WhatsApp zero-click su iPhone: Polizia di Stato lancia l’allerta sui nuovi attacchi

🛡️ Executive Summary

• La Polizia di Stato segnala una nuova ondata di compromissioni WhatsApp che interessa dispositivi Apple con iOS e applicazioni non aggiornate.
• Gli attacchi possono avvenire senza interazione della vittima e trasformare l’account compromesso in uno strumento per richieste fraudolente di denaro.
• Aggiornamenti, verifica in due passaggi, controllo dei dispositivi collegati e verifica fuori banda delle richieste economiche riducono il rischio.

La Polizia di Stato segnala una nuova ondata di compromissioni degli account WhatsApp riconducibili a modalità zero-click, con particolare riferimento a dispositivi Apple che utilizzano versioni non aggiornate di iOS e dell’applicazione di messaggistica. La caratteristica più pericolosa è l’assenza di una necessaria azione della vittima: in alcuni casi l’attacco può avvenire senza aprire un link, scaricare volontariamente un allegato o autorizzare un’operazione. Dopo la compromissione, l’account può essere utilizzato per impersonare il proprietario e contattare amici o familiari con richieste urgenti di denaro, trasformando una vulnerabilità tecnica in una truffa costruita sulla fiducia.

La Polizia di Stato avverte sui nuovi attacchi zero-click

Nel comunicato dedicato alla nuova campagna, la Polizia di Stato spiega che le vulnerabilità individuate interessano versioni non aggiornate di iOS e WhatsApp sui dispositivi Apple e possono, in alcuni casi, essere sfruttate senza che l’utente debba compiere alcuna azione. La locandina diffusa dalla Polizia Postale riassume il meccanismo con tre passaggi: sfruttamento della vulnerabilità, compromissione dell’account e successiva attività di ingegneria sociale contro le persone presenti nella rubrica della vittima. Il criminale può quindi scrivere a un familiare o a un amico sostenendo di avere un problema con la carta, di non riuscire ad accedere al conto o di dover effettuare urgentemente un pagamento. La credibilità della richiesta deriva proprio dall’utilizzo di un account realmente appartenente a una persona conosciuta. Il messaggio fraudolento non arriva quindi necessariamente da un numero sconosciuto, elemento che rende insufficiente affidarsi soltanto alla familiarità del mittente per stabilire se una richiesta sia autentica.

Cosa significa davvero un attacco zero-click su WhatsApp

La definizione zero-click indica un attacco nel quale la compromissione non richiede il tradizionale errore dell’utente. Non è necessario cliccare consapevolmente un collegamento o avviare un file: una vulnerabilità nell’elaborazione di dati ricevuti dall’applicazione o dal sistema operativo può consentire all’attaccante di raggiungere il dispositivo attraverso contenuti elaborati automaticamente. Nel caso dell’allerta italiana, il comunicato non indica pubblicamente una nuova CVE e non attribuisce le compromissioni a una specifica catena di exploit. È quindi importante non trasformare la segnalazione di una nuova ondata di attacchi nella scoperta automatica di una nuova zero-day. Il precedente tecnico più rilevante resta la vulnerabilità CVE-2025-55177 documentata negli advisory ufficiali di sicurezza di WhatsApp, che Meta aveva collegato alla vulnerabilità Apple CVE-2025-43300 in attacchi sofisticati contro utenti selezionati. La campagna del 2025 aveva già mostrato come WhatsApp e una vulnerabilità di iOS potessero essere concatenate, ma il materiale diffuso oggi dalla Polizia di Stato non consente di affermare che tutti i nuovi casi utilizzino necessariamente la stessa tecnica.

Leggi anche: WhatsApp introduce Scam Alert per riconoscere le conversazioni compatibili con una truffa

Dalla compromissione dell’account alla richiesta urgente di denaro

Il vero salto operativo avviene dopo l’accesso all’account. L’aggressore può sfruttare identità, numero telefonico e rapporto di fiducia già esistente tra la vittima e i suoi contatti per costruire una richiesta economicamente credibile. È uno scenario differente dal phishing tradizionale, nel quale il destinatario deve spesso essere convinto ad affidarsi a un mittente sconosciuto o a un sito apparentemente legittimo. Qui il criminale eredita una parte della reputazione digitale della persona compromessa.

La Polizia di Stato raccomanda per questo di non effettuare pagamenti prima di avere verificato l’identità di chi formula la richiesta, contattando direttamente la persona attraverso un altro numero, un diverso dispositivo o, quando possibile, di persona. È una forma di verifica fuori banda particolarmente importante perché consente di separare l’identità reale dalla sessione WhatsApp potenzialmente compromessa. Se l’account risulta violato, bisogna inoltre avvisare rapidamente i propri contatti invitandoli a ignorare richieste economiche anomale e avviare la procedura di recupero dell’account.

Aggiornamenti, dispositivi collegati e verifica in due passaggi

La prima misura indicata dalla Polizia di Stato è mantenere iOS e WhatsApp costantemente aggiornati. Apple, secondo quanto riportato nel comunicato, ha già risolto le compromissioni associate alle vulnerabilità conosciute attraverso specifici aggiornamenti di sicurezza, rendendo particolarmente rischiosa la permanenza su versioni obsolete del sistema operativo. La Polizia raccomanda anche di controllare periodicamente la sezione “Dispositivi collegati” di WhatsApp e disconnettere immediatamente le sessioni non riconosciute, attivare la verifica in due passaggi, proteggere l’iPhone con codice, Touch ID o Face ID e limitare il download automatico di media e allegati. Queste misure non devono però essere interpretate come equivalenti a una patch: l’autenticazione aggiuntiva può rendere più difficile il takeover dell’account, ma una vulnerabilità software deve essere eliminata attraverso l’aggiornamento del componente vulnerabile. Per gli utenti maggiormente esposti ad attacchi sofisticati, WhatsApp ha inoltre introdotto Strict Account Settings, una configurazione più restrittiva che limita automaticamente alcune funzionalità e blocca media e allegati provenienti da persone non presenti tra i contatti.

Continua con:

• DarkSword mostra come un exploit zero-click possa compromettere un iPhone senza interazione
• WhatsApp blocca nuovi attacchi spyware collegati a NSO Group

Una nuova ondata non significa necessariamente una nuova zero-day

L’allerta della Polizia di Stato evidenzia soprattutto un problema operativo: una vulnerabilità già corretta può continuare a produrre vittime finché esistono dispositivi non aggiornati. Il fatto che vengano osservate nuove compromissioni non dimostra automaticamente l’esistenza di una falla sconosciuta ad Apple o Meta. È una distinzione importante anche per evitare allarmismi tecnicamente imprecisi. Gli utenti devono verificare immediatamente la disponibilità di aggiornamenti per iPhone e WhatsApp, controllare le sessioni attive e trattare qualsiasi richiesta improvvisa di denaro come un evento da verificare attraverso un secondo canale. Chi sospetta una compromissione deve avvertire i propri contatti, recuperare l’account e può effettuare una segnalazione attraverso il Commissariato di PS Online. Nel modello descritto dalla Polizia Postale, infatti, la protezione non dipende soltanto dalla capacità di bloccare l’exploit: significa anche impedire che un account già compromesso riesca a trasformare la fiducia personale in un pagamento reale.