La Polizia di Stato mette in guardia da una nuova ondata di compromissioni degli account WhatsApp che, in alcuni casi, possono avvenire senza che la vittima clicchi su un link, apra un allegato o compia altre azioni. Gli attacchi riguardano dispositivi Apple sui quali sono installate versioni non aggiornate di iOS e di WhatsApp e possono poi essere utilizzati per prendere il controllo dell’account e truffare amici e familiari della vittima. Sono i cosiddetti attacchi “zero-click”, particolarmente insidiosi perché eliminano uno degli elementi sui quali si basa normalmente la prevenzione delle truffe informatiche: evitare di aprire link o file sospetti. In questo caso una vulnerabilità del software può consentire di avviare l’attacco semplicemente facendo arrivare al dispositivo della vittima contenuti appositamente preparati. È una differenza sostanziale rispetto al phishing tradizionale, nel quale l’utente deve essere convinto ad aprire un link, scaricare un documento o fornire le proprie credenziali.
Dal furto alla truffa Una volta compromesso un account WhatsApp, l’attacco può trasformarsi in una truffa più tradizionale: i criminali possono scrivere ai contatti della vittima fingendosi il proprietario dell’account e sfruttando il rapporto di fiducia già esistente. Uno degli schemi segnalati consiste nel simulare una situazione di emergenza e chiedere l’invio immediato di denaro. Il messaggio arriva dall’account autentico di un familiare o di un amico e proprio per questo può apparire molto più credibile rispetto a un normale tentativo di phishing. La Polizia raccomanda di non effettuare pagamenti prima di avere verificato l’identità della persona che li richiede. Se arriva una richiesta anomala da qualcuno che si conosce, la verifica dovrebbe avvenire attraverso un altro canale, per esempio telefonando direttamente alla persona o contattandola da un altro dispositivo.
