Nuova vulnerabilità WhatsApp zero-click su dispositivi Apple non aggiornati

Scoperta una vulnerabilità zero-click su WhatsApp mette a rischio i dispositivi Apple non aggiornati. Dall’analisi tecnica alle strategie di difesa, l’articolo esamina rischi, conseguenze e raccomandazioni per tutelare dati e privacy.

Negli ultimi mesi diversi utenti Apple sono stati coinvolti in una nuova forma di attacco informatico. Gli esperti la definiscono zero-click, perch la compromissione pu avvenire senza che la vittima faccia clic, scarichi file o comunichi codici. un passaggio rispetto ai tentativi pi comuni di sottrarre account online, basati su un errore o su unazione dellutente.

Lallerta arrivata dalla Polizia Postale, da team specializzati in digital forensics e dal Security Lab di Amnesty International. Le segnalazioni riguardano soprattutto WhatsApp utilizzato su dispositivi iOS privi degli aggiornamenti pi recenti. Sotto osservazione sono quindi le versioni precedenti alle patch di sicurezza distribuite per il sistema operativo e per lapp.

Il meccanismo semplice da descrivere e difficile da riconoscere: pu bastare la ricezione di un messaggio manipolato. Una volta entrati nellaccount, gli aggressori sfruttano la rubrica per contattare amici, parenti o colleghi e chiedere denaro fingendosi il titolare del numero. Le recenti segnalazioni tecnico-forensi impongono di rivedere alcune abitudini di sicurezza, anche quando lutente non apre link e non risponde a messaggi sospetti.

Zero-click su iOS e WhatsApp: il significato e i rischi

Con zero-click si indica una categoria di attacchi che non richiede interazione. Nessun clic su un collegamento. Nessun download. Nessun codice da condividere. proprio questo il punto: le precauzioni che di solito consentono di evitare una truffa possono non bastare, perch linfezione si avvia prima che la persona abbia modo di intervenire.

Dal punto di vista tecnico, laggressore invia un contenuto costruito appositamente, per esempio unimmagine o un messaggio. iOS o WhatsApp lo elaborano automaticamente, anche in background, e la vulnerabilit pu permettere lesecuzione della sequenza malevola. In questo modo lattaccante tenta di accedere ai dati del dispositivo e alle sessioni gi attive.

Su prodotti Apple il problema accentuato dallintegrazione tra hardware, sistema operativo e applicazioni. Quando queste componenti non sono aggiornate, la superficie esposta pu diventare pi ampia. Le tecniche zero-click sono note anche nellambito degli spyware di stato; londata descritta nelle segnalazioni, per, ha raggiunto una platea molto pi ampia di utenti comuni. Lobiettivo, in questi casi, sottrarre laccount WhatsApp e usarne lidentit per avviare richieste di denaro fraudolente.

Gli esperti hanno rilevato che, davanti ad attacchi cos sofisticati, anche la verifica in due passaggi e il controllo dei dispositivi collegati possono offrire una protezione meno efficace del previsto. Restano misure utili, ma non sostituiscono gli aggiornamenti richiesti dalla catena di vulnerabilit.

Le due falle coinvolte: CVE-2025-43300 e CVE-2025-55177

La compromissione descritta si basa sulla combinazione di due vulnerabilit registrate ufficialmente con i codici CVE-2025-43300 e CVE-2025-55177. Ognuna interviene su un componente diverso.

• CVE-2025-43300 interessa ImageIO, il framework Apple che gestisce le immagini su iOS. Unimmagine malformata pu corrompere la memoria del dispositivo e avviare lesecuzione malevola senza alcuna azione da parte dellutente.
• CVE-2025-55177 riguarda WhatsApp su iOS e macOS. La falla consiste in unautorizzazione incompleta dei messaggi utilizzati per la sincronizzazione tra dispositivi collegati. Un aggressore pu quindi tentare di sincronizzare contenuti provenienti da indirizzi non autorizzati e ottenere accesso allaccount.

Il successo dellattacco dipende dalla concatenazione delle due falle. Fino ad agosto 2025, i dispositivi interessati avevano bisogno sia dellaggiornamento di iOS sia di quello di WhatsApp per chiudere lintera sequenza. Le correzioni sono disponibili, ma un dispositivo che rimane indietro continua a essere esposto, come indicato dalla documentazione tecnica e dalle comunicazioni di Meta e Apple.

Dispositivi Apple e versioni di iOS interessate

Non tutti gli iPhone sono coinvolti. Il gruppo indicato comprende gli iPhone dall8 al 14, insieme ai modelli X, XR, XS, 11, SE, 12 e 13, quando utilizzano versioni di iOS precedenti alla 18.6.2. Sono coinvolte anche alcune versioni di iPadOS anteriori alla 17.7.10.

Il quadro sintetico il seguente:

La situazione pi delicata per i dispositivi che non possono passare alle versioni pi recenti o sui quali le patch pubblicate nellagosto 2025 non sono ancora state installate. Sono considerati esclusi dallattacco i dispositivi con iOS 18.6.2 o superiore e con una versione aggiornata di WhatsApp.

