellulare, si ferma.

Gli effetti descritti dalle fonti sono concreti:

• Impatti immediati sulla linea: ogni messaggio costa uno o due secondi di assenza di servizio, e una chiamata in corso cade, comprese quelle ai numeri di emergenza.
• Loop di crash: con una ventina o una trentina di messaggi il telefono può entrare in un ciclo di crash, perché i tentativi di riconsegna dell’operatore e la coda di SMS in attesa riattivano il problema anche dopo il riavvio.
• Danneggiamento del database: i crash ripetuti possono corrompere il database SQLite degli SMS, e secondo Cyber Kendra nemmeno un ripristino di fabbrica basta sempre.
• Procedure di ripristino complesse: per rimettere in piedi un telefono colpito può servire un PC con ADB. Una soluzione d’emergenza indicata dal ricercatore è spostare la SIM su un telefono non Android, così i messaggi vengono confermati e smettono di rimbalzare.

Il codice assegnato è CVE-2026-58882. Secondo Heise e Digital Trends sono interessate le versioni da Android 12 a 17, e la correzione è arrivata con gli aggiornamenti di ottobre 2026 per Android 14-17. Per Android 12 e 13 non è attesa alcuna patch. C’è però una discrepanza tra le fonti, Cyber Kendra riferisce che Google avrebbe chiuso la segnalazione come problema non di sicurezza e che esiste un proof of concept pubblico, mentre un commit nel codice sorgente, datato 15 giugno 2026, porta il titolo “Fix remote DoS in decodeWapPdu”. Chi deve decidere se è urgente farà bene a verificare lo stato sul proprio modello e sul bollettino del produttore.

È utile anche un altro chiarimento: si tratta di un Denial of Dervice, non di furto di dati né di esecuzione di codice, almeno per quanto dimostrato finora.

E non interessa “qualsiasi smartphone Android” in senso assoluto: conta la versione e conta il livello di patch.

Perché c’entra la guerra cibernetica

Va detto con chiarezza, non risulta alcun uso di questa falla in operazioni militari. Ma il quadro in cui si inserisce è reale.

La società di sicurezza AdaptiveMobile (gruppo Enea) sostiene da tempo che gli attacchi alle reti mobili vanno considerati una minaccia di livello statale e una componente della guerra ibrida, tra gli scenari indicati ci sono il targeting di personale militare, l’intercettazione di comunicazioni civili e la disruption delle reti nazionali.

In Europa, un documento del VDE tedesco pubblicato a ottobre 2026 descrive attacchi alle infrastrutture critiche e guerra ibrida provenienti dall’area d’influenza russa, e inserisce le comunicazioni tra le infrastrutture da proteggere, citando l’attacco alla rete elettrica di Berlino del gennaio 2026.

Un bug che mette fuori uso la telefonia a distanza, anche solo per periodi brevi e su un sottoinsieme di dispositivi, è esattamente il tipo di strumento che nel mondo della guerra ibrida vale per l’effetto psicologico e logistico più che per quello tecnico, confondere, isolare, disturbare i soccorsi.

Il ruolo dell’AI

Qui le fonti più solide sono quelle degli enti pubblici. Il britannico NCSC, nella sua valutazione sull’impatto dell’AI sulle minacce fino al 2027, ritiene che gli attori capaci di addestrare o adattare modelli per la ricerca di vulnerabilità vedranno crescere la loro efficacia nella scoperta e nello sfruttamento di zero-day, e che l’AI accorcerà ancora la finestra tra la pubblicazione di una falla e il suo sfruttamento.

Lo stesso documento prevede un divario crescente tra chi tiene il passo con le difese e chi no, e giudica improbabili, entro il 2027, attacchi avanzati completamente automatici dall’inizio alla fine.

Applicato al nostro caso, una falla come questa nasce da un banale errore di validazione in un parser antico. Sono precisamente i difetti che gli strumenti automatici sanno cercare in modo sistematico in codice enorme e stratificato come lo stack telefonico.

Il rischio non è un’AI che da sola organizza la guerra, ma tempi più corti e costi più bassi per chi cerca il prossimo “SMS of Death”, e per chi trasforma una divulgazione pubblica in uno strumento d’attacco prima che i telefoni vengano aggiornati.

