Immagina di essere nel mezzo di una telefonata importante. All’improvviso la chiamata cade. Il telefono si riavvia, poi si blocca di nuovo. Non hai toccato niente e non hai cliccato su nessun link. È bastato un SMS che non hai nemmeno visto arrivare. Questo è il succo della SMS of Death, una vulnerabilità di Android resa pubblica a fine ottobre 2026.
A scoprirla è stato Mark Blaszczyk, un ricercatore di sicurezza indipendente. Dopo alcuni mesi di confronto riservato con Google, ha reso pubblico il problema il 29 ottobre. Il nome potrebbe spaventare, ma l’idea di fondo è semplice. Si invia al telefono un messaggio costruito appositamente in modo errato. Il sistema non sa come leggerlo, va in crash e non riesce a liberarsene.
Il punto più insidioso è che il messaggio è invisibile. Non compare nella casella dei messaggi e non arriva nessuna notifica. La vittima non deve fare nulla, per questo si parla di attacco zero click. Il messaggio è un pacchetto di soli otto byte, del tipo WAP Push, una tecnologia molto vecchia che serve ancora ad alcuni servizi degli operatori.
Che cosa succede dopo? Il servizio che gestisce le chiamate si ferma. Ogni conversazione in corso si interrompe, comprese quelle verso i numeri di emergenza. Il problema è che Android continua a riprovare a leggere lo stesso messaggio. Il crash quindi si ripete. Secondo il ricercatore, circa venti messaggi bastano per mettere il telefono in un bootloop, cioè in un ciclo di riavvii senza fine. In alcuni casi il database dei messaggi si rovina e il telefono può andare in crash a ogni accensione. Per uscirne può servire un ripristino di fabbrica, con la perdita dei dati non salvati.
Va però detto anche cosa questa falla non fa. Non permette di rubare foto o password. Non installa spyware e non dà il controllo del telefono a chi attacca. È un attacco che manda il telefono fuori uso, non un furto di dati. Non è un danno da poco, ma è un danno di un altro tipo. Pensa a chi usa il telefono per lavoro, a chi ha bisogno di essere sempre raggiungibile, o a chi si trova in una situazione di emergenza.
C’è poi un secondo aspetto delicato. Il ricercatore ha pubblicato online un programma dimostrativo che crea e invia il messaggio malevolo a un numero scelto. Questo significa che i dettagli tecnici sono alla portata di tutti. Al momento, però, non risultano casi confermati di attacchi reali.
La correzione esiste. Secondo il ricercatore è arrivata con l’aggiornamento di sicurezza di ottobre di Android, per le versioni dalla 14 alla 17. Con il nuovo sistema, il telefono non va più in crash: scarta il messaggio sbagliato prima che faccia danni. Il bollettino ufficiale di Google non descrive la falla in modo esplicito, quindi conviene non fidarsi dei nomi e guardare la data. Alcuni siti hanno anche raccontato che per Google il problema non era così grave. È un esempio di come la gravità di una falla possa essere giudicata in modo diverso da chi la scopre e da chi deve correggerla.
Cosa puoi fare? La prima cosa è controllare il livello della patch di sicurezza del tuo telefono. Lo trovi nelle impostazioni, nella sezione informazioni sul telefono. Se è di ottobre 2026 o più recente, sei coperto. Se non lo è, cerca l’aggiornamento e installalo. Un telefono vecchio che non riceve più aggiornamenti resta invece esposto, e qui il consiglio è semplice: è il momento di pensare a cambiarlo.
Il nome non è nuovo. Già nel 2010, a un convegno di hacker a Berlino, due ricercatori mostrarono che certi SMS costruiti ad arte potevano bloccare i telefoni di molte marche, da Nokia a Samsung. Sono passati sedici anni e la lezione è la stessa, anche un servizio vecchio e dimenticato può diventare un punto debole. Ogni funzione che resta nel telefono “per compatibilità” è una porta in più da sorvegliare.