Potrebbe arrivare su WhatsApp un messaggio da un familiare o da un amico che conoscete davvero, all’interno di una conversazione già presente sul telefono, con una richiesta urgente di denaro. Il problema è che dall’altra parte potrebbe esserci un criminale informatico entrato nell’account della persona conosciuta. Una nuova ondata di compromissioni riconducibili ad attacchi “zero-click” interessa infatti WhatsApp e versioni non aggiornate di iOS sui dispositivi Apple, con una caratteristica che rende il fenomeno particolarmente difficile da riconoscere: in alcuni casi l’utente può essere colpito senza dover cliccare volontariamente su un collegamento.
Per chi usa quotidianamente WhatsApp per comunicare con figli, genitori, amici e colleghi cambia quindi anche il modo di riconoscere una possibile truffa. Non basta più controllare il numero da cui arriva il messaggio, perché l’account utilizzato potrebbe appartenere realmente alla persona indicata.
WhatsApp compromesso, la truffa può partire da un contatto autentico
Il meccanismo diventa pericoloso soprattutto dopo l’accesso abusivo. Chi riesce a compromettere un account può sfruttare il rapporto di fiducia esistente con i suoi contatti, inviando messaggi nei quali racconta un’emergenza e chiede un pagamento.
La situazione descritta può cambiare: un problema improvviso, la necessità di saldare una spesa, l’impossibilità momentanea di usare un conto oppure la richiesta di anticipare del denaro. A rendere convincente il messaggio è il mittente che compare sullo schermo.
Proprio per questo la verifica dell’identità diventa decisiva. Prima di effettuare qualsiasi trasferimento di denaro bisogna contattare direttamente la persona attraverso un sistema diverso, possibilmente telefonandole oppure utilizzando un altro numero o dispositivo. Quando è possibile, la conferma può essere fatta anche personalmente.
Un messaggio apparentemente normale proveniente da un conoscente non costituisce più, da solo, una garanzia sull’identità di chi sta scrivendo.
Cosa significa attacco “zero-click” e perché non serve necessariamente aprire un link
Le campagne di phishing alle quali gli utenti sono ormai abituati funzionano quasi sempre attraverso un’azione richiesta alla vittima. Arriva un link, viene chiesto di inserire le credenziali oppure compare l’invito ad aprire un allegato.
La modalità zero-click può seguire una strada diversa. Una vulnerabilità presente nel sistema operativo o nell’applicazione può essere sfruttata senza richiedere quella partecipazione diretta. Per questa ragione la prevenzione passa soprattutto dall’aggiornamento dei programmi utilizzati.
Nel caso delle compromissioni segnalate, l’attenzione riguarda versioni non aggiornate di iOS e WhatsApp sui dispositivi Apple. Apple ha già messo a disposizione aggiornamenti di sicurezza destinati a correggere le falle interessate.
Rinviare per settimane o mesi l’installazione degli aggiornamenti può quindi lasciare sul telefono vulnerabilità già corrette nelle versioni successive del software.
iPhone e WhatsApp, quattro controlli da fare sul proprio telefono
Il primo intervento riguarda gli aggiornamenti. È necessario verificare che iOS e WhatsApp siano entrambi alle versioni più recenti disponibili.
Un secondo controllo riguarda la sezione “Dispositivi collegati” presente nell’app. Da questa schermata è possibile vedere quali computer o altri dispositivi risultano associati all’account. Una sessione sconosciuta deve essere disconnessa immediatamente.
È consigliabile inoltre attivare la verifica in due passaggi di WhatsApp e l’autenticazione a due fattori dell’Apple Account. Si aggiungono le protezioni fisiche dello smartphone attraverso codice di accesso, Touch ID o Face ID.
Un’ulteriore precauzione riguarda il download automatico dei contenuti. Limitare l’apertura e il salvataggio automatico di file e allegati riduce l’esposizione a materiale non necessario e consente all’utente di mantenere maggiore controllo su ciò che riceve.
Se arriva una richiesta urgente di denaro, prima chiamate quella persona
La parte più importante della prevenzione riguarda però un comportamento molto semplice. Se un conoscente chiede soldi su WhatsApp, soprattutto quando sostiene di trovarsi in una situazione urgente, non bisogna basarsi esclusivamente sull’identità visualizzata nella chat.
Una telefonata di pochi minuti può evitare un bonifico effettuato alla persona sbagliata. È utile diffidare in particolare quando la conversazione spinge a fare presto, scoraggia le verifiche o fornisce coordinate di pagamento insolite rispetto alle abitudini della persona conosciuta.
Chi scopre che il proprio account è stato compromesso dovrebbe avvisare subito i contatti, specificando di non rispondere e di non inviare denaro in relazione a eventuali messaggi ricevuti. Contemporaneamente deve avviare la procedura di recupero dell’account e verificare tutti i dispositivi collegati.
Per richieste di assistenza e segnalazioni relative a episodi sospetti è possibile rivolgersi alla Polizia Postale attraverso il Commissariato di PS online.
La nuova ondata di attacchi conferma quanto WhatsApp sia diventato interessante per le frodi proprio perché concentra una parte consistente delle nostre relazioni quotidiane. Quando un criminale riesce a entrare in una conversazione utilizzando l’identità digitale di una persona conosciuta, la prima protezione resta una verifica fatta fuori da quella stessa chat.