Rimani aggiornato con WebMasterPoint
WhatsApp e iPhone sono sempre più nel mirino di attacchi zero-click: una minaccia silenziosa che sfrutta vulnerabilità per accedere ai dati, rubare identità o compiere truffe, aggirando le tradizionali misure di sicurezza.
Negli ultimi tempi sono aumentati gli attacchi informatici rivolti ai dispositivi Apple attraverso meccanismi sofisticati chiamati zero-click. Il nome descrive bene la loro caratteristica principale: per compromettere il dispositivo non serve alcuna azione da parte della vittima. Nessun clic, nessun allegato da aprire, nessuna password da inserire.
Lallerta diffusa dalle autorit italiane riguarda soprattutto la combinazione tra iPhone con una versione non aggiornata di iOS e WhatsApp, diventato di recente un obiettivo privilegiato per intrusioni silenziose e potenzialmente molto dannose.
Qui non si parla di una semplice truffa basata sullinganno dellutente. Un attacco di questo tipo pu portare allaccesso a dati personali, conversazioni e identit digitale, coinvolgendo anche le persone presenti nella rubrica del profilo violato. Le tecniche di ingegneria sociale, utilizzate dopo la compromissione, rendono il problema ancora pi serio: per questo servono attenzione, aggiornamenti regolari e procedure chiare da seguire se laccount non pi sotto il controllo del proprietario.
Le analisi della Polizia Postale e degli esperti di cybersicurezza hanno permesso di ricostruire il funzionamento di questi attacchi e i rischi collegati. Dalle indicazioni disponibili emergono anche alcune misure preventive, oltre ai passaggi da compiere per tentare di recuperare un profilo compromesso.
Attacchi zero-click: come funzionano
Con zero-click si indica una categoria di attacchi che non richiede alcuna interazione della vittima. Il dispositivo pu essere infettato senza aprire un collegamento, scaricare un file o comunicare credenziali sensibili. una dinamica diversa da quella dei tentativi di phishing e delle forme pi comuni di malware, che fanno affidamento su un comportamento dellutente.
In questo caso, lattacco sfrutta una vulnerabilit presente nel software del sistema o nelle applicazioni di messaggistica, tra cui WhatsApp. Il punto critico il modo in cui il programma tratta i dati ricevuti dallesterno. Un file multimediale alterato, un pacchetto di dati costruito appositamente o una sequenza di codice possono essere inviati a distanza al dispositivo preso di mira.
WhatsApp, come altre applicazioni, elabora automaticamente una parte dei contenuti ricevuti. Lo fa, per esempio, per mostrare unanteprima o generare una notifica. Se quel contenuto stato preparato per sfruttare una falla, lelaborazione automatica pu attivare il codice dannoso in background. Lutente non deve fare nulla e, in molti casi, non vede alcun segnale evidente.
Quando il codice malevolo stato eseguito, chi ha organizzato lintrusione pu:
- entrare nellaccount WhatsApp;
- cambiare le impostazioni di sicurezza;
- raccogliere dati personali e contatti;
- assumere il controllo della messaggistica.
La pericolosit dipende proprio da questa combinazione: lattacco difficile da prevenire con una reazione immediata e pu essere portato a termine rapidamente, prima che la vittima si accorga di qualcosa. Non arrivano richieste sospette da valutare. La compromissione procede in silenzio, sfruttando una falla del programma o del sistema operativo.
Perch i dispositivi Apple sono esposti
Gli iPhone sono tra i dispositivi osservati con maggiore attenzione dagli autori degli attacchi zero-click.
Le indagini hanno segnalato unesposizione particolare per gli iPhone che utilizzano versioni non aggiornate di iOS e di WhatsApp. In presenza di falle ancora aperte, un aggressore pu tentare di iniettare codice dannoso nel dispositivo. Le cause indicate comprendono:
- vulnerabilit del sistema operativo non ancora risolte con un aggiornamento;
- bug dellapplicazione di messaggistica, che lutente pu non conoscere;
- funzioni automatiche legate alla gestione delle notifiche e delle anteprime, sfruttabili per avviare linfezione.
Un problema concreto rappresentato dagli aggiornamenti rinviati. Molti utenti rimandano linstallazione delle nuove versioni delle applicazioni o del sistema operativo, lasciando cos attive vulnerabilit gi individuate. Gli aggressori cercano proprio dispositivi che presentano ancora queste condizioni.
Per anni lecosistema chiuso di iOS stato associato a un livello di sicurezza pi alto. Questo non significa che un iPhone sia immune. I dati conservati su questi dispositivi hanno un valore elevato: rubriche, messaggi, informazioni finanziarie e altri elementi utili per truffe o furti didentit. La convinzione che la protezione sia garantita automaticamente pu portare a trascurare gli aggiornamenti e a ignorare i primi segnali di una possibile compromissione.