Una sola correzione non basta. Per interrompere la catena servono entrambe: laggiornamento del sistema Apple e quello dellapplicazione.

Come procede lattacco e come viene usato laccount

Il primo passaggio la ricezione di un contenuto alterato attraverso WhatsApp, in genere unimmagine. Da quel momento la sequenza pu svilupparsi senza segnali evidenti:

• il dispositivo elabora automaticamente il file ricevuto e sfrutta la falla presente in ImageIO;
• laggressore ottiene laccesso alle chiavi della sessione WhatsApp senza che il proprietario se ne accorga;
• la seconda vulnerabilit viene utilizzata per sincronizzare il dispositivo dellattaccante con laccount della vittima, anche aggirando la verifica in due passaggi.

Nella grande maggioranza dei casi, indicata nel testo tecnico come 99%, la compromissione non lascia tracce visibili. La sezione dispositivi collegati pu non mostrare sessioni anomale e lutente pu non ricevere avvisi relativi a un accesso sospetto. Nel frattempo gli aggressori iniziano a scrivere ai contatti recenti, spesso con richieste di denaro motivate da presunte emergenze.

Le indagini tecniche indicano che lattaccante accede soltanto a una parte delle chat, soprattutto alle conversazioni recenti. Il limite non elimina il pericolo. Una richiesta inviata rapidamente a persone che conoscono e si fidano del titolare dellaccount pu essere sufficiente a provocare un danno economico.

Account compromesso: segnali da non ignorare

Riconoscere presto lintrusione pu ridurre le conseguenze. Nessun singolo indizio dimostra da solo che laccount sia stato violato, ma alcuni segnali meritano una verifica:

• un contatto comunica di aver ricevuto dal proprio numero una richiesta di denaro mai inviata;
• compaiono messaggi segnati come letti o conversazioni aperte che lutente non ha consultato;
• WhatsApp resta attivo in background anche quando non viene utilizzato;
• il dispositivo diventa instabile, si surriscalda senza una causa evidente oppure consuma la batteria pi rapidamente del solito;
• la lista dei dispositivi collegati appare normale o non contiene elementi, senza mostrare accessi sconosciuti;
• in casi rari, Meta invia una notifica diretta che segnala un possibile rischio per laccount.

La combinazione di pi anomalie richiede attenzione immediata. Anche in quel caso occorre evitare conclusioni affrettate: i sintomi descritti possono avere anche altre cause.

Le indicazioni di Apple, Meta e Polizia Postale

Le fonti ufficiali citate convergono su alcune misure pratiche. La prima riguarda gli aggiornamenti: sistema operativo e WhatsApp devono essere portati alle versioni pi recenti disponibili, seguendo le comunicazioni di Apple e Meta relative alle CVE indicate.

• Controllare con regolarit la voce dispositivi collegati e chiudere le sessioni che non si riconoscono.
• Attivare la verifica in due passaggi su WhatsApp, cos da aggiungere un ulteriore livello di protezione.
• Disabilitare il download automatico di contenuti e allegati non richiesti.
• Quando arriva una richiesta di denaro, chiamare direttamente il mittente e verificarne lidentit attraverso un canale diverso da WhatsApp.

Queste raccomandazioni sono state diffuse attraverso comunicati della Polizia Postale italiana, di Apple e di Meta, oltre che nei principali security advisory internazionali. Non eliminano ogni rischio, ma riducono la possibilit di compromissione e limitano limpatto di molte truffe collegate.

Gli aggiornamenti da installare su sistema e applicazione

Laggiornamento tempestivo resta la misura pi efficace contro questa catena di vulnerabilit. Su iPhone e iPad la verifica si esegue aprendo Impostazioni, poi Generali e infine Aggiornamento Software.

• Portare iOS o iPadOS allultima versione disponibile, installando almeno iOS 18.6.2 o iPadOS 17.7.10, secondo il dispositivo utilizzato.
• Aggiornare WhatsApp attraverso lo store ufficiale.
• Non fermarsi a una sola delle due operazioni: le versioni aggiornate di sistema e app devono essere presenti insieme.

Per le persone considerate ad alto rischio, tra cui imprenditori, giornalisti e amministratori pubblici, le fonti ufficiali suggeriscono anche di valutare la Lockdown Mode, cio la modalit di isolamento. Chat e informazioni particolarmente riservate possono essere protette con un codice o con Face ID.

Verifica in due passaggi e dispositivi collegati

La verifica in due passaggi, o 2FA, blocca molti tentativi di accesso non autorizzato. Non per una barriera assoluta: nella configurazione pi sofisticata dellattacco zero-click pu essere aggirata. Per questo va affiancata allaggiornamento e al controllo delle sessioni.

• Aprire WhatsApp e seguire il percorso Impostazioni > Account > Verifica in due passaggi.
• Impostare un indirizzo email sicuro per recuperare il PIN.
• Esaminare con frequenza lelenco dei dispositivi collegati.
• Eliminare ogni sessione inattesa o non riconosciuta.

