WhatsApp, allarme attacchi “zero-click”: i consigli della Polizia

Una nuova ondata di attacchi informatici sta interessando gli account WhatsApp, con modalità definite “zero-click”: in alcuni casi la compromissione può avvenire senza che l’utente clicchi su un link, apra un allegato o compia altre azioni. A richiamare l’attenzione sul fenomeno è la Polizia di Stato, che segnala vulnerabilità associate in particolare a versioni non aggiornate di iOS e dell’app WhatsApp sui dispositivi Apple. Una volta ottenuto il controllo dell’account, i criminali possono sfruttare l’identità della vittima per chiedere denaro ai suoi contatti.

Come funziona un attacco WhatsApp “zero-click”

La caratteristica che rende insidiosa questa tipologia di attacco è proprio la possibilità, in determinate condizioni, di sfruttare una vulnerabilità senza richiedere un intervento diretto dell’utente.

Dopo aver compromesso l’account WhatsApp, i responsabili possono inviare messaggi alle persone presenti tra i contatti della vittima e presentarsi come un familiare, un amico o un conoscente.

La richiesta viene spesso accompagnata dal racconto di una presunta emergenza, utilizzata per convincere il destinatario a effettuare rapidamente un pagamento o a trasferire una somma di denaro. Il fatto che il messaggio provenga apparentemente da un account conosciuto può rendere il tentativo di truffa più credibile.

Mai inviare denaro senza verificare chi lo sta chiedendo

Tra le prime precauzioni indicate dalla Polizia di Stato c’è quella di non effettuare pagamenti prima di avere verificato l’identità della persona che formula la richiesta.

Se un familiare o un amico chiede improvvisamente denaro attraverso WhatsApp, soprattutto sostenendo di trovarsi in una situazione urgente, è consigliabile contattarlo attraverso un altro numero, utilizzare un dispositivo differente oppure verificare direttamente di persona, quando possibile.

Un ulteriore passaggio riguarda gli aggiornamenti. Sistema operativo e applicazione WhatsApp devono essere mantenuti alle versioni più recenti disponibili, perché gli aggiornamenti di sicurezza servono anche a correggere vulnerabilità che potrebbero essere utilizzate durante un attacco informatico.

Controllare i dispositivi collegati e attivare la verifica in due passaggi

La Polizia invita inoltre gli utenti a controllare periodicamente la sezione “Dispositivi collegati” di WhatsApp. Da questa schermata è possibile verificare quali computer, browser o altri dispositivi dispongono di una sessione associata all’account.

Qualora comparisse un dispositivo sconosciuto, la sessione può essere disconnessa immediatamente. Tra le altre misure consigliate figurano l’attivazione della verifica in due passaggi e la limitazione del download automatico di contenuti e allegati.

Anche il telefono dovrebbe essere protetto attraverso un codice di accesso o sistemi biometrici come Touch ID e Face ID, così da aggiungere un ulteriore livello di sicurezza ai dati e alle applicazioni.

Cosa fare se l’account WhatsApp è già compromesso

Se si scopre o si sospetta che l’account sia stato violato, è necessario intervenire rapidamente. La Polizia raccomanda innanzitutto di avvisare i propri contatti, spiegando che eventuali messaggi contenenti richieste di denaro potrebbero essere stati inviati da terzi.

Parallelamente deve essere avviata la procedura prevista per recuperare l’account WhatsApp e devono essere controllate le sessioni collegate.

Apple ha già predisposto specifici aggiornamenti di sicurezza per risolvere le vulnerabilità segnalate. L’indicazione è quindi di installare le versioni più recenti disponibili e utilizzare anche l’autenticazione a due fattori per il proprio Apple Account.

Per dubbi o segnalazioni relative a possibili truffe o compromissioni digitali è possibile rivolgersi alla Polizia Postale attraverso il Commissariato di Pubblica Sicurezza online.