Whatsapp può essere hackerata a insaputa dell’utente su smartphone non aggiornati: come difendersi

Negli ultimi mesi decine di account WhatsApp sono stati compromessi in Italia attraverso una tecnica insidiosa e inquietante, documentata da Antonio De Bortoli, tecnico informatico specializzato in informatica forense, le cui analisi si affiancano a quelle del team Forenser e del perito Paolo Da Checco, convergendo su un quadro preoccupante. Un attacco definito “zero click”: un tipo di intrusione che colpisce il dispositivo della vittima senza che quest'ultima compia alcuna azione sospetta. Niente phishing, niente malware, niente ingegneria sociale. L'account viene compromesso in modo silenzioso, e la vittima lo scopre quasi sempre solo quando amici e conoscenti iniziano a rispondere a richieste di denaro che non ha mai inviato. Il meccanismo tecnico sottostante è stato parzialmente chiarito dagli esperti, ma il punto d'ingresso dell'attacco resta, ad oggi, del tutto sconosciuto. Vediamo, in ogni caso, come funziona l’attacco, chi colpisce e, soprattutto, quali sono le misure raccomandate dagli esperti per difendersi.

Quando l'attacco non lascia tracce

Siamo abituati a pensare che un attacco informatico richieda sempre un errore della vittima: un click su un link malevolo, un allegato scaricato frettolosamente, un codice condiviso per sbaglio. Le recenti indagini condotte dal team di Forenser – studio di informatica forense diretto da Paolo Dal Checco – e dal tecnico informatico forense Antonio De Bortoli dimostrano invece l'esistenza di attacchi definiti “zero click”, capaci di violare un profilo senza che la vittima compia alcuna azione.

Tutto è iniziato con una serie di segnalazioni arrivate nell'arco della stessa giornata: utenti che scoprivano, dai messaggi di risposta dei propri contatti, di aver apparentemente chiesto dei bonifici. Il fatto più sconcertante è che nella sezione “Dispositivi collegati” di WhatsApp non risultasse alcun accesso estraneo. Eppure era palese che qualcuno stava scrivendo a loro nome.

Chi è nel mirino: iPhone con iOS 16

Mettendo a confronto i diversi casi, il team di Forenser ha individuato un pattern comune a tutti: i dispositivi colpiti erano quasi esclusivamente degli iPhone – vari modelli dall'8 al 14, incluse le varianti X, XR, XS, 11, SE, 12 e 13 – su cui era installata una versione obsoleta del sistema operativo: iOS 16.

La ricerca ha portato all'identificazione di due vulnerabilità: la CVE-2025-43300, legata al modo in cui iOS 16 elabora le immagini attraverso una libreria di sistema, e la CVE-2025-55177, una falla in WhatsApp per iOS e macOS che poteva consentire il parsing di contenuti da URL arbitrari tramite messaggi di sincronizzazione non correttamente autorizzati. La catena delle due falle abilitava un attacco di tipo zero-click in cui la vittima non deve compiere alcuna azione per essere compromessa.

Come funziona la sessione fantasma

In condizioni normali, WhatsApp consente di associare a uno smartphone principale fino a quattro dispositivi secondari. In questi casi, invece, l'intrusione non avviene attraverso un dispositivo aggiuntivo visibile: l'attaccante riesce ad avviare una seconda sessione primaria parallela.

Analizzando i log forensi dei dispositivi colpiti, è emersa una sequenza anomala e continua di eventi di “resync”, come se l'applicazione stesse costantemente rinegoziando la sessione con i server di WhatsApp. Questo non è normale: accade quando qualcun altro tenta in parallelo di mantenere attiva una propria sessione sullo stesso account.

Il risultato è una race condition, ovvero un conflitto continuo in cui due processi competono per la stessa risorsa. Il server di WhatsApp riconosce due connessioni valide e ne mantiene attiva solo una alla volta, scambiando il controllo dell'account tra il telefono della vittima e quello dell'attaccante ogni pochi secondi. Se un messaggio viene inviato durante la finestra in cui l'aggressore ha il controllo, la chat non compare sul telefono della vittima: rimane completamente invisibile.

VPN estera e messaggi automatici

Le indagini hanno confermato che almeno uno degli account compromessi disponeva già della verifica in due passaggi attiva prima dell'intrusione: ciò dimostra che questa misura di protezione, pur essendo utile, non è sufficiente a contrastare tutti gli scenari di attacco.

Dall'analisi del traffico di rete è emerso l'uso di una VPN localizzata a Hong Kong. Un altro dettaglio rivelatore: le risposte inviate ai contatti non erano scritte da un essere umano, ma gestite da un algoritmo con risposte predefinite. Il sistema, infatti, non era in grado di mantenere il filo logico della conversazione non appena l'interlocutore usciva dai binari prestabiliti.

Come capire se il vostro account è compromesso

Identificare l'esatto vettore d'ingresso resta complesso, poiché sui telefoni esaminati non sono state trovate tracce di file malevoli né anomalie evidenti nei log di sistema. Esistono tuttavia tre verifiche empiriche che possono fornire indicazioni utili.

• Sezione “Dispositivi collegati” vuota. Se la lista è totalmente pulita ma i contatti ricevono comunicazioni insolite a vostro nome, una sessione parallela potrebbe essere attiva.
• Errore ripetuto su WhatsApp Web. Se tentando di connettere WhatsApp Web compare sistematicamente un errore di connessione nonostante la rete sia stabile, è probabile che lo stream sia conteso lato server.
• Il test della modalità aereo. Attivando la modalità aereo, se un contatto vede comparire la doppia spunta di ricezione su un messaggio inviato in quel momento, significa che qualcun altro lo sta ricevendo al posto vostro.

Cosa fare per proteggersi (e per interrompere l'attacco)

Passiamo, ora, alle misure da adottare per proteggersi. La contromisura più efficace è sicuramente quella di aggiornare iOS, tenendo conto che le versioni precedenti alla 16.7.12 risultano vulnerabili. Forenser raccomanda inoltre di attivare la modalità di isolamento di iOS (in Impostazioni > Privacy e sicurezza > Modalità di isolamento) per ridurre la superficie d'attacco. Mentre aggiornare o reinstallare WhatsApp con una nuova autenticazione risulta efficace per interrompere l'eventuale sessione non autorizzata.

non perderti questo articolo

Come attivare le nuove chat in incognito su Whatsapp con Meta AI e cosa cambia