Nuova vulnerabilità WhatsApp zero-click su dispositivi Apple non aggiornati

Scoperta una vulnerabilità zero-click su WhatsApp mette a rischio i dispositivi Apple non aggiornati. Dall'analisi tecnica alle strategie di difesa, l'articolo esamina rischi, conseguenze e raccomandazioni per tutelare dati e privacy.

Negli ultimi mesi diversi utenti Apple sono stati coinvolti in una nuova forma di attacco informatico. Gli esperti la definiscono «zero-click», perché la compromissione può avvenire senza che la vittima faccia clic, scarichi file o comunichi codici. È un passaggio rispetto ai tentativi più comuni di sottrarre account online, basati su un errore o su un’azione dell’utente.

L’allerta è arrivata dalla Polizia Postale, da team specializzati in digital forensics e dal Security Lab di Amnesty International. Le segnalazioni riguardano soprattutto WhatsApp utilizzato su dispositivi iOS privi degli aggiornamenti più recenti. Sotto osservazione sono quindi le versioni precedenti alle patch di sicurezza distribuite per il sistema operativo e per l’app.

Il meccanismo è semplice da descrivere e difficile da riconoscere: può bastare la ricezione di un messaggio manipolato. Una volta entrati nell’account, gli aggressori sfruttano la rubrica per contattare amici, parenti o colleghi e chiedere denaro fingendosi il titolare del numero. Le recenti segnalazioni tecnico-forensi impongono di rivedere alcune abitudini di sicurezza, anche quando l’utente non apre link e non risponde a messaggi sospetti.

Zero-click su iOS e WhatsApp: il significato e i rischi

Con zero-click si indica una categoria di attacchi che non richiede interazione. Nessun clic su un collegamento. Nessun download. Nessun codice da condividere. È proprio questo il punto: le precauzioni che di solito consentono di evitare una truffa possono non bastare, perché l’infezione si avvia prima che la persona abbia modo di intervenire.

Dal punto di vista tecnico, l’aggressore invia un contenuto costruito appositamente, per esempio un’immagine o un messaggio. iOS o WhatsApp lo elaborano automaticamente, anche in background, e la vulnerabilità può permettere l’esecuzione della sequenza malevola. In questo modo l’attaccante tenta di accedere ai dati del dispositivo e alle sessioni già attive.

Su prodotti Apple il problema è accentuato dall’integrazione tra hardware, sistema operativo e applicazioni. Quando queste componenti non sono aggiornate, la superficie esposta può diventare più ampia. Le tecniche zero-click sono note anche nell’ambito degli spyware di stato; l’ondata descritta nelle segnalazioni, però, ha raggiunto una platea molto più ampia di utenti comuni. L’obiettivo, in questi casi, è sottrarre l’account WhatsApp e usarne l’identità per avviare richieste di denaro fraudolente.

Gli esperti hanno rilevato che, davanti ad attacchi così sofisticati, anche la verifica in due passaggi e il controllo dei dispositivi collegati possono offrire una protezione meno efficace del previsto. Restano misure utili, ma non sostituiscono gli aggiornamenti richiesti dalla catena di vulnerabilità.

Le due falle coinvolte: CVE-2025-43300 e CVE-2025-55177

La compromissione descritta si basa sulla combinazione di due vulnerabilità registrate ufficialmente con i codici CVE-2025-43300 e CVE-2025-55177. Ognuna interviene su un componente diverso.

• CVE-2025-43300 interessa ImageIO, il framework Apple che gestisce le immagini su iOS. Un’immagine malformata può corrompere la memoria del dispositivo e avviare l’esecuzione malevola senza alcuna azione da parte dell’utente.
• CVE-2025-55177 riguarda WhatsApp su iOS e macOS. La falla consiste in un’autorizzazione incompleta dei messaggi utilizzati per la sincronizzazione tra dispositivi collegati. Un aggressore può quindi tentare di sincronizzare contenuti provenienti da indirizzi non autorizzati e ottenere accesso all’account.

Il successo dell’attacco dipende dalla concatenazione delle due falle. Fino ad agosto 2025, i dispositivi interessati avevano bisogno sia dell’aggiornamento di iOS sia di quello di WhatsApp per chiudere l’intera sequenza. Le correzioni sono disponibili, ma un dispositivo che rimane indietro continua a essere esposto, come indicato dalla documentazione tecnica e dalle comunicazioni di Meta e Apple.

Dispositivi Apple e versioni di iOS interessate

Non tutti gli iPhone sono coinvolti. Il gruppo indicato comprende gli iPhone dall’8 al 14, insieme ai modelli X, XR, XS, 11, SE, 12 e 13, quando utilizzano versioni di iOS precedenti alla 18.6.2. Sono coinvolte anche alcune versioni di iPadOS anteriori alla 17.7.10.

Il quadro sintetico è il seguente:

La situazione è più delicata per i dispositivi che non possono passare alle versioni più recenti o sui quali le patch pubblicate nell’agosto 2025 non sono ancora state installate. Sono considerati esclusi dall’attacco i dispositivi con iOS 18.6.2 o superiore e con una versione aggiornata di WhatsApp.

