Rimani aggiornato con WebMasterPoint
La Polizia di Matera mette in guardia dagli attacchi zero-click su WhatsApp: ecco come riconoscere i rischi, proteggere account, email e SIM, verificare sessioni sospette e recuperare un profilo compromesso.
La Polizia di Stato di Matera ha segnalato una nuova ondata di compromissioni degli account WhatsApp riconducibili ad attacchi zero-click, con particolare riferimento ai dispositivi Apple che eseguono versioni non aggiornate di iOS o dellapplicazione. In alcuni casi non serve aprire un link, toccare un allegato o comunicare un codice: laccesso pu avvenire mentre il telefono elabora automaticamente un contenuto ricevuto. Dopo la violazione, il profilo pu essere sfruttato per fingersi un familiare o un amico e domandare denaro, facendo leva su unemergenza.
Lavviso, per, non significa che ogni account sia esposto n che una richiesta proveniente da un contatto conosciuto sia per forza fraudolenta. Descrive una modalit tecnica: una vulnerabilit del software viene sfruttata durante lelaborazione di un contenuto, senza che lutente debba compiere un gesto evidente. La protezione passa da aggiornamenti regolari, controlli periodici e verifiche indipendenti prima di qualsiasi pagamento.
Che cosa ha segnalato la Polizia di Matera
La segnalazione della Polizia di Stato di Matera, ripresa tra il 28 e il 31 agosto 2026, riguarda una serie di compromissioni di account WhatsApp attribuite a modalit riconducibili agli attacchi zero-click. Nel mirino risultano soprattutto dispositivi Apple con versioni obsolete di iOS e di WhatsApp. Il dettaglio che distingue questi episodi lassenza, in alcuni casi, di unazione volontaria da parte della vittima.
La frode diventa concreta dopo laccesso al profilo. Chi lo controlla pu contattare familiari, amici o altri utenti fingendosi la persona associata al numero. Il testo punta a creare fretta: racconta un problema improvviso e chiede un bonifico, una ricarica o un diverso trasferimento di denaro.
Le indicazioni ufficiali si possono riassumere in quattro direzioni: verificare lidentit prima di pagare, aggiornare il sistema operativo e lapplicazione, controllare la sezione Dispositivi collegati e rafforzare laccount con la verifica in due passaggi, la protezione del telefono e la limitazione dei download automatici. Se il profilo stato compromesso, bisogna avvisare subito i contatti, recuperarlo attraverso le procedure previste e segnalare laccaduto alla Polizia Postale.
Come funziona un attacco zero-click
Il termine indica un attacco che non richiede un clic o un gesto riconoscibile della vittima. Un aggressore, per esempio, pu inviare unimmagine preparata appositamente. WhatsApp e il sistema operativo ne analizzano in automatico il formato, lanteprima o i metadati per predisporla alla visualizzazione. Se uno di quei componenti contiene una vulnerabilit, la fase di elaborazione pu trasformarsi nel punto dingresso dellattacco, anche quando il destinatario non apre la chat.
La definizione chiarisce il metodo di accesso, non dimostra da sola che un determinato account sia stato violato. Devono esserci una vulnerabilit sfruttabile, un dispositivo esposto e unoperazione condotta dallaggressore. La semplice ricezione di unimmagine non prova quindi uninfezione. Nemmeno un comportamento insolito del telefono consente, da solo, di stabilire con certezza la causa.
Riconoscere attacchi di questo tipo difficile perch non fanno leva sullerrore psicologico dellutente. Il contenuto pu essere processato in background e lasciare pochissimi segnali visibili. In una situazione simile, aggiornare i componenti che ricevono e interpretano messaggi, immagini e file conta pi della sola cautela nellaprire i collegamenti.
Zero-click, phishing e codice rubato
Le tre modalit vengono spesso confuse, ma il meccanismo non lo stesso:
- Zero-click: una vulnerabilit viene sfruttata senza unazione consapevole dellutente, per esempio durante la gestione automatica di un contenuto.
- Phishing: il criminale spinge la vittima a cliccare un link, aprire un file, visitare una pagina contraffatta oppure inserire le proprie credenziali.
- Furto del codice: laggressore convince lutente a comunicare il codice ricevuto via SMS o a trasferire il controllo dellaccount tramite un QR code o una procedura di collegamento.
