Indice
Immaginate di ricevere un SMS e, senza nemmeno aprirlo, vedere il vostro telefono bloccarsi completamente. Non è fantascienza né una scena da film di spionaggio: è esattamente quello che permette di fare la vulnerabilità battezzata SMS of Death, scoperta dal ricercatore di sicurezza Mark Blaszczyk e resa pubblica alla fine di ottobre 2026. Una falla che colpisce Android 12 e tutte le versioni successive, e che ha già fatto alzare più di qualche sopracciglio nella comunità della cybersecurity.
Cosa succede davvero quando arriva il messaggio maledetto
Il meccanismo è tanto semplice quanto inquietante. La vulnerabilità SMS of Death su Android sfrutta il modo in cui il sistema operativo gestisce determinati messaggi SMS speciali — quelli che normalmente vengono usati dagli operatori telefonici per configurazioni di rete o aggiornamenti silenziosi. Blaszczyk ha scoperto che, inviando un messaggio appositamente costruito, è possibile mandare in crash il servizio di chiamata del dispositivo bersaglio senza che l’utente debba fare assolutamente nulla: non aprire il messaggio, non cliccare su un link, non interagire in alcun modo.
Il risultato pratico? Il telefono smette di funzionare correttamente. In alcuni casi, un singolo messaggio è sufficiente a far collassare il servizio di chiamata. In scenari più aggressivi, dove i messaggi vengono inviati in modo ripetuto, il dispositivo può diventare completamente inutilizzabile. È come se qualcuno potesse spegnere il vostro telefono a distanza, senza nemmeno conoscere la vostra password.
→ Leggi anche: Google potenzia Android con 5 nuove difese anti-truffa: ecco come Gemini cambia la sicurezza
Quali dispositivi sono nel mirino dell’SMS of Death su Android
La falla è stata confermata su Android 12 e versioni successive, il che significa che la stragrande maggioranza degli smartphone Android in circolazione oggi è potenzialmente esposta. Non si tratta di un problema relegato a qualche modello economico o a un produttore di nicchia: i test condotti hanno coinvolto con successo sia Google Pixel che Samsung Galaxy, due delle linee di smartphone più diffuse e rappresentative dell’ecosistema Android a livello globale.
Questo dettaglio è importante perché sgombra il campo da una possibile obiezione: non è un bug legato a una personalizzazione software di un singolo produttore, ma qualcosa che affonda le radici nel sistema Android stesso, nel modo in cui il framework gestisce certi tipi di SMS a basso livello. Chi ha un Pixel aggiornato all’ultima versione non è automaticamente al sicuro, almeno finché non arriva una patch specifica.
Perché questa falla è diversa dagli attacchi che conosciamo
La caratteristica che rende l’SMS of Death particolarmente insidiosa rispetto ad altri exploit è il vettore di attacco zero-interaction: non richiede che la vittima faccia errori. Non si tratta di phishing, dove bisogna convincere qualcuno a cliccare su un link sospetto. Non è un’app malevola da installare. È sufficiente conoscere il numero di telefono del bersaglio per poter inviare il messaggio incriminato.
→ Leggi anche: WhatsApp su iPhone, i messaggi programmati arrivano finalmente: ecco come usarli
In termini pratici, questo abbassa drasticamente la soglia tecnica necessaria per sferrare un attacco. Chiunque abbia accesso a strumenti di invio SMS speciali potrebbe, in linea teorica, prendere di mira un dispositivo vulnerabile. Le implicazioni vanno ben oltre il semplice fastidio: un servizio di chiamata bloccato significa impossibilità di chiamare i soccorsi, di ricevere autenticazioni a due fattori, di usare il telefono come strumento di lavoro.
Lo stato delle patch e cosa fare adesso
La divulgazione pubblica della vulnerabilità risale al 30 ottobre 2026, e al momento della pubblicazione di questo articolo la situazione delle patch è ancora in evoluzione. Le fonti che hanno riportato la notizia — tra cui Android Authority — confermano che si tratta di dispositivi non aggiornati, lasciando intendere che una correzione esiste o è in arrivo, ma la distribuzione degli aggiornamenti di sicurezza Android è notoriamente frammentata: i Pixel la ricevono per primi, i Samsung con qualche settimana di ritardo, e i dispositivi di altri produttori con tempistiche ancora più variabili.
Il consiglio pratico, in questa fase, è quello di controllare immediatamente le impostazioni del proprio smartphone e installare qualsiasi aggiornamento di sicurezza disponibile. Su Android, si trova in Impostazioni → Informazioni sul telefono → Aggiornamenti di sistema. Non è un’operazione che vale la pena rimandare a domani, soprattutto se usate il telefono per lavoro o per accedere a servizi bancari.
La vicenda dell’SMS of Death ci ricorda, una volta di più, che la superficie d’attacco degli smartphone moderni è molto più ampia di quanto si pensi. Non bastano password robuste e diffidenza verso i link sospetti: alcune vulnerabilità arrivano senza bussare, sfruttando i meccanismi più profondi del sistema operativo. Tenere il software aggiornato rimane la difesa più concreta e immediata che abbiamo a disposizione.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
