⚠️ WhatsApp, attenzione agli attacchi ZERO-CLICK: puoi essere compromesso senza cliccare nulla
Potresti ricevere un messaggio da un tuo contatto WhatsApp che ti chiede dei soldi. Il problema? Quel messaggio potrebbe non essere stato scritto da lui.
E c'è un dettaglio ancora più inquietante: in alcuni casi documentati, l'utente non ha cliccato link, non ha scansionato QR code e non ha autorizzato manualmente nuovi dispositivi.
È questo il concetto alla base degli attacchi zero-click.
Che cosa significa ZERO-CLICK?
Normalmente, quando parliamo di un attacco informatico, immaginiamo una vittima che deve fare qualcosa:
cliccare su un link;
aprire un allegato;
installare un'applicazione;
inserire una password;
scansionare un QR code;
comunicare un codice di verifica.
In un attacco zero-click, invece, l'interazione dell'utente può non essere necessaria.
L'attaccante sfrutta una vulnerabilità presente nel software, nel sistema operativo o nella gestione di determinati dati ricevuti dal dispositivo.
In altre parole:
non devi necessariamente cliccare qualcosa per essere attaccato.
Ed è proprio questo che rende gli zero-click particolarmente insidiosi.
Il caso WhatsApp: quando il tuo account può essere utilizzato per chiedere soldi
Nel 2026 sono stati segnalati casi di compromissione di account WhatsApp su iPhone nei quali gli account delle vittime hanno iniziato a inviare messaggi ai propri contatti chiedendo denaro.
Il meccanismo è estremamente efficace perché sfrutta la fiducia.
Immagina di ricevere:
"Ciao, ho bisogno di un favore. Puoi prestarmi 500 euro? Te li restituisco domani."
Se il messaggio arriva da tua madre, tuo fratello, un collega o un amico, potresti essere molto meno sospettoso rispetto a una richiesta proveniente da un numero sconosciuto.
Il CERT-AGID ha documentato proprio la diffusione di campagne WhatsApp nelle quali gli account compromessi vengono utilizzati per contattare amici, familiari e colleghi chiedendo denaro con messaggi urgenti.
Il problema, quindi, non è necessariamente che qualcuno voglia leggere tutte le tue conversazioni.
A volte è sufficiente prendere il controllo del tuo account per utilizzarlo come strumento di frode.
La parte più inquietante: "Dispositivi collegati" potrebbe non bastare
Questa è probabilmente la parte più importante da capire.
Molti utenti, quando sospettano che qualcuno abbia preso il controllo del proprio WhatsApp, fanno una verifica:
WhatsApp → Impostazioni → Dispositivi collegati
È una verifica corretta.
Ma non bisogna trasformarla in una garanzia assoluta.
In una campagna zero-click descritta nel 2026, alcuni utenti iPhone hanno riferito che il proprio account inviava messaggi senza autorizzazione mentre nella sezione Dispositivi collegati non risultavano sessioni sospette. L'analisi pubblicata da Security Affairs descrive proprio casi in Italia associati a iPhone con iOS 16.
Questo significa una cosa molto semplice:
se non vedi un dispositivo sconosciuto, non puoi concludere automaticamente che il telefono sia certamente integro.
La verifica dei dispositivi collegati rimane importante, ma non è un test forense del dispositivo.
Come può funzionare un attacco ZERO-CLICK?
Senza entrare nei dettagli tecnici necessari per replicare un attacco, il principio è relativamente semplice.
Un'applicazione come WhatsApp deve continuamente elaborare enormi quantità di dati:
messaggi;
immagini;
video;
documenti;
chiamate;
notifiche;
contenuti multimediali;
dati provenienti dalla rete.
Se esiste una vulnerabilità nel modo in cui una determinata versione dell'applicazione o del sistema operativo elabora uno di questi dati, un aggressore può tentare di sfruttarla.
L'utente potrebbe quindi non vedere nessuna pagina sospetta.
Nessun:
"Clicca qui."
Nessun:
"Scarica questo file."
Nessun:
"Inserisci il codice."
Ed è proprio questa la differenza fondamentale rispetto alle classiche campagne di phishing.
Attenzione: ZERO-CLICK non significa che ogni WhatsApp sia facilmente attaccabile
Questo punto va chiarito per evitare allarmismi inutili.
Dire che esistono attacchi zero-click non significa che chiunque possa prendere il controllo di qualsiasi account WhatsApp semplicemente inviando un messaggio.
Gli attacchi zero-click normalmente richiedono condizioni tecniche specifiche, vulnerabilità determinate e, in alcuni casi, strumenti e capacità molto avanzate.
Inoltre, molte delle campagne che circolano su WhatsApp continuano a richiedere l'interazione dell'utente.
