Gli attacchi zero-click su WhatsApp sono tornati d’attualità alla fine di agosto 2026, quando la Polizia Postale ha segnalato una “nuova ondata” di account compromessi su iPhone con versioni non aggiornate di iOS e dell’app. Zero-click significa che la vittima non deve fare nulla: nessun link da cliccare, nessun codice da passare a qualcuno. Il bersaglio sono i telefoni rimasti indietro con gli aggiornamenti, e chi paga il conto spesso non è il proprietario dell’account ma i suoi contatti, che ricevono richieste di denaro da un amico che non sta scrivendo davvero.
I casi analizzati riguardano iPhone rimasti su iOS 16, anche modelli recenti come l’11, il 12 o il 13 che avrebbero potuto installare iOS 26. L’attaccante clona la sessione di WhatsApp senza comparire tra i dispositivi collegati, poi scrive ai contatti chiedendo soldi. La difesa principale è aggiornare iOS all’ultima versione disponibile per il proprio modello: aggiornare solo WhatsApp non basta. Chi riceve una richiesta di denaro da un conoscente deve verificarla con una telefonata.
Indice
- Cosa sta succedendo
- Come funziona l’attacco
- Quali iPhone sono a rischio: la tabella
- Il controllo da fare in cinque minuti
- Se l’account è già stato violato
- Chi perde davvero i soldi
- Domande frequenti
Cosa sta succedendo
Il 28 agosto la Polizia Postale ha pubblicato sul sito del Commissariato di PS online un avviso su una nuova ondata di compromissioni di account WhatsApp “riconducibili” ad attacchi zero-click. Le vulnerabilità sfruttate, spiega l’avviso, riguardano versioni non aggiornate di iOS e di WhatsApp sugli iPhone, e Apple le ha già corrette con aggiornamenti di sicurezza. Il giorno dopo la Polizia di Stato ha rilanciato l’allarme aggiungendo il consiglio di non comunicare mai codici e PIN.
L’avviso non indica numeri né le falle specifiche. Le informazioni tecniche più dettagliate vengono da Forenser, uno studio italiano di informatica forense che segue i casi da maggio, e dal CERT nazionale spagnolo, che il 28 agosto ha pubblicato una scheda sugli attacchi senza interazione contro iPhone con iOS 16. Il quadro che ne esce è coerente, con una cautela che vale per tutto l’articolo: né Apple né Meta hanno confermato ufficialmente quali falle siano state usate in questa campagna.
Attenzione a non confondere questa ondata con altre truffe dello stesso periodo. I venti casi denunciati ad Agrigento tra agosto e settembre, per esempio, riguardano la truffa del finto voto: un messaggio chiede di votare per un conoscente in un concorso, poi il numero di telefono e un codice a sei cifre. Lì la vittima consegna il codice, quindi non è zero-click, e il rischio vale anche per Android. Un meccanismo ancora diverso è il GhostPairing, che abbiamo spiegato nell’articolo su la truffa che ruba l’account senza password.
Come funziona l’attacco
Nei casi analizzati da Forenser tutte le vittime avevano un iPhone con iOS 16, su modelli che vanno dall’8 al 14. Nessuna aveva inquadrato un codice QR o condiviso un codice, e nella sezione “Dispositivi collegati” di WhatsApp non compariva nulla di strano. Nei registri del telefono, però, c’erano una sequenza continua di sincronizzazioni e diversi errori della libreria di sistema che elabora le immagini.
L’ipotesi dei periti è che l’attacco combini due falle già note. La prima, CVE-2025-43300, è un difetto di ImageIO, il componente di iOS che apre le immagini: un file costruito ad arte corrompe la memoria del telefono, e Apple l’aveva segnalata come sfruttata “in un attacco estremamente sofisticato”. La seconda, CVE-2025-55177, riguarda il modo in cui WhatsApp gestiva i messaggi di sincronizzazione tra dispositivi. Messe insieme, permetterebbero di estrarre dal telefono le chiavi della sessione di WhatsApp e di avviare un secondo client che usa lo stesso account. I due client si contendono la sessione e il proprietario non vede nulla.
Il dettaglio più importante arriva da un secondo test di Forenser, pubblicato il primo settembre: lo scenario funziona anche con l’ultima versione di WhatsApp disponibile in quel momento. La porta d’ingresso è il sistema operativo vecchio. Aggiornare l’app è utile, ma senza aggiornare iOS il telefono resta esposto.
