In questo articolo Indice dei contenuti 2 sezioni
Un allarme della Polizia di Stato ha rimesso al centro dell’attenzione gli attacchi zero click contro WhatsApp, una tecnica silenziosa che colpisce chi utilizza versioni non aggiornate dell’app e del sistema operativo iOS. Nessun link sospetto da toccare, nessun allegato da aprire: il dispositivo viene compromesso senza che il proprietario faccia assolutamente nulla. È questo il punto che rende la faccenda più scomoda del solito, perché salta a piè pari la regola d’oro che da anni viene ripetuta a chiunque usi uno smartphone, cioè non cliccare su cose strane.
Secondo quanto rilevato, si tratterebbe con ogni probabilità di operazioni condotte tramite i cosiddetti spyware commerciali, gli stessi già segnalati a metà agosto. Apple, dal canto suo, ha già distribuito gli aggiornamenti che chiudono le vulnerabilità di iOS.
Come funziona un attacco senza clic
Il meccanismo è quello suggerito dal nome stesso. Un attacco di tipo zero click non richiede alcuna interazione da parte dell’utente: viene sfruttata una falla di WhatsApp, oppure di iOS, oppure di entrambi, per arrivare all’accesso all’account. Il telefono resta apparentemente identico a prima, mentre dall’altra parte qualcuno ha già messo piede dentro.
Da lì in avanti gli scenari sono due, entrambi poco piacevoli. Il primo riguarda la truffa classica ma travestita da normalità: i criminali informatici inviano messaggi spacciandosi per una persona conosciuta, un familiare o un amico, e chiedono denaro raccontando di trovarsi in una situazione di emergenza. Il secondo è il furto vero e proprio di dati sensibili conservati sul dispositivo.
Va detto che questo genere di offensive non colpisce di solito a caso. Gli spyware commerciali più noti, Pegasus di NSO Group, Graphite di Paragon Solutions e Predator di Cytrox, vengono impiegati soprattutto contro giornalisti, attivisti, oppositori politici, dissidenti e diplomatici. Il che non significa che il resto dell’utenza possa dormire tranquillo, visto che la nuova ondata individuata riguarda in modo specifico WhatsApp per iOS.
Le contromisure suggerite dalla Polizia di Stato
I consigli diffusi puntano tutti sulla riduzione del rischio, più che su soluzioni miracolose. Il primo, banale solo in apparenza, è mantenere sempre aggiornati sia il sistema operativo sia l’applicazione di messaggistica. Gli aggiornamenti di sicurezza esistono proprio per tappare i buchi che questi attacchi vanno a cercare, e rimandarli per settimane equivale a lasciare la porta socchiusa.
Secondo punto: controllare con una certa regolarità la sezione “Dispositivi collegati” dentro WhatsApp e disconnettere subito qualsiasi apparecchio che non risulti familiare. È un controllo che richiede pochi secondi e che spesso nessuno fa mai.
Terzo, e qui si torna al buon senso di sempre, mai effettuare pagamenti prima di aver verificato l’identità di chi scrive. Basta contattare direttamente la persona con un altro numero, un altro dispositivo, oppure di persona. Se qualcuno chiede soldi con urgenza via chat, la fretta è già di per sé un campanello d’allarme.
Infine, un pacchetto di accortezze che vale la pena attivare una volta e dimenticare: la verifica in due passaggi, la limitazione del download automatico di contenuti e allegati, la protezione del telefono tramite PIN, Touch ID o Face ID.
Per chi ritiene di essere un bersaglio concreto, e non è un’ipotesi teorica per certe categorie professionali, esiste il Lockdown Mode di Apple, in italiano modalità di isolamento, che restringe drasticamente le funzioni esposte agli attacchi. Da fine gennaio, inoltre, WhatsApp mette a disposizione impostazioni restrittive dedicate proprio a questo tipo di esigenza.