Nel phishing la vittima viene manipolata; nel furto del codice consegna un elemento di autenticazione; nello zero-click, invece, il difetto tecnico prende il posto del gesto dellutente. Anche le difese cambiano. La prudenza davanti ai messaggi resta utile contro le truffe sociali, ma non pu sostituire le patch quando il problema una falla del software.
Che cosa pu fare un aggressore
La parola compromissione non indica sempre lo stesso grado di accesso. Il rischio dipende dalla tecnica utilizzata e dalla parte dellecosistema che stata colpita.
- Impersonificazione: il profilo pu essere usato per scrivere a familiari, amici, colleghi o gruppi, sfruttando la fiducia legata al numero di telefono.
- Accesso alle conversazioni: una sessione abusiva pu permettere di visualizzare nuovi messaggi o contenuti disponibili sullendpoint compromesso. La portata effettiva dipende dal tipo di intrusione.
- Presenza nei gruppi: laccount pu continuare a ricevere comunicazioni da gruppi e contatti, rendendo pi credibili i messaggi falsi e le richieste di denaro.
- Installazione di spyware: un attacco zero-click sofisticato pu puntare al dispositivo nel suo complesso, non soltanto a WhatsApp, con possibile accesso ai dati e alle funzioni del telefono.
Le campagne di spyware mercenario documentate in passato da aziende tecnologiche e organizzazioni per i diritti umani hanno colpito soprattutto persone esposte, tra cui giornalisti e attivisti. Lavviso relativo a Matera descrive invece soprattutto una conseguenza fraudolenta: lidentit digitale viene usata per contattare conoscenti e ottenere denaro. Non si pu trasformare automaticamente ogni truffa in una prova della presenza di spyware.
Neppure la sezione Dispositivi collegati fornisce sempre una risposta definitiva. molto utile per individuare sessioni associate attraverso il normale abbinamento con browser o computer, ma una compromissione del dispositivo o di una sessione gi autorizzata pu non comparire nello stesso modo. Il controllo va dunque affiancato allosservazione dei messaggi inviati e alle segnalazioni dei contatti.
Versioni vulnerabili e aggiornamenti disponibili
Le comunicazioni della Polizia collocano il rischio nelle versioni non aggiornate di iOS e WhatsApp sui dispositivi Apple. Apple ha pubblicato correzioni di sicurezza per le vulnerabilit indicate nelle fonti e ha raccomandato di installare le versioni pi recenti del sistema, proteggendo anche lApple Account con lautenticazione a due fattori.
Alcune analisi tecniche del 2025 hanno collegato una catena di attacco a CVE-2025-43300, vulnerabilit del framework ImageIO utilizzato da Apple per elaborare le immagini, e a CVE-2025-55177, un difetto di WhatsApp per iOS e macOS legato alla gestione di contenuti e sincronizzazioni. Le fonti tecniche riferiscono che le correzioni sono state distribuite con aggiornamenti successivi, compresi interventi sulla linea iOS 16 e sulle versioni pi recenti.
Questi riferimenti riguardano una catena specifica. Non bastano, quindi, per affermare che ogni campagna segnalata nel 2026 sfrutti gli stessi difetti. La regola pratica pi ampia: WhatsApp va aggiornato dallApp Store e iOS deve essere portato allultima versione compatibile con il dispositivo. Quando un attacco attraversa sia lapp sia il sistema operativo, un solo aggiornamento pu non essere sufficiente.
Le segnalazioni tecniche relative agli iPhone rimasti a versioni precedenti di iOS 16 hanno descritto, in alcuni casi, messaggi inviati ai contatti senza una traccia locale e comportamenti anomali dellapp. Si tratta di osservazioni provenienti dallanalisi di casi, non di un metodo diagnostico ufficiale valido per tutti gli utenti. CERT-AgID, lorganismo nazionale che coordina la risposta agli incidenti informatici nella pubblica amministrazione, e le autorit cyber insistono in generale sullinstallazione tempestiva delle correzioni disponibili.
La checklist per mettere in sicurezza WhatsApp
Un primo controllo si pu fare direttamente dal telefono, senza strumenti specialistici:
- Aggiornare iOS o Android: aprire le impostazioni, raggiungere larea dedicata agli aggiornamenti software e installare le correzioni disponibili.
