Il fenomeno trova riscontro anche negli avvisi pubblicati dalla Polizia di Stato relativi ad attacchi cosiddetti “zero-click”, cioè attacchi che possono avvenire senza che la vittima debba necessariamente cliccare un link, installare un'applicazione, comunicare un codice ricevuto via SMS o OTP da App.
Nei casi che abbiamo seguito personalmente le vittime utilizzavano iPhone e il comportamento osservato è stato sempre lo stesso e, a nostro avviso, particolarmente insidioso oltre che “evoluto rispetto agli avvisi già noti”.
Cerchiamo di capire cosa significa realmente, cosa abbiamo osservato e, soprattutto, cosa possiamo fare per proteggerci.
Che cos'è un attacco “zero-click”?
Siamo abituati a pensare alle compromissioni di WhatsApp in questo modo: qualcuno ci invia un link e noi lo apriamo. Poi comunichiamo, su richiesta dell'attaccante, il codice di verifica ricevuto via SMS o quanto da lui richiesto, oppure, ancora, scansiamo un QR Code che ci viene inviato… quando si è soggetti a questi attacchi, magari, si arriva a pensare che sia stata clonata la sim o che si sia inserito u nuovo dispositivo tra quelli autorizzati ad accedere a WhatsApp. In questi casi l'attaccante ha bisogno di una nostra azione.
Un attacco *zero-click*, invece, sfrutta una vulnerabilità del software per arrivare al dispositivo senza richiedere necessariamente un'interazione della vittima.
Ed è proprio questo a renderlo particolarmente pericoloso.
In passato sono state documentate vulnerabilità di WhatsApp e di iOS che, concatenate tra loro, potevano consentire attacchi estremamente sofisticati. Tra quelle pubblicamente note figurano CVE-2025-55177, relativa a WhatsApp, e CVE-2025-43300, relativa al framework ImageIO di Apple.
WhatsApp ha dichiarato che le due vulnerabilità potrebbero essere state utilizzate insieme in attacchi mirati.
Apple, da parte sua, ha confermato che CVE-2025-43300 poteva essere attivata attraverso l'elaborazione di un'immagine appositamente costruita e che poteva essere stata utilizzata in attacchi reali particolarmente sofisticati.
Questo non significa che possiamo affermare con certezza che tutti i casi attualmente osservati utilizzino esattamente questa catena di vulnerabilità. Significa però che la possibilità tecnica di realizzare un attacco di questo tipo è concreta e documentata.
Ma WhatsApp non utilizza la crittografia end-to-end?
Sì, e questo è un punto fondamentale. La crittografia end-to-end, infatti, non viene necessariamente violata.
La crittografia protegge il messaggio durante il percorso tra i dispositivi: Telefono A → server WhatsApp → Telefono B
Il server non dovrebbe possedere le chiavi necessarie per leggere normalmente il contenuto della conversazione.
Ma la crittografia end-to-end parte da un presupposto fondamentale: i due dispositivi alle estremità devono essere sicuri.
Se un attaccante riesce a compromettere uno degli endpoint o ad acquisire materiale crittografico/sessioni che gli consentano di comportarsi come un endpoint legittimo, non ha bisogno di “rompere” la crittografia.
È come possedere una porta blindata eccellente ma riuscire a duplicare la chiave di chi può aprirla.
La serratura continua a funzionare perfettamente.
Il problema che si è evidenziato è che “adesso” la chiave ce l'ha anche qualcun altro.
Cosa abbiamo osservato nei casi reali
Ed è qui che la situazione è diventata diventa particolarmente interessante.
Per semplicità chiameremo X la persona il cui WhatsApp è stato compromesso.
Il telefono di X continuava apparentemente a funzionare normalmente.
X utilizzava WhatsApp, riceveva messaggi e non aveva necessariamente alcuna indicazione evidente di essere stato compromesso.
Nel frattempo, però, alcuni suoi contatti ricevevano messaggi inviati apparentemente proprio da X.
Il criminale (che chiameremo Y) iniziava quindi una conversazione presentandosi come la persona conosciuta dal destinatario e, senza nemmeno doversi preoccupare di acquisire credibilità (il messaggio arrivava ai contatti di X proprio a suo nome), inviava la richiesta economica.
Ma abbiamo osservato qualcosa di ancora più particolare, questa la prima differenza che abbiamo notato rispetto agli avvisi diffusi.
X non vedeva i messaggi che apparentemente stava inviando. Sul telefono originale della vittima (X) non comparivano i messaggi inviati dall'attaccante. Questo comportamento è stato possibile verificarlo direttamente, interloquendo noi nelle chat al posto del “contatto amico” della vittima. Avevamo contemporaneamente: X e il suo smartphone (iPhone) davanti a noi; l'amico/parente di X e il suo smartphone e in conversazione WhatsApp con chi si stava spacciando per X.
Abbiamo quindi risposto all'attaccante e continuato volontariamente la conversazione, senza riferire alcun dato sensibile, fingendo di cadere nella trappola per capire quale fosse il suo obiettivo finale e come agiva.