2FA e monitoraggio delle sessioni lavorano su fronti diversi. Insieme riducono lesposizione alle truffe tradizionali e aumentano la protezione nel caso emergano vulnerabilit nuove, non ancora note.

Cosa fare quando laccount gi stato violato

Di fronte a segnali concreti, il tempo conta. La prima necessit impedire che altri contatti si fidino dei messaggi inviati dallaccount compromesso.

• Avvisare subito tutti i contatti usando SMS, telefonate o email, chiedendo di ignorare le richieste sospette.
• Avviare il recupero dellaccount da WhatsApp attraverso la verifica del numero.
• Una volta ripreso il controllo, aggiornare il sistema operativo e lapplicazione.
• Ricorrere al ripristino completo del dispositivo, il reset factory, soltanto quando necessario, per eliminare eventuali componenti software persistenti.

Apple e Meta indicano che la reinstallazione di WhatsApp interrompe la sessione clonata. Da sola, per, non risolve la vulnerabilit del sistema operativo: laggiornamento resta indispensabile. Nei casi pi seri opportuno rivolgersi a un tecnico per una verifica forense del dispositivo.

Conseguenze per privati, professionisti e aziende

La sottrazione dellaccount non produce soltanto messaggi fraudolenti. Per un utente privato pu significare perdere il controllo di dati personali, conversazioni e rapporti di fiducia. La rubrica diventa uno strumento per raggiungere amici e parenti; le chat recenti possono fornire dettagli utili a rendere credibile una richiesta di denaro.

In ambito professionale il danno pu essere pi ampio. Un account compromesso pu esporre conversazioni con clienti, informazioni su progetti, accordi e transazioni finanziarie. Le segnalazioni hanno riguardato anche giornalisti, consulenti e operatori del settore pubblico, con conseguenze sulla gestione dei dati e della riservatezza.

Il problema non si esaurisce nelleventuale truffa immediata. I dati sottratti possono essere riutilizzati in altre campagne malevole, con ricadute legali e reputazionali per le persone coinvolte e per le imprese.

Segnalazioni e assistenza dopo un incidente

Chi sospetta un attacco pu utilizzare i canali indicati dalle fonti ufficiali:

• Polizia Postale: il sito del Commissariato di PS Online mette a disposizione il canale ufficiale per segnalazioni e richieste di assistenza, senza che siano indicati nel testo specifici URL;
• Assistenza Apple: i canali di supporto dellazienda possono fornire indicazioni su sicurezza e aggiornamenti;
• Supporto Meta per WhatsApp: si trova nelle impostazioni dellapp, alla voce Aiuto.

Per una valutazione pi tecnica o per una perizia forense ci si pu rivolgere a operatori indipendenti di digital forensics, specializzati nellanalisi dei dispositivi e nella verifica di compromissioni avanzate.

Domande frequenti sugli attacchi zero-click a WhatsApp

• WhatsApp pu essere compromesso senza unazione dellutente?
  S. In un attacco zero-click la semplice ricezione di un contenuto manipolato pu attivare la vulnerabilit.
• Quali versioni di iOS sono esposte?
  Quelle precedenti a iOS 18.6.2, insieme alle corrispondenti versioni di iPadOS, in particolare sui modelli compresi tra iPhone 8 e iPhone 14.
• sufficiente aggiornare WhatsApp?
  No. Devono essere aggiornati sia iOS o iPadOS sia WhatsApp, perch la catena coinvolge entrambi i livelli.
• Come si capisce se laccount stato clonato?
  Il segnale pi diretto che i contatti ricevano messaggi o domande di denaro mai inviati dal titolare. Possono comparire anche attivit anomala in background e irregolarit nellelenco delle sessioni collegate.
• La verifica in due passaggi protegge completamente?
  No. efficace contro molti tentativi, ma la vulnerabilit descritta pu consentirne il superamento in circostanze specifiche.
• Disinstallare e reinstallare WhatsApp risolve?
  La procedura interrompe la sessione clonata se viene accompagnata dallaggiornamento del sistema operativo. Senza la patch di iOS o iPadOS, la vulnerabilit resta presente e lattacco pu ripetersi.

Proteggere i dispositivi Apple richiede interventi coordinati

Per ridurre il rischio di compromissione, aggiorna contemporaneamente iOS o iPadOS e WhatsApp: una sola patch non interrompe lintera catena di vulnerabilit.

• Controlla regolarmente i dispositivi collegati e disconnetti le sessioni che non riconosci.
• Mantieni attiva la verifica in due passaggi, pur considerandola una protezione aggiuntiva e non sostitutiva degli aggiornamenti.
• Verifica tramite telefonata o un altro canale ogni richiesta urgente di denaro ricevuta dai contatti.
• Se sospetti una compromissione, avvisa subito le persone interessate, recupera laccount e chiedi assistenza qualificata nei casi pi complessi.