Quali iPhone sono a rischio: la tabella
La buona notizia è che la falla di iOS sospettata è stata corretta su tutti i rami ancora in uso: con iOS 18.6.2 nell’agosto 2025, con iOS 16.7.12 e 15.8.5 nel settembre 2025. Nessun iPhone su cui gira WhatsApp è quindi rimasto senza correzione. Il problema sono i telefoni che quegli aggiornamenti non li hanno mai installati.
| Modello di iPhone | Ultima versione di iOS installabile | Falla di ImageIO corretta | WhatsApp funziona |
|---|---|---|---|
| 11 e successivi, SE di 2ª generazione e successivi | iOS 26.6.2, poi iOS 27 | Sì | Sì |
| XS, XS Max, XR | iOS 18.7.10 | Sì, da iOS 18.6.2 | Sì |
| 8, 8 Plus, X | iOS 16.7.16 | Sì, da iOS 16.7.12 | Sì |
| 6s, 6s Plus, 7, 7 Plus, SE di 1ª generazione | iOS 15.8.8 | Sì, da iOS 15.8.5 | Sì |
| 5s, 6, 6 Plus | iOS 12.5.7 | No | No, serve almeno iOS 15.1 |
Fonte: aggiornamenti di sicurezza Apple. C’è un rischio residuo da conoscere: i rami 15 e 16, quelli dei modelli più vecchi, non hanno ricevuto alcune correzioni di ImageIO arrivate nel 2026 su iOS 26. Non risulta che siano state sfruttate, ma chi usa ancora un iPhone 8 o un 7 come telefono principale ha un margine di sicurezza più basso di chi usa un modello recente.
Il profilo delle vittime smentisce l’idea che il pericolo riguardi solo i telefoni antichi. Tra i casi analizzati c’erano iPhone 11, 12 e 13, che possono installare iOS 26 ma erano rimasti su iOS 16 perché nessuno aveva mai toccato l’aggiornamento. È il caso tipico del telefono passato ai genitori, di quello aziendale gestito da nessuno o di quello di riserva nel cassetto con una SIM ancora attiva. Per sapere quali modelli riceveranno la prossima versione del sistema c’è il nostro articolo su iOS 27 e gli iPhone compatibili.
Il controllo da fare in cinque minuti
Il controllo richiede pochi minuti e conviene farlo anche sul telefono di chi in famiglia non si occupa di tecnologia. L’ordine conta: prima il sistema, poi l’app, poi le impostazioni di WhatsApp.
- Controllare la versione di iOS in Impostazioni > Generali > Info, e aggiornare da Impostazioni > Generali > Aggiornamento software fino all’ultima versione disponibile per quel modello, come indicato in tabella.
- Aggiornare WhatsApp dall’App Store, nella sezione degli aggiornamenti del proprio profilo.
- Aprire Impostazioni > Dispositivi collegati in WhatsApp e scollegare tutto ciò che non si riconosce, sapendo che in questo attacco il client dell’attaccante può non comparire.
- Attivare la verifica in due passaggi in Impostazioni > Account, con un PIN a sei cifre e un indirizzo email di recupero.
- Impostare il download automatico dei media su “Mai” in Impostazioni > Spazio e dati, così le immagini ricevute non vengono elaborate finché non si decide di aprirle.
Due precisazioni oneste. La verifica in due passaggi protegge bene dalle truffe in cui qualcuno cerca di registrare il nostro numero su un altro telefono, ma contro questo specifico attacco la sua efficacia non è stata dimostrata. E un elenco dei dispositivi collegati vuoto non è una garanzia: è proprio la differenza rispetto al GhostPairing, dove il telefono dell’attaccante compare in quella lista. Per chi è più esposto, come chi ha un ruolo pubblico o gestisce denaro altrui, esistono anche le impostazioni restrittive dell’account di WhatsApp e la Modalità di isolamento di iOS, che limita la gestione degli allegati e riduce la superficie d’attacco.
I segnali che qualcosa non va, invece, arrivano quasi sempre da fuori. Un amico che chiama chiedendo “perché ti servono quei soldi?”, messaggi inviati a nostro nome che non abbiamo mai scritto, conversazioni segnate come lette senza che le abbiamo aperte. Se succede, bisogna agire subito.
