A soli quattro giorni dall’allerta sulle truffe realizzate attraverso account WhatsApp sottratti, la Polizia Postale segnala una nuova campagna ancora più preoccupante. Al centro dell’avviso ci sono infatti compromissioni riconducibili a modalità di attacco definite zero-click, che possono sfruttare vulnerabilità presenti nelle versioni non aggiornate di iOS e WhatsApp sui dispositivi Apple.
La caratteristica più insidiosa di questo tipo di attacco è che, in determinate condizioni, l’utente potrebbe non dover cliccare su un link, aprire un allegato o eseguire volontariamente un’operazione. La compromissione può quindi avvenire sfruttando una vulnerabilità del software attraverso contenuti appositamente predisposti. L’aspetto particolarmente significativo dell’allerta è il collegamento con la precedente campagna. Una volta ottenuto l’accesso all’account WhatsApp, i criminali possono utilizzarlo per impersonare la vittima e contattare familiari, amici e conoscenti. Il messaggio può contenere una richiesta urgente di denaro, motivata da una presunta situazione di emergenza. Il destinatario vede comparire nella conversazione il nome e il numero di una persona conosciuta e può quindi avere pochi motivi per sospettare immediatamente della truffa. La compromissione tecnologica diventa così il punto di partenza per un attacco di ingegneria sociale. Il criminale non deve necessariamente costruire da zero una falsa identità, perché può sfruttare direttamente quella di una persona reale.
Perché gli attacchi zero-click sono più pericolosi
Gli attacchi zero-click rappresentano una delle modalità più sofisticate di compromissione perché riducono o eliminano la necessità di un’interazione da parte dell’utente. Nelle campagne tradizionali di phishing la vittima deve generalmente cliccare su un collegamento, aprire un allegato o fornire informazioni. In uno scenario zero-click, invece, la vulnerabilità può essere sfruttata attraverso l’elaborazione automatica di determinati contenuti da parte dell’applicazione o del sistema operativo. Questo rende più difficile riconoscere l’attacco e aumenta l’importanza delle patch di sicurezza. Ciò non significa che ogni iPhone non aggiornato verrà automaticamente compromesso. Significa però che mantenere software vulnerabile espone il dispositivo a rischi che possono essere difficili da individuare attraverso i normali segnali di allarme.
Aggiornamenti e autenticazione diventano fondamentali
La Polizia Postale raccomanda innanzitutto di mantenere aggiornati sia iOS sia WhatsApp. Apple ha infatti corretto le vulnerabilità interessate attraverso specifici aggiornamenti di sicurezza. L’aggiornamento non deve quindi essere considerato soltanto una questione legata a nuove funzionalità o prestazioni. In questo scenario rappresenta una vera misura di sicurezza, perché riduce la superficie di attacco disponibile per eventuali exploit. Un ulteriore livello di protezione è rappresentato dalla verifica in due passaggi di WhatsApp e dall’autenticazione a due fattori dell’Apple Account. Questi meccanismi non eliminano il rischio derivante da una vulnerabilità zero-click, ma possono rendere più difficile per un attaccante assumere o mantenere il controllo degli account.
Tra le indicazioni fornite dalla Polizia Postale c’è anche il controllo periodico della sezione Dispositivi collegati di WhatsApp. La funzione permette di verificare quali sessioni risultano associate all’account e di disconnettere quelle non riconosciute. Si tratta di un controllo semplice ma importante. La presenza di un dispositivo sconosciuto dovrebbe essere considerata un possibile indicatore di compromissione e dovrebbe spingere l’utente a intervenire immediatamente sulla sicurezza dell’account. Anche la protezione del dispositivo attraverso codice, Touch ID o Face ID e la limitazione del download automatico di contenuti e allegati contribuiscono a ridurre l’esposizione.
La richiesta di denaro deve sempre essere verificata
La componente tecnologica non elimina il ruolo dell’utente. Al contrario, nella fase successiva alla compromissione la verifica delle richieste diventa fondamentale. Una richiesta urgente di denaro proveniente da un familiare o da un amico non dovrebbe essere considerata automaticamente autentica. Prima di effettuare un pagamento è opportuno contattare direttamente la persona attraverso un altro numero, un dispositivo differente oppure, quando possibile, incontrarla di persona. L’obiettivo è interrompere la catena di fiducia costruita dall’attaccante. Anche quando il messaggio proviene realmente dall’account WhatsApp di una persona conosciuta, infatti, non è possibile escludere che quell’account sia stato compromesso.
Cosa fare in caso di account compromesso
Se si sospetta che il proprio account WhatsApp sia stato compromesso, è importante intervenire rapidamente e avvisare i propri contatti. Questi ultimi devono essere informati del possibile utilizzo fraudolento dell’account e invitati a non rispondere a eventuali richieste di denaro.
La vicenda evidenziata dalla Polizia Postale mostra quindi come la sicurezza di WhatsApp non possa essere affidata a una singola misura. Aggiornamenti, autenticazione a più fattori, controllo delle sessioni e verifica delle richieste rappresentano livelli differenti di una stessa strategia di difesa.
Su iPhone come su qualsiasi altro dispositivo, aggiornare il sistema e le applicazioni non è un dettaglio, ma una delle prime barriere contro la compromissione.
