Una nuova minaccia informatica prende di mira gli utenti di WhatsApp e, questa volta, può agire senza che la vittima apra un link, scarichi volontariamente un allegato o inserisca le proprie credenziali su una pagina sospetta. Si tratta dei cosiddetti attacchi “zero-click”, una tecnica che sfrutta vulnerabilità del software per compromettere un dispositivo senza richiedere alcuna interazione da parte dell’utente.
L’allarme è stato rilanciato dalla Polizia di Stato attraverso il Commissariato di Ps online, che ha fornito una serie di indicazioni per ridurre il rischio di compromissione e riconoscere le conseguenze di un eventuale furto dell’account.
Come funzionano gli attacchi “zero-click”
La caratteristica che rende particolarmente insidiosa questa modalità di attacco è proprio l’assenza di un’azione da parte della vittima. Nel phishing tradizionale, infatti, il criminale cerca generalmente di convincere l’utente a cliccare su un collegamento, scaricare un file o comunicare codici e password. Negli attacchi zero-click, invece, vengono sfruttate falle presenti nel sistema operativo o nelle applicazioni installate.
Nel caso segnalato, nel mirino ci sono in particolare versioni non aggiornate di iOS e di WhatsApp. L’intrusione può avvenire in maniera automatica e consentire ai criminali di arrivare al controllo dell’account. A quel punto il profilo della vittima può diventare uno strumento per mettere in atto ulteriori frodi.
Uno degli schemi descritti consiste nell’inviare messaggi ai contatti della persona colpita, fingendo una situazione di emergenza e chiedendo urgentemente denaro. Il fatto che la richiesta provenga apparentemente dall’account di un familiare, di un amico o di un conoscente può renderla molto più credibile.
Gli aggiornamenti di sicurezza
Sul fronte dei dispositivi Apple sono già stati messi a disposizione aggiornamenti di sicurezza destinati a correggere le vulnerabilità interessate. La raccomandazione è quindi quella di installare tempestivamente le versioni più recenti del software e di non rimandare gli aggiornamenti disponibili.
La stessa precauzione vale per WhatsApp: mantenere l’app aggiornata è una delle principali difese contro falle di sicurezza già individuate e corrette dagli sviluppatori.
I consigli della Polizia per difendersi
La Polizia raccomanda innanzitutto di verificare sempre l’identità di chi chiede denaro. Prima di effettuare bonifici o altri pagamenti è opportuno contattare direttamente la persona attraverso un canale differente, per esempio con una normale telefonata.
È importante inoltre controllare periodicamente la sezione dei dispositivi collegati a WhatsApp ed eliminare immediatamente eventuali computer o browser che non si riconoscono. Tra le altre precauzioni indicate figurano l’attivazione della verifica in due passaggi, la disattivazione del download automatico degli allegati e la protezione dello smartphone attraverso codice, Touch ID o Face ID.
Cosa fare se l’account WhatsApp viene rubato
Se non si riesce più ad accedere al proprio profilo, è fondamentale intervenire rapidamente. La prima cosa da fare è avvertire familiari, amici e altri contatti utilizzando telefonate, sms o piattaforme alternative, in modo che sappiano di non fidarsi di eventuali richieste di denaro ricevute dal profilo compromesso.
Parallelamente bisogna avviare subito le procedure ufficiali di recupero dell’account WhatsApp. Agire tempestivamente può limitare la diffusione della truffa e impedire che il furto dell’identità digitale della vittima venga utilizzato per colpire altre persone.