- Aggiornare WhatsApp: controllare lo store ufficiale e installare lultima versione pubblicata. Vanno evitati i pacchetti provenienti da canali non verificati.
- Controllare le sessioni: aprire WhatsApp, entrare in Dispositivi collegati e confrontare ogni voce con i computer e i browser realmente utilizzati.
- Disconnettere gli estranei: terminare subito le sessioni non riconosciute. Se possono servire come prova, meglio annotare o fotografare prima i dettagli utili.
- Attivare la verifica in due passaggi: impostare il PIN richiesto da WhatsApp e associare, se la funzione lo prevede, un indirizzo email affidabile per il recupero.
- Proteggere il telefono: usare un codice robusto e, sui modelli compatibili, Face ID o Touch ID. Il dispositivo non dovrebbe restare sbloccato e accessibile.
- Limitare i download automatici: ridurre il salvataggio automatico di immagini, video, documenti e altri allegati, cos da diminuire lelaborazione non necessaria dei contenuti.
La verifica in due passaggi non rimpiazza gli aggiornamenti. Difende soprattutto dai tentativi di registrazione o riassociazione che seguono i normali percorsi dellaccount; una vulnerabilit sfruttata direttamente sul dispositivo pu agire a un livello diverso.
Email e SIM sono parte della protezione
WhatsApp non separato dal resto dellidentit digitale. Lindirizzo email associato al recupero pu diventare il punto debole se utilizza una password gi impiegata altrove, non dispone di unautenticazione aggiuntiva o viene consultato da dispositivi non protetti.
La casella email dovrebbe avere una password unica, lautenticazione a due fattori e metodi di recupero aggiornati. La stessa attenzione va riservata allApple Account o allaccount Google collegato al telefono, perch da questi account si possono gestire dispositivi, backup e notifiche di sicurezza.
Anche la SIM richiede un controllo specifico. Un criminale che tenta di trasferire il numero pu intercettare comunicazioni di recupero oppure impedire al proprietario di ricevere chiamate e SMS. Un PIN della SIM e una password robusta per larea del gestore riducono il rischio. Una perdita improvvisa e inspiegata della rete va verificata rapidamente con loperatore. I codici ricevuti sul telefono non devono essere comunicati a presunti addetti allassistenza.
Come riconoscere un account sospetto
Il primo avvertimento pu arrivare dalla rubrica. Un conoscente telefona per chiedere perch gli stato domandato denaro, oppure racconta di aver ricevuto un messaggio mai scritto dal titolare del numero.
Ci sono poi altri segnali da non ignorare:
- messaggi inviati dal numero senza unattivit corrispondente nelle chat;
- richieste di bonifico, ricarica o aiuto economico formulate con un tono insolito e unurgenza artificiale;
- sessioni presenti in Dispositivi collegati che corrispondono a computer o browser sconosciuti;
- disconnessioni ripetute, difficolt di accesso o codici di registrazione mai richiesti;
- comportamenti anomali del telefono, come riavvii, rallentamenti, surriscaldamento o consumo della batteria, da valutare insieme agli altri indizi.
Nessun sintomo isolato dimostra un attacco. Una batteria deteriorata o unapp instabile hanno spiegazioni comuni. Quando per si combinano messaggi inviati autonomamente, richieste riferite dai contatti e accessi non riconosciuti, la risposta deve essere immediata.
Se compare una sessione sconosciuta
Una sessione non riconosciuta va disconnessa dalle impostazioni di WhatsApp. Prima di rimuoverla, pu essere utile fotografare o annotare il nome del dispositivo, il tipo di browser e lorario mostrato dallapplicazione. Sono dettagli che possono aiutare a ricostruire la sequenza, soprattutto se nello stesso periodo compaiono messaggi anomali.
Dopo la disconnessione bisogna cambiare il PIN della verifica in due passaggi, controllare lemail associata, aggiornare lapplicazione e il sistema operativo, quindi verificare lApple Account o laccount Google. Se il telefono continua a comportarsi in modo insolito, reinstallare soltanto WhatsApp non dimostra che il dispositivo sia pulito. Nei casi pi seri conviene rivolgersi a un tecnico qualificato o a un servizio di analisi forense.
