La Polizia di Stato ha lanciato un allarme per una nuova ondata di attacchi informatici che prendono di mira gli account di WhatsApp sfruttando la tecnica definita "zero-click". Diversamente dal phishing classico, qui l'intrusione può avvenire senza alcuna azione visibile da parte dell'utente: non c'è bisogno di aprire link o inserire codici.
Secondo la segnalazione pubblicata sul portale del Commissariato di Ps online, i malintenzionati sfruttano vulnerabilità presenti in versioni non aggiornate di iOS e dell'applicazione WhatsApp per ottenere l'accesso ai profili. Una volta compromesso l'account, l'attaccante invia messaggi ai contatti della vittima per simulare emergenze e richiedere denaro, con tecniche di social engineering che aumentano la probabilità di ottenere bonifici o pagamenti elettronici.
Risposta immediata di Apple e consigli pratici
Apple ha già distribuito aggiornamenti di sicurezza mirati a correggere le falle sfruttate dai criminali. L'azienda ha inoltre raccomandato l'installazione delle versioni più recenti del software e l'attivazione dell'autenticazione a due fattori sull'Apple ID per ridurre la probabilità di accessi non autorizzati.
La Polizia postale accompagna l'allerta con un vademecum operativo per gli utenti. Tra le indicazioni più importanti riportate ci sono:
- Verificare l'identità del richiedente prima di effettuare pagamenti: contattare la persona con un canale alternativo (telefonata tradizionale o incontro di persona).
- Aggiornare costantemente sia il sistema operativo dello smartphone sia l'app di WhatsApp all'ultima versione disponibile.
- Monitorare i dispositivi collegati: controllare con regolarità la sezione dedicata ai dispositivi connessi all'account WhatsApp per individuare sessioni sospette.
Queste misure non azzerano il rischio, ma lo riducono sensibilmente: la combinazione di patch tempestive e buone pratiche sociali rappresenta la prima linea di difesa.
Perché gli attacchi zero-click sono particolarmente insidiosi
Un attacco zero-click non richiede interazione dell'utente: sfrutta falle nel software che consentono l'esecuzione di azioni a distanza. Questo rende la minaccia difficile da rilevare — l'utente può non accorgersi della compromissione fino a quando amici o familiari non segnalano messaggi sospetti ricevuti a loro nome.
Le conseguenze sono pratiche e immediate: oltre alla perdita del controllo del profilo, cresce il rischio di truffe finanziarie a catena e di danni reputazionali. Per aziende e professionisti, il furto di account può significare anche esposizione di contatti sensibili e interruzione delle comunicazioni.
Brevi indicazioni operative
| Azioni consigliate | Perché farle |
|---|---|
| Aggiornare iOS e WhatsApp | Chiudere le vulnerabilità note sfruttate dagli attacchi |
| Attivare l'autenticazione a due fattori | Aggiungere un ulteriore livello di protezione all'account |
| Verificare sempre richieste di denaro | Evita truffe basate sull'usurpazione d'identità |
| Controllare dispositivi collegati | Individuare accessi non autorizzati |
In assenza di segnalazioni dirette da Apple o da WhatsApp, l'utente medio dovrebbe comunque prendere l'abitudine di verificare aggiornamenti e impostazioni di sicurezza con regolarità. Se si sospetta una compromissione, è consigliabile rivolgersi tempestivamente alle forze dell'ordine e, se necessario, al supporto tecnico ufficiale dell'app.
La combinazione tra interventi tecnici (patch e 2FA) e comportamenti prudenti (verifiche telefoniche, attenzione ai dispositivi connessi) resta la strategia più efficace per limitare l'impatto di questa ondata di attacchi.
