WhatsApp, l’app di messaggistica della galassia Meta, ha appena inviato una serie di notifiche di minaccia a persone che ritiene siano diventate oggetto di una campagna di spyware avanzata negli ultimi 90 giorni.
“La notizia della nuova campagna di spyware che sfrutta un exploit zero-day, zero-click in WhatsApp è estremamente preoccupante e conferma la pericolosità crescente di queste tecniche di hacking”, commenta Pierluigi Paganini, analista di cyber security e Ceo Cybhorus.
“La particolarità di questo zero click è che riguarda sia Android sia iOS, quindi è trasversale al sistema utilizzato dato che utilizza Whatsapp come vettore“, avverte Paolo Dal Checco, consulente informatico forense e Ceo della società Forenser: “Questo ci ricorda che non esiste un sistema più sicuro ma sono tutti a loro modo a rischio, soprattutto quando un’App diventa un punto di accesso a causa di vulnerabilità”. Ecco come mitigare il rischio.
Indice degli argomenti
WhatsApp nel mirino di una nuova campagna spyware
L’app di messaggistica di Meta, la capofila di Facebook, avverte alcuni utenti che un messaggio dannoso potrebbe aver sfruttato le falle del sistema operativo per compromettere dispositivi e dati.
“Altra particolarità”, secondo Dal Checco, “pare che ciò che può aver permesso l’accesso ai dispositivi non è la singola vulnerabilità ma una combinazione di almeno un paio, che una breccia dopo l’altra rendono il sistema potenzialmente infettabile. Questo fa emergere maggiormente la necessità di aggiornare i sistemi in modo che più vulnerabilità non possano accumularsi e agevolare attacchi altrimenti impossibili da portare a termine”.
Donncha Ó Cearbhaill sta cercando l’aiuto di esperti dopo aver ricevuto questo avviso.
L’attacco non richiede alcuna interazione da parte dell’utente, il che significa che le vittime potrebbero essere compromesse senza cliccare su un link o scaricare un file.
“Gli attacchi zero-click, che non richiedono alcuna interazione da parte dell’utente, rappresentano una delle minacce più insidiose perché possono compromettere uno smartphone in silenzio, senza che la vittima sospetti nulla”, spiega Paganini: “Questi exploit sono tipicamente collegati ad attori malintenzionati con risorse considerevoli, compresi gruppi sponsorizzati dallo Stato”.
L’indagine
I ricercatori di Amnesty che stanno indagando sull’attacco riferiscono che l’exploit prende di mira un problema di bypass dell’autorizzazione, tracciato come CVE-2025-55177, in WhatsApp su iOS e Mac.
L’exploit ha permesso agli aggressori di forzare la visualizzazione di “contenuti da URL arbitrari” sul dispositivo della vittima. Gli autori dell’attacco hanno anche sfruttato una vulnerabilità zero-click, recentemente corretta da Apple (CVE-2025-43300).
“Gli zero-day exploit sono strumenti privilegiati di governi autoritari e attori ben finanziati, spesso utilizzati per sorvegliare giornalisti, attivisti, oppositori politici e membri della società civile. Il rischio non è solo tecnico. Infatti, strumenti come gli spyware possono divenire minacce concrete contro la società e le democrazie di tutto il mondo”, mette in guardia Paganini, “quando si impiegano spyware di questo livello contro voci critiche, diventano un’arma di repressione che mette in pericolo libertà fondamentali e diritti umani“.
Spyware: come mitigare il rischio su WhatsApp
WhatsApp esorta i destinatari della notifica a controllare i propri dispositivi per verificare la presenza di comportamenti insoliti, ad aggiornare alla versione più recente e ad abilitare misure di sicurezza avanzate per ridurre il rischio di ulteriori compromissioni.
Ecco il testo inviato agli utenti interessati: “La nostra indagine indica che un messaggio malevolo potrebbe esserti arrivato tramite WhatsApp e, combinato con altre vulnerabilità nel sistema operativo del tuo dispositivo per comprometterlo e compromettere i dati in esso contenuti, inclusi i messaggi.