Se l’account è già stato violato
La prima mossa è avvisare i contatti con un canale diverso da WhatsApp: telefono, SMS, email o un messaggio su un altro social. Chi ha preso l’account potrebbe leggere quello che scriviamo lì, e ogni minuto di ritardo è una richiesta di denaro in più partita a nostro nome.
Subito dopo si aggiornano iOS e WhatsApp e si procede al recupero dell’account seguendo la procedura del centro assistenza di WhatsApp: si registra di nuovo il proprio numero con il codice ricevuto via SMS, operazione che disconnette gli altri client. Se l’app chiede un PIN di verifica in due passaggi che non abbiamo impostato noi, significa che l’attaccante lo ha attivato per bloccarci fuori, e in quel caso il sistema impone un’attesa prima di poter rientrare. Secondo le prove di Forenser, reinstallare l’app e rifare l’autenticazione estromette l’attaccante.
Chi vuole sporgere denuncia deve conservare le prove prima di ripristinare il telefono: schermate dei messaggi inviati a proprio nome, nomi dei contatti coinvolti, date e orari. La segnalazione si fa alla Polizia Postale, anche online tramite il Commissariato di PS. Se qualcuno ha già pagato, deve chiamare immediatamente la propria banca: un bonifico istantaneo non si può annullare, ma la segnalazione tempestiva aumenta le possibilità di bloccare le somme sul conto di destinazione.
Chi perde davvero i soldi
La vittima tecnica dell’attacco è il proprietario dell’account, ma la vittima economica è quasi sempre qualcun altro. Il copione è quello del figlio o dell’amico in difficoltà: “ho il telefono rotto, sto scrivendo da qui, mi fai un bonifico istantaneo che poi ti ridò tutto”. La differenza, rispetto alle truffe con numero sconosciuto, è che il messaggio arriva dal contatto vero, con la foto giusta e la cronologia delle chat. È molto più difficile dubitare.
Anche gli strumenti di protezione delle banche qui aiutano poco. Dal 9 ottobre 2025 tutti i bonifici passano dalla verifica del beneficiario, che controlla se il nome indicato corrisponde all’intestatario dell’IBAN. Ma se il truffatore fornisce insieme all’IBAN anche il nome corretto del titolare del conto, la verifica dà esito positivo: controlla la coerenza tra nome e conto, non chi ha chiesto i soldi. La regola che funziona è una sola. Qualsiasi richiesta di denaro ricevuta in chat, anche da una persona di cui ci fidiamo, va confermata con una telefonata vocale a un numero che conosciamo già.
Chi ha già perso denaro con un bonifico autorizzato sa che il rimborso non è scontato, come abbiamo spiegato parlando della truffa della richiesta di pagamento: l’operazione è stata disposta dal titolare del conto, e la banca di norma non è tenuta a restituirla. La prevenzione, qui, vale molto più della cura.
Domande frequenti
Il mio iPhone 8 con iOS 16.7.16 è al sicuro?
Contro la falla di ImageIO sospettata in questa campagna sì, perché è stata corretta con iOS 16.7.12. Il ramo 16 però non riceve più alcune correzioni del 2026, quindi il livello di protezione è inferiore a quello di un iPhone con iOS 26.
Ho aggiornato WhatsApp: sono protetto?
Non del tutto. Nei test di Forenser l’attacco funzionava anche con l’ultima versione di WhatsApp, perché la porta d’ingresso è il sistema operativo. Va aggiornato anche iOS.
Chi ha Android rischia?
Non sono documentati casi zero-click su Android in questa ondata: tutte le vittime analizzate avevano un iPhone. Android resta esposto alle truffe in cui si convince la vittima a consegnare il codice di verifica, come quella del finto voto.
Come capisco se qualcuno usa il mio WhatsApp?
Il segnale più affidabile sono i contatti che ricevono messaggi mai scritti da noi. L’elenco dei dispositivi collegati va controllato comunque, ma in questo attacco il client dell’attaccante può non comparire.
La verifica in due passaggi serve?
Sì, perché protegge dal furto dell’account tramite codice SMS, che resta la truffa più diffusa. Contro questo specifico attacco zero-click la sua efficacia non è stata dimostrata, quindi non sostituisce l’aggiornamento di iOS.
Un amico mi chiede soldi su WhatsApp: cosa faccio?
Lo si chiama con una telefonata vocale al numero che si conosce, non tramite una chiamata WhatsApp dalla stessa chat. Se non risponde, non si paga. Nessuna emergenza reale si risolve solo con un bonifico istantaneo nei prossimi dieci minuti.