Sul telefono del vero X non comparivano i messaggi che l'attaccante stava inviando.
E, durante parte di queste conversazioni, apparivano invece le risposte che stavamo inviando all'attaccante.
Di fatto sembravano esistere due viste differenti della stessa identità WhatsApp.
Questo è molto diverso dal normale utilizzo fraudolento di WhatsApp Web.
E nei "Dispositivi collegati"?
Questa è probabilmente una delle caratteristiche che può trarre maggiormente in inganno.
Abbiamo controllato: WhatsApp → Impostazioni → Dispositivi collegati e nei casi esaminati non risultava alcun computer o dispositivo sconosciuto.
Questo è importante. Perché normalmente, se un device sta controllando il proprio WhatsApp, quel secondo device compare tra i dispositivi collegati.
In questi casi, invece, non abbiamo trovato questa evidenza.
Per questo motivo controllare i "Dispositivi collegati" rimane una buona pratica, ma il fatto che l'elenco sia vuoto non permette da solo di escludere questo particolare tipo di compromissione.
Una sorta di "sessione fantasma"
Le analisi tecniche pubblicate sul fenomeno, tra cui quelle del team italiano Forenser che abbiamo seguito con particolare attenzione, hanno approfondito proprio questa anomalia.
Una delle ipotesi tecniche è che, attraverso la compromissione iniziale, possa essere sottratto materiale necessario per consentire a un altro client di operare utilizzando l'identità WhatsApp della vittima.
Il risultato sarebbe molto diverso dal normale:
Telefono X → WhatsApp Web dell'attaccante
e sarebbe più simile a:
Telefono X → WhatsApp
Client dell'attaccante → WhatsApp
con entrambi in grado, in determinate condizioni, di presentarsi come appartenenti all'identità della vittima.
Questo aiuterebbe a spiegare perché alcune conversazioni possano risultare visibili all'attaccante ma non comparire integralmente sul telefono originale.
È importante sottolinearlo: il funzionamento interno preciso degli attacchi osservati non può essere dedotto con certezza soltanto dai sintomi. Ma le anomalie che abbiamo verificato, insieme alle evidenze già rese pubbliche, sono compatibili con quanto descritto nelle analisi tecniche disponibili.
In alcuni device sempre iPhone, infine, si è ricevuta la segnalazione di compromissione e violazione di sistemi informatici esterni anche a WhatsApp (rubriche cancellate solo un esempio). Da precisare che per queste anomalie non c'è un diretto collegamento tra gli attacchi “su WhatsApp” e “anomalie dentro altre App”.
Perché questo può diventare pericoloso anche oltre la truffa economica
Il problema non è soltanto: qualcuno chiede soldi ai miei amici fingendo di essere me.
Se un soggetto riesce realmente a inviare messaggi utilizzando la nostra identità WhatsApp senza che questi compaiano sul nostro telefono, si apre un problema molto più ampio.
Potrebbero teoricamente essere inviati a nostro nome: minacce, messaggi offensivi, richieste fraudolente, contenuti illeciti, comunicazioni compromettenti.
Il destinatario vedrebbe come mittente il nostro account WhatsApp, mentre noi potremmo non avere sul telefono una copia evidente di ciò che è stato inviato.
È quindi importante, in caso di compromissione, documentare immediatamente l'accaduto e conservare screenshot e altre evidenze disponibili sui telefoni dei destinatari.
Come monetizzano la truffa: non sempre chiedono soldi per sé
Un'altra caratteristica che abbiamo potuto verificare parlando direttamente con chi conduceva la frode è particolarmente interessante.
Solitamente il criminale richiedere un invio di denaro su conti in suo possesso. Qui sembra utilizzare un sistema molto più “intelligente”.
L'attaccante effettua presumibilmente un acquisto presso un'attività commerciale e sceglie il pagamento tramite bonifico.
Successivamente contatta un amico o familiare di X e, fingendosi X, gli chiede di effettuare urgentemente un pagamento perché non ha liquidità disponibile, promettendo anche la restituzione del denaro il giorno successivo.
Ma l'IBAN comunicato può essere quello della vera attività commerciale (considerando che oggi per effettuare un bonifico i dati IBAN e Titolare IBAN devono coincidere, dati ricevuti dal criminale corrispondevano e, semplicemente ricercando l'attività commerciale su internet, apparentemente quella attività esiste e, controllando anche la partita iva sul sito agenzia entrate, anche qui il riscontro era “partita iva attiva”.
La vittima effettua quindi il bonifico e invia al criminale la distinta del bonifico (che il criminale chiede al contatto della vittima).
L'attività commerciale riceve realmente il denaro e vede pagato l'ordine.
A quel punto può procedere con la spedizione della merce ordinata dall'attaccante.
In sostanza:
criminale → effettua l'ordine
vittima della truffa → paga il negozio
negozio → spedisce la merce
criminale → ottiene la merce
Questo rende la frode particolarmente subdola perché il beneficiario del bonifico può risultare essere un'azienda assolutamente reale ed estranea alla truffa.