E Android, con i suoi aggiornamenti spezzettati tra produttori e operatori, è il caso da manuale di sistema dove la patch arriva tardi e a macchia di leopardo.

Scenari di cyber security, data breach e impatti sui privati

La scoperta della vulnerabilità SMS of Death apre, quindi, diversi scenari cyber.

Privati, svuotamento dei conti e sicurezza informatica personale

L’impatto più immediato del DoS è l’interruzione tecnica, telefono senza rete a intermittenza, chiamate che cadono, messaggi che non arrivano e dispositivi bloccati.

Tuttavia, dal punto di vista della cyber security individuale, l’aspetto cruciale risiede in come un simile malfunzionamento possa integrarsi all’interno di frodi finanziarie strutturate e campagne d’attacco dirette ai privati.

• Svuotamento dei conti bancari e bypass dell’MFA: la disabilitazione della connessione cellulare rappresenta un’arma strategica nei vettori di attacco di smishing e vishing. Bloccare la linea telefonica della vittima o mandarla in un loop di riavvii impedisce al privato di ricevere notifiche push di pagamento, SMS OTP per l’autorizzazione delle operazioni o chiamate di verifica da parte dei sistemi anti-frode della banca. Nel frattempo, i cybercriminali – entrati precedentemente in possesso delle credenziali tramite phishing o compravendita nel dark web – possono autorizzare bonifici istantanei e prosciugare i conti senza che il correntista possa intervenire tempestivamente.
• Rischio di data breach secondario e social engineering: sebbene l’SMS of Death in sé non consenta l’esfiltrazione diretta di dati personali dal dispositivo, esso crea la condizione perfetta per un attacco combinato. L’interruzione improvvisa del servizio genera panico nell’utente; in questo stato d’ansia, la vittima diventa estremamente vulnerabile a tecniche di ingegneria sociale, come la ricezione successiva di false chiamate di assistenza tecnica o comunicazioni bancarie ingannevoli che chiedono la conferma delle credenziali di home banking.
• Rischi di emergenza personale: il rischio più grave resta l’impossibilità di effettuare chiamate di emergenza (soccorso medico o forze dell’ordine) durante un blocco mirato o casuale del dispositivo. I telefoni più vecchi o fuori produzione restano esposti a tempo indeterminato, diventando facile bersaglio per azioni di molestia, intimidazione o disturbo mirato.

Aziende

Il punto debole sono le flotte miste e i dispositivi personali usati per lavoro (BYOD).

Un telefono fuori uso significa autenticazione a due fattori via SMS che non arriva, reperibilità tecnica che salta, call center e logistica che perdono contatto con il personale sul campo.

Una campagna di disturbo contro i dirigenti o i team di reperibilità durante un’altra operazione, per esempio un ransomware o un tentativo di esfiltrazione dati e data breach aziendale, può servire da cortina di fumo e da leva. I settori più sensibili sono sanità, trasporti, energia e sicurezza privata.

Pubblica amministrazione e infrastrutture

Per la PA e per chi gestisce servizi essenziali il tema è la continuità. Protezione civile, forze dell’ordine, sanità e gestione delle emergenze usano telefonia mobile e SMS come canale d’allerta e di coordinamento.

Una disruption mirata e temporanea, in un contesto di tensione, ha un valore operativo sproporzionato rispetto alla semplicità tecnica. Inoltre, parchi di terminali vecchi e acquisiti a lotti sono quelli che più facilmente restano senza patch.

Sanità, ospedali, ASL e strutture territoriali

Se c’è un settore in cui due secondi di rete assente possono pesare più del solito, è questo. Il guasto in sé non danneggia nessun dato clinico, ma colpisce un anello che la sanità dà per scontato, il telefono in tasca a chi deve rispondere in fretta.

Il contesto di partenza è già duro. Secondo lo studio 2026 di Proofpoint e Ponemon Institute sul sistema sanitario statunitense, il 97% delle organizzazioni intervistate ha subito almeno un attacco informatico nell’ultimo anno, e il 74% di queste ha dichiarato disagi all’assistenza ai pazienti. Tra chi ha subito un ransomware, il 72% parla di cure disturbate e il 70% di degenze più lunghe.

Nell’Unione Europea, l’analisi ENISA sul settore sanitario attribuisce agli ospedali il 42% degli incidenti censiti e al ransomware il 54% delle minacce, segnalando anche ondate di attacchi DDoS di matrice filorussa contro ospedali e autorità sanitarie nei primi mesi del 2023.

