Una nuova ondata di attacchi zero-click (o 0click), che sfrutta vulnerabilità delle versioni rimaste prive di aggiornamento di WhatsApp e iOS, prende di mira gli iPhone datati privi di update di sicurezza.
“Ottima notizia che la Polizia Postale abbia pubblicato un documento di allerta sugli attacchi zero-click a WhatsApp, dando finalmente concretezza e istituzionalità a un fenomeno di cui con il mio team (il team Forenser, ndr) parliamo da mesi”, commenta Paolo Dal Checco, consulente informatico forense e Ceo della società Forenser.
Ecco come mitigare il rischio, anche perché in futuro l’attacco potrebbe colpire tutti, anche i possesori di iPhone con gli aggiornamenti attivi.
Indice degli argomenti
Attacchi zero-click contro WhatsApp per iOS: il problema dei vecchi iPhone
La polizia postale ha infatti segnalato una campagna di attacchi zero-click contro WhatsApp per iOS, che hanno preso di mira i vecchi iPhone non aggiornati. Chi non può cambiare il telefonino spesso si trova in tasca un dispositivo con un sistema operativo obsoleto, che non riceve più le patch di aggiornamento e dove le app stesse non possono più avere update di sicurezza.
I criminali informatici si introducono negli iPhone datati, sfruttando vulnerabilità che è vero che i vendor hanno già sanato, rilasciando gli aggiornamenti per software e sistemi operativi, ma che gli utenti non sono stati in grado di scaricare o installare per molteplici motivi.
Attacco zero-click significa che, una volta che il cyber criminale ha effettuato l’accesso all’account WhatsApp dell’utente, può impersonare la vittima, contattando amici, familiari, e avanzare richieste di bonifici istantanei, con varie scuse.
Poiché i destinatari dei messaggi riconoscono il mittente WhatsApp (e non sanno che è sotto attacco), possono essere facilmente ingannati. Credendo che la richiesta provenga da persone e numeri di telefono noti, a quel punto rischiano di abbassare la guardia e cadere nella trappola.
Un caso di social engineering in cui i cyber criminali devono solo impersonificare mittenti reali e sperare che la loro rete di conoscenze cada vittima del tranello.
L’attacco, senza richiedere un contributo attivo della vittima, non deve effettuare click su link dannosi, farsi dirottare su siti creati ad hoc o immettere dati personali.
Per questo l’attacco si chiama zero-click, perché a fare il lavoro sporco non è l’intervento umano, ma la mancanza di aggiornamento e la presenza di falle nei dispositivi (non mantenuti aggiornati) che aprono la porta ai criminali, che prendono possesso dei software senza che le compromissioni siano visibili.
Le versioni obsolete sotto attacco
Apparentemente “questo attacco ha una portata ‘ridotta’, perché colpisce soltanto iPhone con versioni obsolete di iOS di Apple, delle quali, per alcune versioni, l’azienda di Cupertino distribuisce versione con patch, la 16.7.16 per i dispositivi fermi a iOS 16 e la 17.7.11 per quelli fermi a iOS 17″, avverte Paolo Dal Checco.
Ma se i possessori di dispositivi non effettuano gli aggiornamenti dei propri smartphone, finiscono per rimanere vulnerabili agli attacchi sferrati da cyber criminali e per mettere a repentaglio la propria vita digitale.
“Purtroppo la realtà è che gli utenti – per mancanza di spazio sul telefono o di tempo da dedicare alla sicurezza – non aggiornano il loro smartphone che rimane fermo così a versioni di anni fa, non più sicure da utilizzare“, sottolinea Dal Checco.
I dispositivi datati non fanno rima con sicurezza
I motivi di questa obsolescenza dei sistemi operativi, software e app sono di varia natura.
“Spesso è anche una questione di costi: telefoni come iPhone XS, XS Max e iPhone XR non possono andare oltre iOS 18, mentre iPhone X, iPhone 8 e 8 Plus non supportano versioni più recenti di iOS 16, ma se il proprietario non può permettersi di acquistarne uno nuovo, deve accontentarsi di rimanere in uno stato potenzialmente a rischio“, mette in evidenza Dal Checco.
