// MACITYNET — MOBILE & WEB
WhatsApp, nuova ondata di attacchi senza intervento dell’utente, i consigli per proteggersi
Questo sito contiene link di affiliazione per cui può essere compensato
Un messaggio WhatsApp che sembra arrivare da un familiare o da un amico può in realtà essere stato scritto da un criminale senza che il proprietario dell’account abbia cliccato su un link, aperto un allegato o comunicato un codice. È questo lo scenario alla base della nuova allerta della Polizia Postale, che segnala una serie di compromissioni di account WhatsApp riconducibili, almeno in alcuni casi, ad attacchi cosiddetti “zero-click”.
Il problema riguarda in particolare versioni non aggiornate di iOS e di WhatsApp sui dispositivi Apple. Una volta ottenuto l’accesso all’account o al dispositivo, gli attaccanti possono sfruttare l’identità della vittima per contattare familiari e amici, chiedendo denaro con la scusa di un’emergenza o di un pagamento urgente.
Il termine può essere fuorviante perché “zero-click” non indica il tipo di truffa, ma il sistema utilizzato per compromettere il dispositivo o l’applicazione.
Nei tradizionali attacchi di phishing è necessaria una collaborazione della vittima: bisogna cliccare su un link, aprire un file, installare qualcosa, inquadrare un QR Code oppure comunicare un codice ricevuto via SMS.
Con un attacco zero-click tutto questo può non essere necessario. Una vulnerabilità presente nel sistema operativo o nell’app permette di sfruttare dati che il telefono riceve e processa automaticamente, ad esempio un messaggio, un contenuto multimediale o altre informazioni trasmesse all’applicazione.
L’utente può quindi non vedere alcun link sospetto e non autorizzare consapevolmente alcuna operazione. È sufficiente che una versione vulnerabile del software elabori il contenuto preparato dall’attaccante.
Questo tipo di attacco è particolarmente insidioso proprio perché le normali regole del “non cliccare su link sospetti” possono non bastare. Diventano invece determinanti gli aggiornamenti di sicurezza di iOS e dell’applicazione.
Macitynet aveva già documentato nel maggio scorso un caso di compromissioni WhatsApp su iPhone con iOS 16 compatibile con uno scenario zero-click: in quelle circostanze alcuni utenti avevano visto partire richieste di bonifico dal proprio account senza avere autorizzato nuovi dispositivi, fornito codici o inquadrato QR Code.
Va precisato che la segnalazione attuale della Polizia di Stato non descrive pubblicamente nel dettaglio la catena tecnica utilizzata, ma indica come elemento comune la presenza di versioni non aggiornate di iOS e WhatsApp.