E nei casi recenti il telefono è spesso la prima vittima, nel 2026 un ospedale in Montana ha perso la linea telefonica, ripristinata solo dopo un po’ dopo un incidente informatico, un altro in Wisconsin (Mile Bluff) ha visto fermarsi telefoni e computer con il personale costretto alle procedure manuali, e in Massachusetts il Brockton Hospital ha dovuto dirottare le ambulanze e lavorare su carta.

Su questo terreno, un bug come l’“SMS of Death” va letto come un moltiplicatore di fragilità. Gli scenari più realistici:

• Reperibilità e allerta clinica: chirurghi, anestesisti, emodinamisti, équipe di emergenza e tecnici di guardia vengono spesso richiamati con telefonate o messaggi. Un telefono fuori servizio, o un ciclo di crash che si ripete, significa un medico che non riceve la chiamata. Uno studio americano su un campione di ospedalieri, basato su un sondaggio del 2016 e quindi datato, mostrava che circa due su tre ricevevano SMS ordinari per comunicazioni di assistenza almeno una volta a settimana, benché i cercapersone restassero lo strumento principale. Oggi la dipendenza dagli smartphone è con ogni probabilità più alta, non più bassa.
• Assistenza sul territorio: per ASL, USL e strutture territoriali il tema è la dispersione, infermieri e medici in visita a domicilio, équipe di assistenza domiciliare, ambulatori periferici, trasporti sanitari. Fuori dall’ospedale c’è poca ridondanza, e il telefono mobile è spesso l’unico filo che tiene insieme la squadra.
• Emergenza: la caduta di una chiamata è il punto critico segnalato dalle fonti, comprese le chiamate ai numeri di emergenza. Un paziente o un familiare che chiama i soccorsi e perde la linea è la conseguenza più grave, anche se probabilmente rara.
• Accessi e autenticazione: dove portali, cartelle cliniche, referti o prenotazioni usano il codice via SMS come secondo fattore, un telefono incapace di ricevere messaggi significa personale o pazienti tagliati fuori. Qui entra il consiglio della CISA di non appoggiarsi agli SMS per l’autenticazione.
• Cortina di fumo: un attacco di disturbo alla telefonia mobile durante un ransomware o un’intrusione amplifica il caos esattamente quando le procedure di emergenza sono già sotto stress. Le strutture che nel 2026 hanno dovuto lavorare con carta e penna sanno quanto sia fragile quella condizione.
• Terminali vecchi: parchi telefonici eterogenei, dispositivi personali usati per lavoro e apparecchi fermi ad Android 12 o 13, per cui la patch non è attesa, sono comuni negli enti con budget e cicli di acquisto lenti. Dove si usino SIM per allarmi o telemonitoraggio, la domanda da porsi è se quei dispositivi trattino messaggi in ingresso con lo stesso tipo di parser, è un’ipotesi da verificare con i fornitori, non un rischio dimostrato dalle fonti.

Cosa fare

Alla luce di quanto visto finora, è possibile sintetizzare le azioni da compiere per mettere in sicurezza i propri dispositivi mobile.

Per i privati

• Patch e aggiornamenti: controllare versione Android e livello di patch in Impostazioni e installare subito gli aggiornamenti disponibili. Se il telefono è fermo ad Android 12 o 13 e il produttore non pubblica più aggiornamenti, valutare la sostituzione del dispositivo.
• Sicurezza MFA e home banking: non basare l’accesso ai propri account o all’home banking sugli SMS. La CISA statunitense consiglia di abbandonare gli SMS come secondo fattore, poiché non sono cifrati e possono essere intercettati o bloccati, preferendo app di autenticazione (Authenticator) o chiavi hardware di sicurezza fisiche.
• Monitoraggio banche: attivare notifiche push di sicurezza bancaria su canali alternativi e monitorare costantemente i movimenti sui conti tramite dispositivi secondari.
• Canali alternativi: tenere a portata una seconda via di contatto d’emergenza, un telefono secondario, anche semplice, o la possibilità di riprovare la chiamata subito dopo una caduta.
• Gestione crash: se il telefono si blocca in un ciclo di crash, non riavviare all’infinito, rivolgersi al centro assistenza o provare la SIM su un altro apparecchio, come suggerito dal ricercatore.

