Truffe su WhatsApp, allarme per account violati su dispositivi Apple. Il caso di Sant’Elena

E’ mattina di buon’ora quando una signora, residente nel Sestiere di Castello, si reca dai Carabinieri di Sant’Elena accompagnata dal marito. Ai militari che la accolgono la signora spiega che – inspiegabilmente – mani ignote si sono impossessate del suo Whatsapp. Nel pomeriggio precedente, infatti, senza che la donna si accorgesse di nulla e senza che avesse fatto nulla, dal suo telefono erano partiti messaggi ai suoi contatti della rubrica spiegando che si trovava in difficoltà e che aveva bisogno urgentemente di un prestito.

Come se ne è accorta la signora? Perché la figlia, che vive altrove, aveva ricevuto il messaggio e l’aveva subito chiamata: “Mamma, cos’è ‘sta storia che hai bisogno di soldi?”. A quel punto è stata scoperta la truffa ed è stato possibile verificare che dal telefono dell’interessata non era partito nulla (e non aveva ricevuto nulla), dunque i truffatori erano riusciti a “clonare” il suo account Whatsapp prendendone possesso e ormai stavano interagendo loro in suo nome, e soprattutto a sua insaputa, in pratica senza che sul dispositivo originale si vedesse nulla.

Com’è possibile tutto ciò, dato che alla signora non erano arrivati messaggi del tipo “clicca qui” o altre anomalie? E’ tutto a causa di un’ondata di compromissioni di account WhatsApp che sta mettendo in allarme le forze dell’ordine. Gli hackeraggi sono finalizzati ad ingannare amici o parenti, di cui si ha il numero in rubrica, per richieste urgenti di denaro, e a preoccupare gli investigatori è la crescente frequenza dei casi e proprio la tecnica impiegata, che in alcuni casi non richiede alcuna azione da parte della vittima.

Il meccanismo sfrutta la fiducia che si ripone nei propri contatti. Se un account viene preso di mira, il malintenzionato può utilizzarlo per scrivere ai numeri in rubrica e chiedere rapidamente un bonifico, una ricarica telefonica o altri versamenti. La pressione dell’urgenza è l’elemento che più spesso porta le persone a non verificare la richiesta.

La Polizia Postale e il Cert‑Agid ricordano che queste giustificazioni rientrano nel repertorio dei truffatori e vanno affrontate con prudenza: prima di effettuare qualsiasi pagamento è sempre opportuno verificarne l’autenticità.

Ma la vera novità tecnica che ha reso la campagna più pericolosa è l’uso di attacchi definiti “zero‑click”. Secondo la Questura di Venezia, alcune vulnerabilità interessano versioni non aggiornate di iOS e dell’app WhatsApp su dispositivi Apple e possono essere sfruttate senza che l’utente compia alcuna azione. In tali circostanze il truffatore ottiene l’accesso all’account senza bisogno che la vittima apra messaggi o link.

Per ridurre il rischio di compromissione la Polizia di Stato ha elencato una serie di accorgimenti pratici. Il primo è banale ma fondamentale: non spedire denaro prima di aver contattato la persona attraverso un canale diverso da quello che ha inviato la richiesta, preferibilmente chiamando il numero noto o parlando di persona quando possibile.

Sul piano tecnico, invece, è essenziale mantenere aggiornati sia il sistema operativo del dispositivo sia l’applicazione WhatsApp. Apple ha già rilasciato aggiornamenti di sicurezza che risolvono le vulnerabilità segnalate; per questo motivo installare le versioni più recenti è una protezione immediata e consigliata.

Altri strumenti utili sono disponibili direttamente nell’app: controllare periodicamente la sezione “Dispositivi collegati” per individuare sessioni sospette e disconnettere eventuali accessi non riconosciuti. Attivare la verifica in due passaggi su WhatsApp aggiunge un ulteriore livello di sicurezza. Inoltre la Polizia suggerisce di limitare il download automatico di contenuti e allegati e di proteggere il dispositivo con codice, Touch ID o Face ID.

LA COMUNICAZIONE DELLA POLIZIA DI STATO

WHATSAPP, NUOVA ONDATA DI ATTACCHI “ZERO-CLICK”.

È stata recentemente segnalata una nuova ondata di compromissioni di account WhatsApp, caratterizzate da modalità riconducibili ad attacchi cosiddetti “zero-click”.
Le vulnerabilità individuate riguardano versioni non aggiornate di iOS e di WhatsApp sui dispositivi Apple e, in alcuni casi, possono essere sfruttate senza che l’utente debba compiere alcuna azione. Una volta ottenuto l’accesso all’account, i criminali possono inviare messaggi fingendosi una persona conosciuta, come un familiare o un amico e chiedere denaro simulando di trovarsi in una situazione di emergenza.

La Polizia di Stato consiglia di seguire semplici accorgimenti per ridurre i rischi di compromissione dei propri dispositivi digitali:

non effettuare pagamenti prima di aver verificato l’identità di chi formula la richiesta, contattando direttamente la persona attraverso un altro numero o dispositivo oppure, quando possibile, di persona;

mantenere sempre aggiornati sia il sistema operativo del dispositivo, sia l’applicazione WhatsApp;

controllare periodicamente la sezione “Dispositivi collegati” di WhatsApp, attraverso la quale è possibile verificare le sessioni associate al proprio account e disconnettere immediatamente eventuali dispositivi non riconosciuti;

attivare la verifica in due passaggi, limitare il download automatico di contenuti e allegati, nonché proteggere il dispositivo mediante codice, Touch ID o Face ID.

Se l’account WhatsApp risulta compromesso è importante avvisare tempestivamente i propri contatti, invitandoli a non rispondere a eventuali richieste di denaro, avviando la procedura di recupero dell’account.

Apple ha provveduto a risolvere tali compromissioni con specifici aggiornamenti di sicurezza e raccomanda, pertanto, di mantenere protetti dispositivi e applicazioni mediante l’installazione delle versioni più recenti, nonché di utilizzare l’autenticazione a due fattori per il proprio Apple Account.

In caso di dubbi o segnalazioni è possibile rivolgersi alla Polizia Postale tramite il sito del Commissariato di PS online www.commissariatodips.it.