Truffe WhatsApp, nuova offensiva informatica: i criminali possono agire senza che l’utente clicchi

WhatsApp torna nel mirino dei cybercriminali. La Polizia di Stato segnala una nuova ondata di compromissioni degli account caratterizzata da modalità riconducibili ai cosiddetti attacchi “zero-click”, particolarmente insidiosi perché, in determinate circostanze, possono sfruttare vulnerabilità senza richiedere alcuna azione da parte della vittima.

L'allerta riguarda vulnerabilità individuate su versioni non aggiornate di iOS e di WhatsApp sui dispositivi Apple. Una volta ottenuto l'accesso a un account, i criminali possono utilizzarlo per contattare amici e familiari della vittima, fingendosi la persona conosciuta e arrivando a chiedere denaro con il pretesto di un'emergenza.

Un meccanismo che combina quindi attacco informatico e ingegneria sociale, facendo leva su fiducia, fretta e paura.

Perché gli attacchi “zero-click” preoccupano

La caratteristica più delicata di questa tipologia di attacco è proprio contenuta nel nome.

In alcuni casi, secondo quanto comunicato, l'utente non deve necessariamente aprire un link, scaricare volontariamente un file o premere un pulsante affinché la vulnerabilità possa essere sfruttata.

Questo rende ancora più importante mantenere costantemente aggiornati sia il sistema operativo del proprio smartphone sia l'applicazione WhatsApp.

L'assenza di un clic da parte della vittima, infatti, rende meno immediato accorgersi che qualcosa non va.

Account compromesso, poi parte la richiesta di denaro

Il secondo passaggio può essere ancora più pericoloso.

Una volta entrati nell'account WhatsApp, i criminali possono sfruttare l'identità della vittima per inviare messaggi ai suoi contatti.

Lo schema è quello ormai noto delle richieste urgenti: un problema improvviso, un pagamento da effettuare, una difficoltà momentanea e la necessità di ricevere rapidamente una somma di denaro.

Il messaggio, però, arriva da un account realmente appartenente a una persona conosciuta. Ed è proprio questo dettaglio a renderlo potenzialmente molto credibile.

La regola numero uno: verificare prima di pagare

La Polizia di Stato raccomanda innanzitutto di non effettuare alcun pagamento prima di aver verificato l'identità di chi lo richiede.

Se un familiare, un amico o una persona conosciuta scrive improvvisamente chiedendo soldi, soprattutto con toni urgenti, è fondamentale effettuare una verifica separata.

Il consiglio è contattare direttamente quella persona attraverso un altro numero, un altro dispositivo oppure, quando possibile, di persona.

Una semplice telefonata può interrompere sul nascere una truffa costruita sfruttando un account compromesso.

Aggiornare subito iPhone e WhatsApp

Altro punto fondamentale riguarda gli aggiornamenti.

La raccomandazione è mantenere sempre aggiornati sia iOS sia WhatsApp, installando le versioni più recenti disponibili.

Apple, secondo quanto riportato nell'avviso, è intervenuta con specifici aggiornamenti di sicurezza per risolvere le vulnerabilità segnalate.

Rimandare gli aggiornamenti, dunque, non significa soltanto rinunciare a nuove funzioni: in alcuni casi può significare lasciare aperta una porta a vulnerabilità già conosciute.

Controllare i dispositivi collegati

Un altro controllo molto semplice può essere effettuato direttamente dall'applicazione.

Gli utenti dovrebbero verificare periodicamente la sezione “Dispositivi collegati” di WhatsApp, dalla quale è possibile visualizzare le sessioni attive associate al proprio profilo.

Se compare un dispositivo non riconosciuto, è importante procedere immediatamente alla sua disconnessione.

È una verifica di pochi secondi che può aiutare a individuare accessi sospetti prima che vengano utilizzati per contattare altre persone.

Attivare la verifica in due passaggi

La Polizia raccomanda inoltre di attivare la verifica in due passaggi.

Si tratta di un livello aggiuntivo di protezione che rende più difficile per un soggetto esterno prendere il controllo dell'account.

Accanto a questa misura viene consigliato di limitare il download automatico di contenuti e allegati e di proteggere il dispositivo mediante codice di sicurezza, Touch ID o Face ID.

Piccoli accorgimenti che, sommati, possono alzare notevolmente il livello di protezione dell'utente.

Cosa fare se WhatsApp è già stato compromesso

Se ci si accorge che il proprio account WhatsApp è stato violato, una delle prime cose da fare è avvisare immediatamente i propri contatti.

Il motivo è semplice: i criminali potrebbero utilizzare l'account per inviare richieste di denaro fingendosi il titolare.

È quindi importante invitare amici e familiari a non rispondere e soprattutto a non effettuare pagamenti.

Parallelamente deve essere avviata la procedura di recupero dell'account.

L'ingegneria sociale resta l'arma decisiva

La tecnologia rappresenta soltanto una parte della truffa.

Una volta ottenuto l'accesso all'account, i criminali sfruttano soprattutto le emozioni umane: urgenza, preoccupazione, fiducia personale e desiderio di aiutare qualcuno vicino.

Una frase come «Ho bisogno di fare un pagamento subito» può sembrare plausibile se arriva dal numero e dal profilo di un amico o di un familiare.

È esattamente in quel momento che bisogna rallentare e verificare.

L’allerta della Polizia: mai pagare sulla fiducia

Il messaggio conclusivo è dunque molto semplice: una richiesta urgente di denaro ricevuta attraverso WhatsApp deve sempre essere verificata attraverso un canale diverso.

Aggiornamenti, autenticazione a due fattori e controllo dei dispositivi collegati rappresentano le difese tecnologiche. La prudenza resta però l'ultima barriera.

Perché nel nuovo scenario degli attacchi “zero-click”, il primo segnale visibile potrebbe non essere l'attacco stesso, ma proprio quel messaggio apparentemente innocuo inviato da una persona conosciuta che, all'improvviso, chiede soldi.