Una sola correzione non basta. Per interrompere la catena servono entrambe: l’aggiornamento del sistema Apple e quello dell’applicazione.

Come procede l’attacco e come viene usato l’account

Il primo passaggio è la ricezione di un contenuto alterato attraverso WhatsApp, in genere un’immagine. Da quel momento la sequenza può svilupparsi senza segnali evidenti:

• il dispositivo elabora automaticamente il file ricevuto e sfrutta la falla presente in ImageIO;
• l’aggressore ottiene l’accesso alle chiavi della sessione WhatsApp senza che il proprietario se ne accorga;
• la seconda vulnerabilità viene utilizzata per sincronizzare il dispositivo dell’attaccante con l’account della vittima, anche aggirando la verifica in due passaggi.

Nella grande maggioranza dei casi, indicata nel testo tecnico come 99%, la compromissione non lascia tracce visibili. La sezione «dispositivi collegati» può non mostrare sessioni anomale e l’utente può non ricevere avvisi relativi a un accesso sospetto. Nel frattempo gli aggressori iniziano a scrivere ai contatti recenti, spesso con richieste di denaro motivate da presunte emergenze.

Le indagini tecniche indicano che l’attaccante accede soltanto a una parte delle chat, soprattutto alle conversazioni recenti. Il limite non elimina il pericolo. Una richiesta inviata rapidamente a persone che conoscono e si fidano del titolare dell’account può essere sufficiente a provocare un danno economico.

Account compromesso: segnali da non ignorare

Riconoscere presto l’intrusione può ridurre le conseguenze. Nessun singolo indizio dimostra da solo che l’account sia stato violato, ma alcuni segnali meritano una verifica:

• un contatto comunica di aver ricevuto dal proprio numero una richiesta di denaro mai inviata;
• compaiono messaggi segnati come letti o conversazioni aperte che l’utente non ha consultato;
• WhatsApp resta attivo in background anche quando non viene utilizzato;
• il dispositivo diventa instabile, si surriscalda senza una causa evidente oppure consuma la batteria più rapidamente del solito;
• la lista dei dispositivi collegati appare normale o non contiene elementi, senza mostrare accessi sconosciuti;
• in casi rari, Meta invia una notifica diretta che segnala un possibile rischio per l’account.

La combinazione di più anomalie richiede attenzione immediata. Anche in quel caso occorre evitare conclusioni affrettate: i sintomi descritti possono avere anche altre cause.

Le indicazioni di Apple, Meta e Polizia Postale

Le fonti ufficiali citate convergono su alcune misure pratiche. La prima riguarda gli aggiornamenti: sistema operativo e WhatsApp devono essere portati alle versioni più recenti disponibili, seguendo le comunicazioni di Apple e Meta relative alle CVE indicate.

• Controllare con regolarità la voce «dispositivi collegati» e chiudere le sessioni che non si riconoscono.
• Attivare la verifica in due passaggi su WhatsApp, così da aggiungere un ulteriore livello di protezione.
• Disabilitare il download automatico di contenuti e allegati non richiesti.
• Quando arriva una richiesta di denaro, chiamare direttamente il mittente e verificarne l’identità attraverso un canale diverso da WhatsApp.

Queste raccomandazioni sono state diffuse attraverso comunicati della Polizia Postale italiana, di Apple e di Meta, oltre che nei principali security advisory internazionali. Non eliminano ogni rischio, ma riducono la possibilità di compromissione e limitano l’impatto di molte truffe collegate.

Gli aggiornamenti da installare su sistema e applicazione

L’aggiornamento tempestivo resta la misura più efficace contro questa catena di vulnerabilità. Su iPhone e iPad la verifica si esegue aprendo Impostazioni, poi Generali e infine Aggiornamento Software.

• Portare iOS o iPadOS all’ultima versione disponibile, installando almeno iOS 18.6.2 o iPadOS 17.7.10, secondo il dispositivo utilizzato.
• Aggiornare WhatsApp attraverso lo store ufficiale.
• Non fermarsi a una sola delle due operazioni: le versioni aggiornate di sistema e app devono essere presenti insieme.

Per le persone considerate ad alto rischio, tra cui imprenditori, giornalisti e amministratori pubblici, le fonti ufficiali suggeriscono anche di valutare la Lockdown Mode, cioè la modalità di isolamento. Chat e informazioni particolarmente riservate possono essere protette con un codice o con Face ID.

Verifica in due passaggi e dispositivi collegati

La verifica in due passaggi, o 2FA, blocca molti tentativi di accesso non autorizzato. Non è però una barriera assoluta: nella configurazione più sofisticata dell’attacco zero-click può essere aggirata. Per questo va affiancata all’aggiornamento e al controllo delle sessioni.

• Aprire WhatsApp e seguire il percorso Impostazioni > Account > Verifica in due passaggi.
• Impostare un indirizzo email sicuro per recuperare il PIN.
• Esaminare con frequenza l’elenco dei dispositivi collegati.
• Eliminare ogni sessione inattesa o non riconosciuta.

