WhatsApp compromesso senza cliccare: come funziona il nuovo attacco zero-click su iPhone
Nessun link aperto. Nessun codice comunicato. Nessun QR Code scansionato. Nessun dispositivo sconosciuto collegato. Eppure qualcuno può riuscire a utilizzare WhatsApp al posto della vittima.
Immaginate di ricevere una telefonata da un amico o da un familiare:
«Perché mi hai chiesto di farti un bonifico?»
Il problema è che voi non avete chiesto alcun bonifico.
Aprite WhatsApp, controllate le conversazioni e soprattutto verificate la sezione “Dispositivi collegati”.
Tutto sembra normale.
Nessun computer sconosciuto.
Nessuna sessione WhatsApp Web.
Nessun secondo smartphone.
Eppure qualcuno sta apparentemente utilizzando il vostro account e scrivendo ai vostri contatti.
È uno scenario molto diverso dalle tradizionali frodi WhatsApp e introduce un concetto con il quale dovremo probabilmente imparare sempre più a confrontarci: l’attacco zero-click.
Attacco Zero Click: cosa significa zero-click?
La maggior parte delle truffe informatiche richiede normalmente la collaborazione della vittima.
L’utente deve:
cliccare un link;
aprire un allegato;
comunicare un codice;
installare un’app;
scansionare un QR Code;
inserire le proprie credenziali.
Un attacco zero-click può invece sfruttare una vulnerabilità durante la normale elaborazione automatica di un contenuto da parte dello smartphone.
In altre parole, la vittima potrebbe non dover fare nulla.
Una normale applicazione di messaggistica deve infatti elaborare automaticamente immagini, anteprime, metadati, URL e informazioni di sincronizzazione.
Se uno di questi processi contiene una vulnerabilità, un contenuto appositamente costruito può diventare un possibile vettore di attacco.
Apple ha confermato, ad esempio, che la vulnerabilità CVE-2025-43300 nel framework ImageIO può determinare una corruzione della memoria durante l’elaborazione di un’immagine malevola.
Non è il classico “ghost pairing”
Negli ultimi anni una delle tecniche più diffuse contro WhatsApp è stata quella di convincere la vittima ad associare inconsapevolmente un nuovo dispositivo.
L’attaccante può cercare di ottenere:
un QR Code;
un codice di verifica;
un’autorizzazione;
l’associazione di WhatsApp Web.
In quel caso esiste normalmente un nuovo dispositivo associato all’account.
Nel possibile scenario zero-click la dinamica è diversa.
L’utente potrebbe non aver autorizzato nulla e, soprattutto, la sezione “Dispositivi collegati” potrebbe non mostrare necessariamente un accesso evidente.
Questo rende la compromissione molto più difficile da individuare.
Il problema non è necessariamente la crittografia di WhatsApp
È importante chiarire un punto.
Un attacco di questo tipo non significa necessariamente che sia stata violata la crittografia end-to-end di WhatsApp.
La crittografia protegge il messaggio durante il trasferimento.
Ma se viene compromesso uno degli endpoint — cioè il dispositivo sul quale il messaggio viene letto e decifrato — il problema si sposta prima o dopo la cifratura.
È uno dei principi fondamentali della sicurezza informatica:
un canale può essere perfettamente cifrato, ma rimane vulnerabile se uno degli endpoint viene compromesso.
Perché gli aggiornamenti sono fondamentali
Apple ha corretto CVE-2025-43300 attraverso diversi aggiornamenti di sicurezza; per iPhone 8, iPhone 8 Plus e iPhone X la correzione è inclusa in iOS 16.7.12.
Questo evidenzia un errore molto comune:
“Il telefono funziona ancora bene, quindi non ho bisogno di aggiornarlo.”
Gli aggiornamenti non servono soltanto a introdurre nuove funzionalità.
Molto spesso contengono correzioni di vulnerabilità che, una volta rese pubbliche, possono diventare sempre più interessanti per chi sviluppa exploit.
Cosa fare subito
La prima misura è semplice:
aggiornare iOS e WhatsApp all’ultima versione disponibile per il proprio dispositivo.
Apple indica l’aggiornamento da:
Impostazioni → Generali → Aggiornamento Software.
È inoltre opportuno:
controllare periodicamente i dispositivi collegati a WhatsApp;
utilizzare la verifica in due passaggi;
proteggere le conversazioni più sensibili;
valutare la Modalità Isolamento per soggetti particolarmente esposti;
verificare attraverso un canale differente le richieste improvvise di pagamento.
Un bonifico richiesto su WhatsApp? Telefonate!
È probabilmente la misura più semplice e più efficace.
Se un familiare, un collega o un cliente vi chiede improvvisamente denaro attraverso WhatsApp:
non verificate la richiesta limitandovi a continuare la conversazione nella stessa chat.
Se l’account fosse compromesso, potreste semplicemente continuare a parlare con l’attaccante.
Utilizzate un secondo canale.
La soluzione più immediata è una telefonata.
E se sospetto che il telefono sia già stato compromesso?
In quel caso bisogna distinguere tra:
mettere rapidamente in sicurezza il dispositivo e capire cosa sia realmente accaduto.
Reset, reinstallazioni e cancellazioni possono essere utili per la sicurezza immediata, ma possono anche distruggere informazioni importanti per una successiva analisi.
Quando esiste un sospetto concreto di compromissione, può quindi essere opportuno valutare prima la preservazione delle evidenze digitali.
Nel prossimo approfondimento vedremo come due vulnerabilità — CVE-2025-43300 e CVE-2025-55177 — possano teoricamente comporre una catena di attacco zero-click su WhatsApp.
Approfondimenti sui prossimi articoli:
CVE-2025-43300 e CVE-2025-55177: come funziona una catena zero-click
Sessioni fantasma, resync e analisi forense di WhatsApp