Una richiesta di denaro non va verificata nella stessa chat. Il contatto deve essere raggiunto per telefono, di persona o tramite un altro canale gi conosciuto, senza utilizzare il numero appena indicato nel messaggio. Un testo proveniente dal profilo abituale non certifica che a scrivere sia il proprietario.
Se partono messaggi senza autorizzazione
Quando i contatti riferiscono di aver ricevuto richieste dal proprio numero, la priorit fermare la frode. Un avviso inviato via SMS, telefonata, email o altro social deve chiarire che il profilo sospetto e che non va eseguito alcun pagamento prima di aver verificato lidentit.
Conviene conservare le schermate delle conversazioni ricevute dai contatti, i numeri di telefono, gli orari, le ricevute di eventuali trasferimenti, le email e le notifiche. Cancellare subito le chat o ripristinare il telefono pu eliminare informazioni utili. Prima bisogna raccogliere ci che potrebbe servire per una denuncia o per unanalisi tecnica.
Se il denaro gi stato trasferito, la banca o il servizio di pagamento va contattato senza ritardi, tentando il blocco o il richiamo delloperazione. Laccaduto pu essere comunicato alla Polizia Postale attraverso il Commissariato di Pubblica Sicurezza online. In presenza di minacce immediate, furto didentit o danni rilevanti, occorre rivolgersi agli uffici di polizia.
Come recuperare un account perso
La perdita dellaccesso richiede lutilizzo delle procedure ufficiali di WhatsApp. Di norma il recupero passa dalla nuova registrazione del numero sul dispositivo controllato dal proprietario e dallinserimento del codice ricevuto tramite il canale previsto. Quel codice non deve essere condiviso con nessuno, nemmeno con chi sostiene di lavorare per lassistenza.
Se laggressore ha attivato un PIN di verifica in due passaggi, possono servire passaggi aggiuntivi e devono essere rispettati i tempi previsti dal servizio. Nel frattempo, i contatti vanno avvisati attraverso canali esterni. La procedura dovrebbe essere eseguita su un telefono aggiornato e protetto, dopo aver verificato email, SIM e account principale.
La reinstallazione pu interrompere sessioni attive, ma non risolve una falla del sistema operativo. Se si sospetta una compromissione del dispositivo, laggiornamento viene prima della reinstallazione. Per i profili ad alto rischio Apple offre la Modalit Lockdown, pensata per ridurre la superficie dattacco contro minacce sofisticate. Non necessaria per ogni utente e non sostituisce una valutazione tecnica.
Prove, segnalazioni e assistenza
La raccolta delle prove segue un ordine pratico:
- salvare schermate di richieste, sessioni, notifiche e messaggi di errore;
- annotare data e ora degli eventi, dispositivi utilizzati e operazioni eseguite;
- chiedere ai destinatari di conservare i messaggi ricevuti e le eventuali coordinate di pagamento;
- conservare ricevute bancarie, numeri di telefono, email e file originali senza modificarli;
- evitare applicazioni di pulizia o interventi distruttivi prima di un eventuale esame tecnico.
Per denunce, segnalazioni e supporto istituzionale nei casi di frode o account compromesso, il riferimento la Polizia Postale. Il Commissariato di Pubblica Sicurezza online raccoglie le comunicazioni attraverso il proprio servizio digitale. Se il dispositivo mostra indizi di spyware o una compromissione che non si spiega con il normale furto del profilo, pu essere necessario lintervento di un professionista di sicurezza informatica o di informatica forense.
Il punto da ricordare
Un attacco zero-click elimina il gesto che spesso permette di riconoscere una truffa, ma non rende inutile la prevenzione. Lavviso della Polizia di Stato di Matera riguarda versioni non aggiornate e una modalit tecnica precisa. Non autorizza a concludere che ogni account WhatsApp sia violabile o che ogni messaggio ricevuto contenga malware.
La difesa pi efficace unisce aggiornamenti regolari, controllo delle sessioni e autenticazione aggiuntiva. Una richiesta di denaro va verificata fuori da WhatsApp, anche quando arriva dal numero di un parente. Sessioni sconosciute, messaggi inviati senza autorizzazione o perdita del profilo richiedono disconnessione, avvisi ai contatti, recupero attraverso i canali ufficiali, conservazione delle prove e segnalazione alla Polizia Postale.