Un messaggio WhatsApp che sembra arrivare da un familiare o da un amico può in realtà essere stato scritto da un criminale senza che il proprietario dell’account abbia cliccato su un link, aperto un allegato o comunicato un codice. È questo lo scenario alla base della nuova allerta della Polizia Postale, che segnala una serie di compromissioni di account WhatsApp riconducibili, almeno in alcuni casi, ad attacchi cosiddetti “zero-click”.
Il problema riguarda in particolare versioni non aggiornate di iOS e di WhatsApp sui dispositivi Apple. Una volta ottenuto l’accesso all’account o al dispositivo, gli attaccanti possono sfruttare l’identità della vittima per contattare familiari e amici, chiedendo denaro con la scusa di un’emergenza o di un pagamento urgente.
Cosa significa esattamente attacco “zero-click”
Il termine può essere fuorviante perché “zero-click” non indica il tipo di truffa, ma il sistema utilizzato per compromettere il dispositivo o l’applicazione.
Nei tradizionali attacchi di phishing è necessaria una collaborazione della vittima: bisogna cliccare su un link, aprire un file, installare qualcosa, inquadrare un QR Code oppure comunicare un codice ricevuto via SMS.
Con un attacco zero-click tutto questo può non essere necessario. Una vulnerabilità presente nel sistema operativo o nell’app permette di sfruttare dati che il telefono riceve e processa automaticamente, ad esempio un messaggio, un contenuto multimediale o altre informazioni trasmesse all’applicazione.
L’utente può quindi non vedere alcun link sospetto e non autorizzare consapevolmente alcuna operazione. È sufficiente che una versione vulnerabile del software elabori il contenuto preparato dall’attaccante.
Questo tipo di attacco è particolarmente insidioso proprio perché le normali regole del “non cliccare su link sospetti” possono non bastare. Diventano invece determinanti gli aggiornamenti di sicurezza di iOS e dell’applicazione.
Macitynet aveva già documentato nel maggio scorso un caso di compromissioni WhatsApp su iPhone con iOS 16 compatibile con uno scenario zero-click: in quelle circostanze alcuni utenti avevano visto partire richieste di bonifico dal proprio account senza avere autorizzato nuovi dispositivi, fornito codici o inquadrato QR Code.
Va precisato che la segnalazione attuale della Polizia di Stato non descrive pubblicamente nel dettaglio la catena tecnica utilizzata, ma indica come elemento comune la presenza di versioni non aggiornate di iOS e WhatsApp.
Il pericolo arriva dopo: i messaggi sembrano realmente inviati da un conoscente
Una volta compromesso l’account, la parte tecnica dell’attacco può trasformarsi in una truffa molto più tradizionale.
Il criminale scrive ai contatti della vittima fingendo di essere il proprietario del numero e può chiedere un bonifico, una ricarica o altro denaro sostenendo di trovarsi in difficoltà.
La provenienza del messaggio rende l’inganno più credibile: il destinatario vede infatti una conversazione associata a una persona che conosce, eventualmente all’interno di una chat già esistente.
Per questo motivo la Polizia raccomanda di non effettuare pagamenti sulla base di una semplice richiesta ricevuta in chat. In presenza di una richiesta insolita conviene telefonare direttamente alla persona interessata, possibilmente attraverso un altro canale.
Continuare a chiedere spiegazioni nella stessa conversazione WhatsApp potrebbe infatti non essere sufficiente se l’attaccante è in grado di leggere o gestire quella chat.
Aggiornare subito iPhone e WhatsApp
La misura più importante contro questo specifico tipo di minaccia è mantenere aggiornati sia iOS sia WhatsApp.
Apple ha distribuito nel tempo aggiornamenti che correggono vulnerabilità sfruttabili attraverso applicazioni di messaggistica e la Polizia di Stato sottolinea che le compromissioni segnalate interessano versioni non aggiornate.
Su iPhone è quindi opportuno verificare in Impostazioni > Generali > Aggiornamento Software di avere installato l’ultima versione disponibile per il proprio modello.
Anche WhatsApp deve essere aggiornato attraverso App Store. Rimandare per mesi questi aggiornamenti può lasciare attive vulnerabilità già conosciute e per le quali esiste una correzione.
Controllare i dispositivi collegati a WhatsApp
Un secondo controllo richiede pochi secondi. Aprendo WhatsApp bisogna entrare in:
Impostazioni > Dispositivi collegati
Qui vengono mostrati computer, browser, tablet e altri dispositivi autorizzati ad accedere al proprio account.
Se compare un dispositivo che non riconosciamo, è opportuno disconnetterlo immediatamente.