Per esempio, una delle truffe osservate nel 2026 utilizza il pretesto di un concorso e convince la vittima a cliccare un link e successivamente ad autorizzare un nuovo dispositivo. In questo caso non siamo davanti a un vero zero-click, ma a una sofisticata tecnica di social engineering.
La distinzione è fondamentale.
Cosa devi fare adesso
La prima regola è banale, ma è anche quella che viene ignorata più spesso:
1. Aggiorna iOS
Se utilizzi un iPhone, controlla immediatamente se sono disponibili aggiornamenti di sistema.
Impostazioni → Generali → Aggiornamento Software
Non rimandare gli aggiornamenti di sicurezza senza una buona ragione.
2. Aggiorna WhatsApp
Apri l'App Store e verifica che WhatsApp sia aggiornato all'ultima versione disponibile per il tuo dispositivo.
Un'applicazione di messaggistica utilizzata quotidianamente è una superficie di attacco importante.
Tenere una versione vecchia semplicemente perché "funziona ancora" non è una strategia di sicurezza.
3. Controlla i Dispositivi collegati
Apri:
WhatsApp → Impostazioni → Dispositivi collegati
Se trovi un dispositivo che non riconosci, disconnettilo.
Questa verifica è importante soprattutto perché le campagne di takeover tradizionali possono utilizzare proprio le sessioni dei dispositivi collegati per mantenere l'accesso all'account. Il CERT-AGID raccomanda di verificare e disconnettere le sessioni attive in caso di compromissione.
Ma ricorda:
un elenco pulito non è una certificazione che il telefono non sia stato compromesso.
4. Attiva la verifica in due passaggi
WhatsApp mette a disposizione la verifica in due passaggi.
È un ulteriore livello di protezione dell'account e dovrebbe essere attivo.
Non è una soluzione magica contro ogni vulnerabilità zero-click, ma riduce il rischio di alcuni scenari di compromissione dell'account.
E se il tuo WhatsApp sta già inviando messaggi che non hai scritto?
Qui bisogna smettere di fare semplici controlli superficiali.
Se i tuoi contatti ti dicono:
"Mi hai appena chiesto dei soldi?"
oppure:
"Perché mi hai mandato quel messaggio?"
e tu non hai inviato nulla, considera la situazione come un possibile incidente di sicurezza.
Non limitarti a cambiare la fotografia del profilo o la password dell'email.
Devi verificare almeno:
versione di iOS;
versione di WhatsApp;
dispositivi collegati;
verifica in due passaggi;
eventuali comportamenti anomali del dispositivo;
eventuali altre applicazioni o profili che non riconosci;
eventuali comunicazioni di sicurezza ricevute da Apple o WhatsApp.
E soprattutto avvisa immediatamente i tuoi contatti.
Se qualcuno sta utilizzando il tuo account per chiedere denaro, il danno non riguarda soltanto te.
Riguarda anche le persone che si fidano di te.
Il vero problema degli attacchi ZERO-CLICK
La sicurezza informatica è spesso raccontata come una questione di attenzione:
"Non cliccare link strani."
È un consiglio corretto.
Ma è incompleto.
Perché protegge soprattutto dagli attacchi che richiedono un errore umano.
Gli zero-click introducono un'altra categoria di rischio:
la vulnerabilità può trovarsi nel software che stai utilizzando.
Ed è per questo che aggiornare il sistema operativo e le applicazioni non è una semplice questione di comodità.
È una misura di sicurezza.
WhatsApp stessa sta inoltre sviluppando nuove funzionalità di protezione dalle truffe, tra cui Scam Alert, un sistema opzionale basato su elaborazione direttamente sul dispositivo per individuare alcuni schemi tipici delle conversazioni fraudolente. Meta ha iniziato un rollout limitato in beta nell'agosto 2026.
Conclusione
La cosa più pericolosa di un attacco zero-click non è necessariamente ciò che vedi.
È ciò che non vedi.
Nessun link.
Nessun QR code.
Nessuna richiesta sospetta.
Nessun messaggio apparentemente pericoloso.
E in alcuni scenari documentati, nemmeno un dispositivo sconosciuto immediatamente visibile nell'elenco delle sessioni WhatsApp.
Per questo, se utilizzi WhatsApp per comunicazioni personali o professionali, la regola è semplice:
aggiorna iOS, aggiorna WhatsApp e non considerare mai un singolo controllo come prova definitiva che il dispositivo sia sicuro.
Perché nel mondo della sicurezza informatica c'è una differenza enorme tra:
"Non vedo nulla di strano."
e
"Ho verificato che non c'è nulla di strano."
E quando si parla di uno smartphone, le due cose non sono affatto la stessa cosa.
Nello Di Savio
Cyber Security & Digital Security
nellodisavio.com