Ed è proprio seguendo alcune di queste conversazioni che abbiamo potuto raccogliere informazioni utili a comprendere meglio il meccanismo.
Anomalie anche fuori dalla chat di WhatsApp
In almeno alcuni degli episodi analizzati sono comparsi ulteriori elementi:
- modifica dell'immagine del profilo WhatsApp;
- cancellazione dei contatti sincronizzati con iCloud;
- altre anomalie sul dispositivo.
Questo non permette automaticamente di concludere che sia stato compromesso anche l'Apple Account.
È però un segnale che, in presenza di anomalie ulteriori, l'incidente non dovrebbe essere trattato semplicemente come “mi hanno rubato WhatsApp”.
Cosa fare per proteggersi
La prima difesa è probabilmente anche quella che molte persone rimandano continuamente:
### 1. Aggiornare iOS
Installare l'ultima versione di iOS disponibile per il proprio iPhone.
Apple ha distribuito correzioni di sicurezza anche per alcune versioni precedenti del sistema operativo.
Se l'iPhone non riesce ad aggiornarsi perché lo spazio è esaurito, bisogna liberare spazio ed effettuare l'aggiornamento.
In un caso del genere “non aggiorno perché non ho spazio” non è un semplice problema pratico: significa continuare potenzialmente a utilizzare vulnerabilità per le quali esiste già una correzione.
### 2. Aggiornare WhatsApp
Anche WhatsApp deve essere mantenuto all'ultima versione disponibile.
Aggiornare soltanto iOS ma continuare a utilizzare una versione vulnerabile dell'applicazione non è una buona strategia.
### 3. Attivare la verifica in due passaggi di WhatsApp
Va attivata.
Bisogna però chiarire una cosa importante: la verifica in due passaggi non rappresenta da sola una protezione assoluta contro uno zero-click.
È estremamente utile contro altri tipi di furto dell'account e rende più difficile una nuova registrazione fraudolenta del numero, ma non dobbiamo confondere la protezione della registrazione dell'account con la sicurezza di una sessione o di un dispositivo già compromessi.
### 4. Per i soggetti maggiormente esposti, valutare le protezioni avanzate
Apple mette a disposizione Modalità di isolamento (Lockdown Mode), progettata proprio per ridurre drasticamente la superficie d'attacco contro minacce digitali particolarmente sofisticate.
Non è una modalità necessaria per tutti e limita alcune funzionalità del dispositivo, ma può essere valutata nei casi a rischio elevato.
Se sono già stato colpito, aggiornare basta?
Non necessariamente. Questo è probabilmente il concetto più importante.
Un aggiornamento corregge la vulnerabilità che ha permesso l'ingresso.
Non possiamo automaticamente concludere che elimini anche tutte le conseguenze di una compromissione già avvenuta.
Se esiste già una sessione o del materiale di autenticazione sottratto, è necessario distinguere: chiudere la vulnerabilità da bonificare un dispositivo/account già compromesso.
Nei casi più seri può quindi essere opportuno arrivare al ripristino dell'iPhone alle impostazioni di fabbrica, installare immediatamente gli aggiornamenti disponibili e procedere alla reinstallazione e messa in sicurezza degli account.
La procedura precisa deve comunque essere valutata caso per caso, soprattutto se si vogliono conservare eventuali evidenze dell'attacco.
E la crittografia end-to-end?
Continua a essere fondamentale.
Ma nessun sistema di crittografia può proteggere completamente una conversazione se viene compromesso uno dei dispositivi che possiede legittimamente le chiavi per leggerla.
La crittografia end-to-end protegge soprattutto il percorso:
A 🔐 → Internet/WhatsApp → 🔐 B
Ma se qualcuno riesce ad agire direttamente come A, il problema non è più intercettare il messaggio durante il trasporto. Il problema è diventare A.
Ed è per questo che sicurezza del sistema operativo, aggiornamenti, protezione degli account e crittografia devono lavorare insieme.
La regola più semplice rimane una delle più efficaci
Se un amico, un familiare, un collega o un cliente vi scrive improvvisamente su WhatsApp chiedendovi:
“Puoi pagarmi urgentemente questo ordine?”
oppure:
“Puoi fare questo bonifico per me? Dopo ti restituisco i soldi.”
fermatevi.
Anche se: vedete la sua fotografia, vedete il suo nome, il messaggio proviene dalla conversazione WhatsApp che avete sempre utilizzato, l'IBAN appartiene apparentemente a un'azienda reale e il messaggio sembra credibilissimo… telefonategli.
E se avete qualche dubbio sulla compromissione del suo WhatsApp, non utilizzate WhatsApp stesso come unico canale per verificare la sua identità.
Una telefonata tradizionale o, ancora meglio quando possibile, una verifica di persona può evitare il danno.
La fiducia che riponiamo nel nome e nella fotografia che vediamo sullo schermo è esattamente ciò che rende efficace questo tipo di frode.
© Riproduzione riservata