Macitynet ha pubblicato una guida completa su come proteggere l’account WhatsApp, con le procedure per verificare i dispositivi associati, configurare i sistemi di autenticazione e riconoscere alcuni dei segnali tipici di una compromissione.
Va comunque ricordato che il controllo dei dispositivi collegati non rappresenta da solo una garanzia: nei casi zero-click analizzati in precedenza gli utenti colpiti non vedevano necessariamente dispositivi sconosciuti in questa sezione.
Attivare verifica in due passaggi e passkey
WhatsApp mette inoltre a disposizione diversi sistemi per rendere più difficile la sottrazione dell’account.
È consigliabile controllare le opzioni disponibili in:
Impostazioni > Account
e attivare la verifica in due passaggi e, sui dispositivi compatibili, una passkey basata sul sistema di autenticazione del telefono.
WhatsApp ha recentemente rafforzato ulteriormente questi sistemi di protezione, estendendo l’uso delle passkey e migliorando la verifica in due passaggi.
Queste misure sono particolarmente efficaci contro i tentativi di sottrarre l’account attraverso codici di verifica, phishing o registrazioni non autorizzate. Non sostituiscono però gli aggiornamenti di iOS e WhatsApp contro una vulnerabilità zero-click, perché in quel caso il problema può trovarsi direttamente nel software che elabora i dati ricevuti.
Per chi è più esposto esiste la modalità di sicurezza restrittiva
WhatsApp offre anche le cosiddette Impostazioni dell’account restrittive, pensate soprattutto per persone che possono essere oggetto di attacchi informatici sofisticati, ad esempio giornalisti, personaggi pubblici o soggetti particolarmente esposti.
L’opzione si trova, quando disponibile, in:
Impostazioni > Privacy > Avanzate
Attivandola, WhatsApp riduce diversi automatismi e limita alcune interazioni provenienti da persone non presenti nei contatti. Tra le altre cose possono essere bloccati allegati e contenuti multimediali provenienti da sconosciuti e disattivate le anteprime dei link, riducendo la superficie potenzialmente utilizzabile da un attaccante.
Abbiamo spiegato nel dettaglio come funzionano le Impostazioni restrittive di WhatsApp e quali funzioni vengono limitate.
I consigli della Polizia di Stato
La Polizia di Stato raccomanda una serie di precauzioni che valgono sia per gli attacchi più sofisticati sia per le comuni truffe che seguono alla compromissione di un account:
- non effettuare pagamenti prima di aver verificato l’identità di chi formula la richiesta, contattando direttamente la persona attraverso un altro numero, dispositivo o, quando possibile, di persona;
- mantenere aggiornati iOS e WhatsApp;
- controllare periodicamente la sezione “Dispositivi collegati” ed eliminare immediatamente quelli non riconosciuti;
- attivare la verifica in due passaggi;
- limitare il download automatico di contenuti e allegati;
- proteggere l’iPhone con codice, Touch ID o Face ID.
Esistono poi attacchi WhatsApp molto più comuni che richiedono invece l’intervento della vittima. Un esempio è la truffa del falso concorso “vota la ballerina”, nella quale l’utente viene portato su una pagina che chiede numero di telefono e codice ricevuto via SMS.
La differenza è importante: in quel caso non siamo davanti a uno zero-click, perché il successo dell’attacco dipende dall’azione dell’utente.
Cosa fare se dal nostro WhatsApp partono messaggi che non abbiamo scritto
Se amici o parenti segnalano richieste di denaro o altri messaggi che non abbiamo inviato, conviene intervenire immediatamente.
Prima di tutto bisogna avvisare i propri contatti attraverso un altro canale, invitandoli a ignorare richieste di bonifici, ricariche o pagamenti.
È poi opportuno:
- aggiornare immediatamente iOS e WhatsApp;
- controllare e disconnettere eventuali dispositivi WhatsApp sconosciuti;
- verificare le impostazioni di sicurezza dell’account;
- avviare la procedura di recupero dell’account se non è più possibile accedervi;
- modificare e rafforzare le credenziali dell’Apple Account e verificare che sia attiva l’autenticazione a due fattori;
- segnalare l’episodio alla Polizia Postale.
Apple ha provveduto a correggere con specifici aggiornamenti di sicurezza le vulnerabilità note coinvolte in precedenti compromissioni e raccomanda di mantenere protetti dispositivi e applicazioni mediante l’installazione delle versioni più recenti, oltre a utilizzare l’autenticazione a due fattori per il proprio Apple Account.
In caso di dubbi o di una compromissione è possibile rivolgersi alla Polizia Postale attraverso il sito del Commissariato di PS Online.
Per tutte le notizie sulla sicurezza informatica rimandiamo alla sezione dedicata di Macitynet.
