SMS of Death: un messaggio può interrompere anche le chiamate d’emergenza su Android

Un SMS costruito per mandare in crisi il sistema telefonico Android, senza che il destinatario debba aprirlo o toccare un collegamento. Nella documentazione pubblicata il 29 ottobre 2026 sotto il nome SMS of Death, un ricercatore indipendente sostiene di aver individuato un problema capace di far riavviare il processo che gestisce le chiamate. L’effetto più grave denunciato non riguarda i messaggi: riguarda la possibilità di interrompere una telefonata, anche verso i servizi d’emergenza.

La segnalazione attribuisce a Google una risposta tanto interessante quanto controversa: il comportamento sarebbe stato classificato come un problema non di sicurezza, senza una correzione prevista nell’ambito della segnalazione. È la ricostruzione del ricercatore, non una presa di posizione pubblica di Google verificata in modo indipendente.

La distinzione pesa. Per chi è al telefono con un amico, una chiamata che cade è un guasto. Per chi sta cercando un’ambulanza, la stessa interruzione può avere un significato molto diverso. Il software, invece, non conosce la differenza tra le due conversazioni.

SMS of Death: come un messaggio può colpire le chiamate Android

Un SMS non è necessariamente una riga di testo che aspetta di essere letta. La rete mobile trasporta anche messaggi strutturati, impiegati per funzioni tecniche e comunicazioni di servizio. Fra questi ci sono i WAP Push: Android prevede un percorso specifico per riceverli e distribuirli ai componenti interessati, come mostra la documentazione ufficiale delle API di telefonia.

È in questa zona meno visibile del telefono che si colloca il problema descritto nel rapporto SMS of Death. Secondo l’autore, un messaggio preparato in modo anomalo può provocare un errore nella gestione della telefonia. Non serve convincere l’utente a installare un’app o a concedere permessi: il dispositivo deve elaborare i dati in arrivo per decidere come trattarli.

L’effetto descritto è un’interruzione del servizio, non il controllo del telefono da parte di un estraneo. È un punto decisivo: non ci sono elementi per sostenere che l’attacco permetta di leggere conversazioni, rubare fotografie o eseguire liberamente programmi sul dispositivo. Un attacco che fa cadere una chiamata resta comunque un problema serio, soprattutto quando quella chiamata è urgente.

Perché il caso coinvolge Google e la definizione di sicurezza

Il ricercatore riferisce di aver segnalato il comportamento a Google nei mesi precedenti alla pubblicazione e di aver ricevuto una classificazione come non-security issue. Non è stato possibile verificare direttamente la corrispondenza completa con l’azienda né una risposta pubblica che ne spieghi i criteri. Sarebbe quindi scorretto trasformare il resoconto di una parte in una dichiarazione ufficiale dell’altra.

Resta una domanda precisa: quando un difetto che interrompe un servizio essenziale smette di essere un semplice bug? I sistemi di classificazione distinguono fra accesso non autorizzato, furto di dati, esecuzione di codice e indisponibilità. Quest’ultima categoria, nota come denial of service, descrive proprio situazioni in cui una funzione smette di essere accessibile.

La classificazione di una segnalazione determina anche che cosa viene considerato prioritario, quale percorso di correzione si attiva e quale informazione arriva agli utenti. Il fatto che un problema non rientri in una certa procedura interna non equivale, da solo, a dimostrare che non possa avere conseguenze sulla sicurezza delle persone.

Non è la prima volta che si parla di SMS capaci di bloccare i telefoni

Il nome SMS of Death non nasce oggi. Già nel 2011 i ricercatori Collin Mulliner, Nico Golde e Jean-Pierre Seifert presentarono all’USENIX Security Symposium uno studio sugli SMS appositamente costruiti per mandare in crisi numerosi telefoni dell’epoca. In alcuni casi il telefono perdeva temporaneamente la connessione alla rete; in altri, le ritrasmissioni del messaggio peggioravano l’effetto.

Quella ricerca riguardava soprattutto i telefoni tradizionali e vulnerabilità diverse. Non è una prova che il problema denunciato nel 2026 sia lo stesso, né che gli smartphone attuali condividano tutti un’identica debolezza. Mostra però un limite ricorrente: ciò che arriva attraverso la rete viene elaborato da componenti software che devono funzionare anche quando l’utente non sta facendo nulla.

Quali smartphone Android sono a rischio e come difendersi?

Per ora manca una verifica indipendente sufficiente a stabilire quanti modelli, versioni di Android, produttori o operatori siano effettivamente coinvolti. Non è possibile affermare che qualunque smartphone Android possa essere bloccato con un singolo SMS, né che il fenomeno sia già sfruttato in attacchi diffusi. Sono aspetti da verificare prima di parlare di allarme generalizzato.

Il comportamento descritto non dipende dall’apertura volontaria di un messaggio, quindi i consigli contro i normali SMS truffa — evitare link sospetti e non fornire codici — non risolvono direttamente questa ipotesi di vulnerabilità. Mantenere Android e gli aggiornamenti del produttore al passo resta una buona pratica generale, ma non c’è conferma che un aggiornamento già disponibile corregga proprio SMS of Death. Anche disattivare componenti di sistema o funzioni di messaggistica senza indicazioni ufficiali potrebbe creare altri problemi.

La guida Google sulle emergenze Android descrive strumenti come Emergency SOS e i servizi di localizzazione d’emergenza. Il loro funzionamento, però, non dimostra che una chiamata possa proseguire se il processo telefonico si interrompe: sono questioni distinte.

Il caso richiede ancora conferme tecniche e una risposta verificabile da parte di Google. 

Se la ricostruzione del ricercatore verrà confermata, un SMS avrà mostrato un paradosso piuttosto concreto: possiamo avere in tasca un computer che riconosce immagini, traduce in tempo reale e risponde alle domande, mentre una funzione elementare come telefonare può dipendere da un messaggio che non abbiamo neppure visto. E la parte più delicata potrebbe non essere l’errore del software, ma la casella in cui qualcuno decide di archiviarlo.