2FA e monitoraggio delle sessioni lavorano su fronti diversi. Insieme riducono l’esposizione alle truffe tradizionali e aumentano la protezione nel caso emergano vulnerabilità nuove, non ancora note.

Cosa fare quando l’account è già stato violato

Di fronte a segnali concreti, il tempo conta. La prima necessità è impedire che altri contatti si fidino dei messaggi inviati dall’account compromesso.

• Avvisare subito tutti i contatti usando SMS, telefonate o email, chiedendo di ignorare le richieste sospette.
• Avviare il recupero dell’account da WhatsApp attraverso la verifica del numero.
• Una volta ripreso il controllo, aggiornare il sistema operativo e l’applicazione.
• Ricorrere al ripristino completo del dispositivo, il reset factory, soltanto quando necessario, per eliminare eventuali componenti software persistenti.

Apple e Meta indicano che la reinstallazione di WhatsApp interrompe la sessione clonata. Da sola, però, non risolve la vulnerabilità del sistema operativo: l’aggiornamento resta indispensabile. Nei casi più seri è opportuno rivolgersi a un tecnico per una verifica forense del dispositivo.

Conseguenze per privati, professionisti e aziende

La sottrazione dell’account non produce soltanto messaggi fraudolenti. Per un utente privato può significare perdere il controllo di dati personali, conversazioni e rapporti di fiducia. La rubrica diventa uno strumento per raggiungere amici e parenti; le chat recenti possono fornire dettagli utili a rendere credibile una richiesta di denaro.

In ambito professionale il danno può essere più ampio. Un account compromesso può esporre conversazioni con clienti, informazioni su progetti, accordi e transazioni finanziarie. Le segnalazioni hanno riguardato anche giornalisti, consulenti e operatori del settore pubblico, con conseguenze sulla gestione dei dati e della riservatezza.

Il problema non si esaurisce nell’eventuale truffa immediata. I dati sottratti possono essere riutilizzati in altre campagne malevole, con ricadute legali e reputazionali per le persone coinvolte e per le imprese.

Segnalazioni e assistenza dopo un incidente

Chi sospetta un attacco può utilizzare i canali indicati dalle fonti ufficiali:

• Polizia Postale: il sito del Commissariato di PS Online mette a disposizione il canale ufficiale per segnalazioni e richieste di assistenza, senza che siano indicati nel testo specifici URL;
• Assistenza Apple: i canali di supporto dell’azienda possono fornire indicazioni su sicurezza e aggiornamenti;
• Supporto Meta per WhatsApp: si trova nelle impostazioni dell’app, alla voce «Aiuto».

Per una valutazione più tecnica o per una perizia forense ci si può rivolgere a operatori indipendenti di digital forensics, specializzati nell’analisi dei dispositivi e nella verifica di compromissioni avanzate.

Domande frequenti sugli attacchi zero-click a WhatsApp

• WhatsApp può essere compromesso senza un’azione dell’utente?
  Sì. In un attacco zero-click la semplice ricezione di un contenuto manipolato può attivare la vulnerabilità.
• Quali versioni di iOS sono esposte?
  Quelle precedenti a iOS 18.6.2, insieme alle corrispondenti versioni di iPadOS, in particolare sui modelli compresi tra iPhone 8 e iPhone 14.
• È sufficiente aggiornare WhatsApp?
  No. Devono essere aggiornati sia iOS o iPadOS sia WhatsApp, perché la catena coinvolge entrambi i livelli.
• Come si capisce se l’account è stato clonato?
  Il segnale più diretto è che i contatti ricevano messaggi o domande di denaro mai inviati dal titolare. Possono comparire anche attività anomala in background e irregolarità nell’elenco delle sessioni collegate.
• La verifica in due passaggi protegge completamente?
  No. È efficace contro molti tentativi, ma la vulnerabilità descritta può consentirne il superamento in circostanze specifiche.
• Disinstallare e reinstallare WhatsApp risolve?
  La procedura interrompe la sessione clonata se viene accompagnata dall’aggiornamento del sistema operativo. Senza la patch di iOS o iPadOS, la vulnerabilità resta presente e l’attacco può ripetersi.

Proteggere i dispositivi Apple richiede interventi coordinati

Per ridurre il rischio di compromissione, aggiorna contemporaneamente iOS o iPadOS e WhatsApp: una sola patch non interrompe l’intera catena di vulnerabilità.

• Controlla regolarmente i dispositivi collegati e disconnetti le sessioni che non riconosci.
• Mantieni attiva la verifica in due passaggi, pur considerandola una protezione aggiuntiva e non sostitutiva degli aggiornamenti.
• Verifica tramite telefonata o un altro canale ogni richiesta urgente di denaro ricevuta dai contatti.
• Se sospetti una compromissione, avvisa subito le persone interessate, recupera l’account e chiedi assistenza qualificata nei casi più complessi.