Lintrusione attraverso WhatsApp
Lattacco pu iniziare da uno scambio di dati che, in apparenza, non presenta nulla di anomalo. Gli autori inviano attraverso linfrastruttura di WhatsApp pacchetti costruiti per sfruttare una debolezza dellapplicazione o di iOS. Tra i contenuti utilizzabili rientrano messaggi multimediali manipolati.
WhatsApp li elabora in automatico per preparare unanteprima o una notifica. In quel momento, se il contenuto attiva la vulnerabilit, il codice dannoso viene eseguito in background. Non compare necessariamente un avviso e la vittima non deve cliccare su un collegamento, n scaricare manualmente il file. questa assenza di segnali a rendere lattacco difficile da individuare anche per chi presta attenzione alle truffe online.
Una volta ottenuto laccesso, il criminale pu sostituirsi al titolare dellaccount WhatsApp. Tra le azioni possibili rientrano:
- collegare il profilo a un altro dispositivo;
- modificare le impostazioni di sicurezza, compresi il numero di recupero o il PIN;
- impedire al proprietario del numero di telefono di entrare nuovamente nellaccount.
Il risultato pu essere un controllo esteso su chat, contatti e funzioni dellapp. Le conseguenze riguardano la privacy, naturalmente, ma anche la sfera economica e i rapporti con amici, familiari e colleghi. Un account violato diventa infatti uno strumento per raggiungere altre persone.
Furto didentit e conseguenze economiche
Quando la compromissione riesce, il danno non resta necessariamente confinato al proprietario del profilo. Chi controlla laccount pu contattare le persone presenti nella rubrica e simulare unemergenza, facendo leva sulla fiducia che normalmente esiste tra interlocutori che si conoscono.
- Pu chiedere denaro attraverso un bonifico bancario, una ricarica telefonica o un servizio di pagamento rapido.
- Pu inviare richieste che sembrano autentiche proprio perch arrivano dal profilo abituale del contatto.
- Pu inoltrare collegamenti o allegati fraudolenti per tentare di compromettere altri dispositivi.
Tra gli effetti pi diretti ci sono:
- il furto dellidentit digitale, che pu essere usata per nuove truffe e danneggiare la reputazione della vittima;
- le perdite economiche subite dal titolare dellaccount o da amici e familiari che hanno creduto alla richiesta;
- leventuale accesso a informazioni sensibili, come documenti, note private e dati bancari.
La messaggistica privata gode di una fiducia che spesso manca nelle comunicazioni provenienti da numeri sconosciuti. un vantaggio per chi organizza la truffa: una richiesta arrivata da un familiare o da un amico viene presa sul serio, soprattutto quando contiene un riferimento personale o viene accompagnata dalla pressione di unurgenza.
Per questo un account sottratto al legittimo proprietario pu diventare linizio di una catena di raggiri. La perdita del profilo soltanto il primo problema; a essere esposta lintera rete di contatti, con possibili ripercussioni sulla privacy e sulle finanze anche nel medio e lungo periodo.
Cosa fanno i criminali dopo aver preso il controllo
Dopo la violazione, i malintenzionati cercano di sfruttare il profilo il pi rapidamente possibile. Lobiettivo ottenere un guadagno, rendere pi difficile il recupero e usare laccount come punto di partenza per colpire altri utenti.
- Inviano messaggi a tutta o a gran parte della rubrica, fingendo un problema personale o una situazione urgente.
- Chiedono un pagamento immediato, facendo pressione e inserendo dettagli che rendono la storia plausibile.
- Propongono collegamenti dannosi oppure domandano PIN e codici di verifica, presentando la richiesta come un controllo di sicurezza.
In molti casi laccount viene trasferito su un dispositivo controllato dallaggressore. Le impostazioni per il recupero dellidentit possono essere modificate e il titolare legittimo si ritrova senza accesso. In altri casi, il profilo non viene usato soltanto per chiedere denaro: serve a inviare contenuti o istruzioni capaci di infettare ulteriori dispositivi.
Il successo della frode dipende spesso da due elementi molto semplici: la richiesta arriva da un contatto conosciuto e sembra richiedere una risposta immediata. Sotto pressione, amici e parenti possono accettare senza verificare attraverso un altro canale. La fiducia resta quindi uno dei principali punti deboli da sfruttare dopo lintrusione iniziale.
Le indicazioni di Polizia Postale e Apple
La Polizia Postale e Apple raccomandano una serie di misure per ridurre lesposizione a questo tipo di vulnerabilit. Le indicazioni riguardano gli aggiornamenti, le impostazioni di accesso e il controllo delle attivit anomale del profilo.
Aggiornare iOS e WhatsApp
Installare gli aggiornamenti con regolarit tra le prime misure suggerite dalle autorit e dallazienda. Su iPhone, per verificare la disponibilit di una nuova versione di iOS, occorre aprire Impostazioni > Generali > Aggiornamento software. Per WhatsApp bisogna entrare nellApp Store e controllare se disponibile un aggiornamento dellapplicazione.