Sebbene non sappiamo con certezza se il tuo dispositivo sia oggetto di compromessione, abbiamo voluto informarti per estrema cautela, in modo che tu possa adottare misure per proteggere il tuo dispositivo e le tue informazioni.
Abbiamo apportato delle modifiche per impedire che questo specifico attacco si verifichi tramite WhatsApp. Tuttavia, il sistema operativo del tuo dispositivo potrebbe rimanere compromesso dal malware o essere preso di mira in altri modi.
Per proteggerti al meglio, ti consigliamo di eseguire un ripristino completo delle impostazioni di fabbrica del dispositivo. Ti invitiamo inoltre a mantenere i tuoi dispositivi aggiornati all’ultima versione del sistema operativo e ad assicurarti che la tua app WhatsApp sia aggiornata”.
WhatsApp ha annunciato di aver già corretto la falla sfruttata dagli aggressori, ma i rischi permangono.
Un messaggio come nel caso Paragon/Graphite
“Il tipo di messaggio ricevuto dalle potenziali vittime ricorda molto quello del caso Paragon/Graphite con gli attivisti e giornalisti spiati: Meta in sostanza avvisa in modo molto cautelativo e con svariati periodi ipotetici che il destinatario della missiva potrebbe aver ricevuto un messaggio che combinato con altre vulnerabilità potrebbe aver compromesso il dispositivo e i dati in esso contenuti, inclusi i messaggi”, sottolinea Dal Checco.
I rischi rimangono nonostante le patch: Meta consiglia un factory rest
“Purtroppo, aggiornare costantemente i dispositivi non è sufficiente a proteggere gli individui da queste minacce“, avverte Paganini, “occorre un controllo più rigoroso sull’industria dello spyware e una maggiore collaborazione internazionale per contrastare l’abuso di queste tecnologie”.
In effetti, Meta “suggerisce cosa fare nel dubbio, cioè ripristinare allo stato di fabbrica il dispositivo, cosa che tra l’altro non è detto che elimini il malware: ce ne sono alcuni infatti che riuscivano in passato a sopravvivere all’hard reset, soprattutto su Android ma anche su iOS”, conferma Dal Checco: “Probabilmente se Meta riporta questa soluzione ha fatto alcune verifiche per le quali ha concluso che un factory reset possa esser risolutivo e dato che non parla di eventuale backup e ripristino dei dati, ci fa capire anche che il passaggio dei dati da un dispositivo a un altro (es. con iCloud o iTunes backup) pare non permetta il passaggio dell’infezione”.
Come Meta intuisce l’invio di un messaggio pericoloso con la crittografia E2E
Desta curiosità anche in questo caso il fatto che “Meta – pur gestendo un sistema di comunicazione cifrata end-to-end – abbia modo di ‘capire’ che è stato inviato qualcosa di pericoloso e avvisare il destinatario di allegato, perché lo ricevuto da un interlocutore o perché parte di un gruppo o lista”, evidenzia Paolo Dal Checco.
“L’ipotesi è che lo faccia analizzando il tipo di traffico (es. la dimensione dell’allegato, l’IP del mittente, il numero di telefono eccetera) perché ovviamente il server non ha idea di cosa venga scambiato tra utenti o gruppi e se lo sapesse sarebbe piuttosto inquietante, dato che la società dichiara di non avere visibilità né sui testi scambiati né sugli allegati (messaggi vocali, file, foto, video o altri contenuti multimediali)”, conclude Dal Checco.
L‘industria dei software di sorveglianza allunga la sua ombra
“Purtroppo l’industria dei software di sorveglianza continua a crescere nell’ombra, nonostante timide azioni di repressione di alcuni governi. Diversi governi infatti mentre ufficialmente condannano l’impiego di questi software sottoscrivono contratti con i principali venditori di spyware internazionali eludendo sanzioni e mentendo ai propri cittadini, e barricandosi dietro assordanti silenzi“, conclude Paganini.
