In questo articolo faccio quello che fa un ethical hacker: analizzo il comportamento osservato, ricostruisco il meccanismo tecnico, spiego l’impatto reale e fornisco la remediation completa. Niente allarmismo. Solo fatti, evidenze e soluzioni.
Negli ultimi mesi, numerosi utenti iPhone su iOS 15 e 16, in particolare su build non aggiornate, hanno segnalato un comportamento identico e ripetibile su WhatsApp:
Messaggi inviati ai propri contatti che la vittima non ha mai scritto.
Richieste di denaro recapitate a familiari e amici dal proprio account.
Conversazioni marcate come lette senza che la vittima le abbia aperte.
Nessun dispositivo sconosciuto visibile nella sezione Dispositivi collegati.
Nessun SMS di verifica intercettato, nessun link cliccato, nessuna azione compiuta.
Il pattern è coerente, replicabile e non riconducibile a nessun vettore d’attacco convenzionale.
La spiegazione tecnica più aderente alle evidenze è una vulnerabilità zero‑click che genera una sessione parallela non autorizzata.
Cos’è una Vulnerabilità Zero‑Click?
Nel gergo della sicurezza offensiva, un exploit zero‑click è un attacco che non richiede alcuna interazione da parte della vittima.
Nessun tap. Nessun click. Nessun consenso.
L’attaccante invia un payload malevolo tramite WhatsApp, sotto forma di messaggio, notifica o dato invisibile. Il dispositivo della vittima lo elabora automaticamente. A causa della vulnerabilità nel parser o nel gestore delle notifiche, il sistema espone o genera un token di sessione valido. L’attaccante acquisisce quel token e ottiene una sessione parallela completamente operativa.
Cosa non serve all’attaccante:
Nessun link di phishing cliccato.
Nessun file allegato aperto.
Nessun codice SMS intercettato.
Nessun accesso fisico al dispositivo.
Nessuna autorizzazione dell’utente.
Nessun QR code scansionato.
L’unica cosa che serve è il numero di telefono della vittima e una versione vulnerabile di WhatsApp o iOS.
Questo è ciò che rende gli zero‑click la categoria di exploit più pericolosa in assoluto nel panorama della sicurezza mobile.
Cosa Fa Esattamente la Vulnerabilità
Chiariamo subito cosa non fa.
Non clona l’app. Non duplica la SIM. Non copia il dispositivo. Non richiede jailbreak.
Quello che fa è molto più grave: crea una sessione fantasma.
Una sessione WhatsApp che è attiva, autenticata e operativa, ma che è completamente invisibile alla vittima, non compare nella lista dei dispositivi collegati e non viene sincronizzata con il telefono della vittima.
In pratica: l’attaccante usa il tuo WhatsApp come se fosse te. Tu non vedi nulla.
Questa è la definizione operativa di sessione fantasma.
Capacità dell’Attaccante
Una volta ottenuto il token di sessione, l’attaccante ha accesso operativo completo all’account.
Invio messaggi a nome della vittima
L’attaccante scrive ai tuoi contatti. I messaggi arrivano ai destinatari ma non compaiono nella tua cronologia. Il destinatario vede il tuo nome, la tua foto profilo, il tuo numero. Non ha modo di distinguere il messaggio da uno autentico.
Lettura delle conversazioni attive
La sessione fantasma ha accesso alle chat in corso. L’attaccante può leggere conversazioni, estrarre informazioni personali, individuare i contatti più vulnerabili tra familiari, partner e colleghi.
Impersonificazione completa
L’attaccante è te agli occhi di chiunque riceva un messaggio. Può chiedere informazioni riservate, modificare accordi presi, creare conflitti tra persone, manipolare conversazioni di lavoro o affetti.
Richieste di denaro
Questo è il payload finale nella maggior parte degli attacchi osservati. Il messaggio arriva dal tuo numero, con la tua foto, nella chat esistente con quel contatto. La vittima non ha motivo di sospettare. Il tono è familiare, la cifra è plausibile, l’urgenza è calibrata.
Esempio reale ricostruito dalle segnalazioni:
“Ciao, scusa se ti disturbo. Ho sforato il limite giornaliero dei bonifici e devo pagare una cosa urgente. Puoi anticiparmi 960 euro? Domani mattina te li restituisco appena si sblocca.”
Manipolazione delle conversazioni
Alcuni utenti hanno riportato chat marcate come lette senza averle aperte, messaggi scomparsi, ordine delle conversazioni alterato. Questo è coerente con una sessione parallela che interagisce con le stesse chat.
Persistenza invisibile
La sessione fantasma non compare tra i dispositivi collegati. Questo è il dettaglio tecnico più critico: il meccanismo di controllo nativo di WhatsApp, progettato per mostrare tutte le sessioni attive, non rileva la sessione creata tramite zero‑click. La vittima può controllare ripetutamente la lista e non trovare nulla di anomalo.
Perché i Messaggi Non Compaiono nella Cronologia
Questo è il comportamento che confonde di più gli utenti e che rende la compromissione difficile da accettare.