I precedenti delle campagne contro WhatsApp
Pochi giorni dopo una campagna, precedentemente focalizzata su frodi attraverso il furto di profili, sottratti all’app di messaggistica istantanea di Meta, WhatsApp è tornata al centro di una nuova ondata di attacchi.
“Il team Forenser, infatti, è stato tra i primi a identificare gli attacchi comparsi a maggio, analizzarli e persino riprodurli riuscendo a replicare in laboratorio la sessione di un account di test che simula la vittima, leggere i messaggi cifrati scambiati con i contatti e inviarne al posto suo“, mette in guardia Paolo Dal Checco.
Meta deve correre ai ripari: come mitigare il rischio
La via maestra per evitare di cadere vcittima di queste frodi consiste nel mantenere aggiornati i sistemi operativi, i programmi informatici e le applicazioni Web. Ma non basta, se ci si trova sotto attacco.
“Il problema – che non emerge temo compiutamente dai report che circolano – è che è vero che l’attacco alla sessione WhatsApp di Meta per ora sfrutta CVE su versioni obsolete di iOS, ma potrebbe benissimo funzionare anche con versioni più recenti nel caso in cui circolassero 0click anche per quelli, cosa che ovviamente non possiamo escludere”, mette in guardia Paolo Dal Checco.
Inoltre, “il team Forenser ha già interloquito con Meta, che è al corrente del problema e ipotizzo che stia lavorando a una soluzione. Purtroppo Whatsapp non può né deve contare sulla sicurezza e protezione di iOS, perché – come abbiamo visto – in alcuni casi può essere aggirata tramite vulnerabilità più o meno note, deve quindi rafforzare il meccanismo di gestione della chiave di sessione e impedirne il furto o il riutilizzo da parte di terzi, soprattutto in contemporanea con il proprietario dell’account“, sottolinea Paolo Dal Checco.
Infine c’è il tema della mcanza di consapevolezza di essere sotto attacco. “Nel caso di questo attacco, l’utilizzatore di WhatsApp non si vede sottratto l’account né vede aggiunti dispositivi collegati: gli attaccanti clonano la sua chiave e vi entrano per spiare il contenuto e scrivere ai propri contatti. Diciamo che è un po’ come se un ladro, invece di forzare la porta di casa, duplicasse abusivamente la chiave della serratura e la usasse per entrare quando siamo fuori casa, ripetutamente, senza che noi ce ne potessimo accorgere”, mette in guardia Dal Checco.
Cosa fare per chi ha subito l’attacco
“Purtroppo l’impostazione di una verifica a due passaggi 2FA e il check dei dispositivi connessi, proprio per il tipo di attacco, non serve a limitare né rimuovere l’infezione: l’unica precauzione è aggiornare la versione di iOS, se possibile portandola alla 26, evitando di rimanere sulle versioni 16 e 17 che sono piuttosto obsolete e, anche se aggiornate con alcune patch, non sono equivalenti in quanto a misure di sicurezza con la ultima release della serie 26″, avverte Dal Checco.
Gli utenti delle vecchie versioni devono avvertire i contatti che, se ricevono richieste di denaro, sono sotto attacco. Devono subito essere avvisati, via mail o per telefono.
“Per chi rileva di essere stato infettato (se ne accorge perché i propri contatti ricevono richieste di denaro) aggiornare iOS o WhatsApp può non essere sufficiente, dato che c’è stata sottrazione della session key di WhatsApp. Suggerisco in tal caso di ripristinare il telefono allo stato di fabbrica e reinstallare tutto, incluso WhatsApp in versione aggiornata o, in alternativa, approfittarne per aggiornare a iOS 26 eventualmente acquistando uno smartphone che lo supporti”, conclude Paolo Dal Checco.
Partecipa alla community