Per le aziende

• Gestione MDM: inventariare i dispositivi mobili, con modello, versione Android e livello di patch, e fissare una politica minima di aggiornamento tramite MDM, con blocco dell’accesso aziendale per i terminali non conformi.
• Eliminazione SMS nei flussi critici: eliminare gli SMS dai flussi critici, MFA, allerte, reperibilità. Usare canali alternativi con ridondanza.
• Filtri operatori: chiedere all’operatore quali filtri applica sui WAP Push e sui messaggi malformati, e se può bloccare quelli non necessari sulle SIM aziendali.
• Piani di continuità: inserire la perdita della telefonia mobile nei piani di continuità e nelle esercitazioni, con una procedura scritta per le comunicazioni senza rete cellulare.

Per la PA e le infrastrutture critiche

• Ridondanza di rete: considerare la telefonia mobile un servizio degradabile, non garantito, e progettare per questo, canali radio, linee fisse, satellitari per le funzioni di emergenza.
• Capitolati d’acquisto: introdurre nei capitolati requisiti di durata del supporto software e di tempi di patching per i dispositivi.
• Esercitazioni e resilienza: fare esercitazioni congiunte tra enti, operatori e sicurezza, in linea con l’invito del VDE a passare dal “security by design” al “resilience by design” e a preparare la crisi molto prima che arrivi.
• Condivisione informazioni: condividere in tempo reale con operatori e autorità competenti le anomalie di rete e di terminali, perché un attacco di questo tipo si vede prima dall’insieme che dal singolo telefono.

Per ospedali, ASL e USL e strutture sanitarie

• Mappatura e canali di riserva: mappare chi dipende dal telefono mobile per funzioni critiche (reperibilità, emergenza, trasporti, assistenza domiciliare) e per ciascuna di queste definire un canale di riserva, cercapersone, rete DECT o radio interna, linee fisse, chiamata a cascata verso un secondo numero.
• Messaggistica protetta: togliere gli SMS dalle catene di allerta cliniche e dall’autenticazione di personale e pazienti, sostituendoli con app di messaggistica sicura gestite dall’ente e con autenticazione a chiave o app.
• Controllo terminali: imporre per i terminali aziendali e per quelli personali autorizzati un livello minimo di patch verificato da MDM, e sostituire o isolare i telefoni fermi ad Android 12 e 13.
• Esercitazioni downtime: provare le procedure di downtime, quelle con carta e penna e senza telefonia mobile, con esercitazioni vere che coinvolgano clinici, informatici, direzione e comunicazione, come raccomandano i resoconti dei casi americani del 2026.
• Filtri operatori e requisiti software: chiedere agli operatori mobili filtri sui messaggi malformati per le SIM dell’ente e un canale di segnalazione rapida delle anomalie, e prevedere nei capitolati requisiti di aggiornamento e di durata del supporto software per ogni nuovo terminale.
• Conformità NIS2 ed ENISA: tenere salde le basi indicate da ENISA, backup cifrati dei dati critici, formazione del personale, un programma specifico contro il ransomware. Nell’UE la direttiva NIS2 colloca la sanità tra i settori essenziali, quindi questi obblighi non sono solo buone pratiche.

Sul fronte AI, la difesa è simmetrica all’attacco, usare strumenti automatici per il fuzzing e la revisione del codice dei parser che trattano input esterni, ridurre le funzioni attive di default che nessuno usa più, e prendere sul serio il ritmo che indica l’NCSC, cioè giorni, e non più mesi, tra divulgazione e sfruttamento.

In sintesi

L’“SMS of Death” non è la fine del mondo mobile, è un Denial of Service, ha una correzione per le versioni più recenti, e molto del clamore sta nel nome.

Ma è un ottimo promemoria di tre cose:

• codice ereditato: gli stack telefonici sono pieni di codice ereditato,
• Patch frammentate: le patch Android non arrivano a tutti,
• Minaccia reale: e in un contesto di cyber security e guerra ibrida la capacità di creare disservizi, facilitare data breach o svuotamenti di conto è un’arma d’impatto reale.

Chi si prepara oggi, con aggiornamenti, ridondanza e piani d’accesso privi di SMS, ne uscirà meglio di chi aspetta il prossimo titolo di giornale.