WhatsApp sincronizza i messaggi solo tra sessioni riconosciute dal sistema. La sessione zero‑click non è stata autorizzata dall’utente, non è registrata nel sistema di sincronizzazione e non è visibile al client principale.
Il risultato è che il contatto riceve il messaggio, l’attaccante lo vede nella sua sessione, la vittima non vede nulla.
Questo crea lo scenario più pericoloso possibile: la vittima è l’ultima a sapere di essere compromessa. Spesso lo scopre solo quando un contatto chiama e chiede conferma del messaggio ricevuto.
Indicatori di Compromissione
Se riscontri anche solo uno di questi segnali, indaga. Se ne riscontri due o più, considera l’account compromesso.
Indicatori critici:
Contatti che riferiscono messaggi mai inviati da te.
Richieste di denaro inviate dal tuo account a tua insaputa.
Messaggi assenti nella tua cronologia ma ricevuti dai contatti.
Nessun dispositivo sconosciuto in Dispositivi collegati nonostante i sintomi.
Indicatori alti:
Chat marcate come lette senza tua interazione.
Codici di verifica WhatsApp ricevuti senza richiesta.
Comportamento anomalo dell’app, rallentamenti, crash, notifiche fantasma.
Se l’indicatore della lista dispositivi vuota è presente insieme a qualsiasi altro sintomo, il profilo è coerente con una compromissione zero‑click.
Come potresti risolvere:
Fase 1 · Aggiornamento immediato
Aggiorna iOS all’ultima versione disponibile tramite Impostazioni, Generali, Aggiornamento Software. Le patch di sicurezza Apple correggono vulnerabilità nel kernel, nel WebKit e nei servizi di notifica che sono prerequisiti per molti exploit zero‑click.
Aggiorna WhatsApp all’ultima versione dall’App Store ufficiale. Solo dall’App Store.
Fase 2 · Verifica e disconnessione sessioni
Vai in WhatsApp, Impostazioni, Dispositivi collegati. Disconnetti ogni sessione che non riconosci con certezza.
Nota importante: come spiegato, la sessione zero‑click potrebbe non comparire in questa lista. Questo passaggio è necessario ma non sufficiente da solo.
Fase 3 · Attivazione protezioni
Attiva la verifica in due passaggi tramite WhatsApp, Impostazioni, Account, Verifica in due passaggi. Questa è obbligatoria.
Attiva la passkey se disponibile tramite WhatsApp, Impostazioni, Account, Passkey.
Attiva il blocco schermo con Face ID tramite WhatsApp, Impostazioni, Privacy, Blocco schermo.
Verifica che il codice del dispositivo iOS sia robusto tramite Impostazioni, Face ID e codice.
Fase 4 · Bonifica definitiva — Reinstallazione
Questa è la fase che chiude la sessione fantasma.
Eliminando e reinstallando WhatsApp, il client genera nuove chiavi di sessione. Le chiavi precedenti, incluse quelle eventualmente estratte dall’exploit, vengono invalidate.
Procedura:
Esegui il backup delle chat da WhatsApp, Impostazioni, Chat, Backup delle chat.
Elimina l’app tenendo premuta l’icona e selezionando Elimina app.
Riavvia l’iPhone completamente.
Reinstalla WhatsApp dall’App Store.
Verifica il numero di telefono tramite SMS.
Attiva immediatamente la verifica in due passaggi, senza rimandare.
Ripristina il backup se necessario.
Controlla che la lista dei dispositivi collegati sia vuota.
Fase 5 · Verifica post‑bonifica
Monitora per 7 fino a 14 giorni e verifica che non si presentino nuovi messaggi inviati a tua insaputa, nessuna segnalazione dai contatti, nessuna chat marcata come letta senza motivo, nessun codice di verifica non richiesto, lista dispositivi collegati stabile e vuota.
Gli utenti che hanno completato questa procedura hanno confermato la risoluzione completa di tutte le anomalie.
Regola Operativa Finale
C’è una regola che ogni ethical hacker conosce e che vale per chiunque:
Mai trasferire denaro sulla base di un messaggio. Sempre verificare con una chiamata vocale diretta alla persona.
Se tua madre, tuo fratello o il tuo migliore amico ti scrive su WhatsApp chiedendo soldi, chiama. Non su WhatsApp. Sul numero di telefono diretto.
Il 100% delle truffe da sessione fantasma fallisce se il destinatario verifica la richiesta su un canale diverso.
Ulteriori informazioni:
La vulnerabilità zero‑click su WhatsApp è una delle minacce più subdole nel panorama mobile attuale. Non chiede il tuo permesso, non lascia tracce evidenti, non compare nei controlli standard.
Ma ha un punto debole: una volta compresa, è neutralizzabile.
Aggiorna tutto. Reinstalla l’app. Attiva ogni protezione disponibile. Verifica sempre le richieste di denaro con una chiamata diretta.
La sicurezza non è un prodotto. È un processo.