Le patch di sicurezza correggono le vulnerabilit che possono essere utilizzate dagli attacchi zero-click e contribuiscono alla stabilit del dispositivo. Rinviare un update significa lasciare aperto un problema gi conosciuto. Dopo la pubblicazione di una correzione, i dispositivi che non lhanno ancora installata possono diventare obiettivi pi interessanti per chi cerca sistemi vulnerabili.
Laggiornamento non elimina ogni possibile rischio, ma rappresenta il primo intervento concreto per ridurre le possibilit di accesso non autorizzato.
Proteggere laccount con la verifica in due passaggi
La verifica in due passaggi aggiunge un PIN personale allaccount WhatsApp. La funzione si trova in Impostazioni > Account > Verifica in due passaggi e viene richiesta quando si tenta di registrare nuovamente laccount su un dispositivo.
Apple raccomanda di attivare la verifica a due fattori anche per lApple ID. In questo modo, il semplice possesso di una password sottratta non sufficiente per completare laccesso. La seconda verifica costituisce una barriera ulteriore e pu rendere pi difficile trasferire laccount WhatsApp su un altro dispositivo anche se il telefono stato compromesso.
Controllare i dispositivi collegati
Nel menu di WhatsApp disponibile la sezione Dispositivi collegati, dalla quale possibile controllare le sessioni attive e scollegare quelle non riconosciute. Conviene esaminarla periodicamente, senza aspettare che compaia un problema evidente.
Un dispositivo sconosciuto associato al profilo un segnale da verificare subito. Se non si riconosce una sessione, opportuno disconnetterla, cambiare le credenziali e controllare nuovamente la verifica in due passaggi. Il controllo delle sessioni permette di accorgersi prima di eventuali accessi estranei e di intervenire quando il danno pu essere ancora contenuto.
Limitare i download automatici e rafforzare laccesso
Gli esperti suggeriscono anche di limitare o disattivare il download automatico di file e contenuti multimediali nelle chat. Lopzione si gestisce dalle impostazioni dellapp. In questo modo si riduce la ricezione e lelaborazione automatica di file che potrebbero essere stati manipolati per sfruttare una vulnerabilit.
utile proteggere laccesso al dispositivo con sistemi robusti, come Touch ID, Face ID o un codice numerico complesso. Quando la funzione supportata, la stessa protezione pu essere applicata allapertura di WhatsApp. Linsieme di queste impostazioni rende meno probabile una compromissione, anche nel caso in cui vengano scoperti nuovi metodi di attacco.
Account compromesso: cosa fare subito
Se si sospetta unintrusione, la rapidit della risposta pu limitare i danni. Occorre agire sul profilo, ma anche avvertire le persone che potrebbero ricevere messaggi falsi dal proprio numero.
- Avvisa immediatamente i contatti usando un SMS o un altro canale. Spiega che il profilo potrebbe essere stato violato e chiedi di ignorare qualsiasi richiesta proveniente dal tuo numero.
- Prova a recuperare laccount dallapp WhatsApp. Seleziona Hai problemi ad accedere?, segui i passaggi indicati e, quando serve, configura di nuovo la verifica in due passaggi.
- Esamina i dispositivi collegati e disconnetti senza indugio quelli che non riconosci.
- Modifica le password associate agli altri servizi e alle applicazioni collegate allaccount.
- Segnala la compromissione alle autorit attraverso i canali ufficiali, fornendo i dettagli disponibili e allegando le eventuali prove.
Questi passaggi servono a interrompere la catena di messaggi e raggiri. Avvertire i contatti, in particolare, pu impedire che la stessa frode raggiunga altre persone prima che il profilo venga recuperato.
Come chiedere aiuto alla Polizia Postale
Chi ritiene di essere stato coinvolto in una compromissione pu rivolgersi alla Polizia Postale italiana. Il riferimento principale il sito del Commissariato di PS Online, allindirizzo www.commissariatodips.it.
Attraverso il portale possibile:
- inviare una segnalazione relativa a una truffa informatica;
- chiedere chiarimenti o consulenza su situazioni sospette;
- avviare online la denuncia formale della violazione.
Gli operatori ricevono aggiornamenti sulle minacce pi recenti e possono indicare come comportarsi sia prima sia dopo un incidente. In una situazione di emergenza, fornire informazioni precise e conservare eventuali prove aiuta a descrivere laccaduto e a seguire la procedura corretta.
Proteggere WhatsApp e i dispositivi Apple
Per ridurre il rischio di compromissione, mantieni attive queste misure:
- installa appena disponibili gli aggiornamenti di iOS e WhatsApp;
- attiva la verifica in due passaggi su WhatsApp e lautenticazione a due fattori per lApple ID;
- controlla periodicamente la sezione Dispositivi collegati e rimuovi le sessioni sconosciute;
- limita il download automatico dei contenuti multimediali;
- proteggi iPhone e WhatsApp con Face ID, Touch ID o un codice robusto.
Se compaiono sessioni non riconosciute, messaggi inviati senza il tuo consenso o richieste anomale ai contatti, intervieni subito: disconnetti i dispositivi sospetti, recupera laccount, avvisa le persone coinvolte e conserva le prove dellaccaduto.