WhatsApp sotto attacco: la nuova truffa "zero-click" che ruba l'account da iPhone non aggiornati

Se usi WhatsApp su iPhone e non aggiorni il telefono da un po' di tempo, questo articolo è pensato proprio per te. In questi giorni la Polizia di Stato ha lanciato un nuovo allarme su una truffa particolarmente insidiosa: riesce a rubare l'account WhatsApp senza che tu debba cliccare su nessun link o scaricare nessun file sospetto. Si chiama attacco "zero-click" e sta colpendo soprattutto chi ha un iPhone con iOS e app non aggiornati.

Cos'è un attacco "zero-click" e perché fa paura

Di solito, per rubare un account o infettare un telefono, i truffatori hanno bisogno che la vittima faccia qualcosa: cliccare un link, aprire un allegato, inserire un codice. Negli attacchi zero-click non serve nulla di tutto questo. Un attacco "zero click", a differenza di altre tipologie di attacchi informatici che richiedono un'interazione da parte della vittima, può essere effettuato senza che l'utente debba cliccare su un link, aprire un allegato o compiere altre azioni. Basta ricevere un contenuto "confezionato" in modo malevolo, ed è il telefono stesso, sfruttando una falla del sistema, ad aprire la porta ai criminali.

Non è la prima volta che se ne parla: a soli quattro giorni dall'allerta sulle truffe realizzate attraverso account WhatsApp sottratti, la Polizia Postale ha segnalato una nuova campagna ancora più preoccupante, riconducibile a modalità di attacco definite zero-click, che possono sfruttare vulnerabilità presenti nelle versioni non aggiornate di iOS e WhatsApp sui dispositivi Apple. E proprio in questi giorni è arrivata una nuova ondata di segnalazioni, con varianti locali come i falsi messaggi che in Campania usano il nome e il logo della Questura di Avellino.

Cosa succede se il tuo account viene rubato

Una volta che i criminali prendono il controllo del tuo WhatsApp, lo scopo è quasi sempre lo stesso: fare soldi facili sfruttando la tua lista di contatti. Una volta ottenuto l'accesso all'account, i criminali possono inviare messaggi fingendosi una persona conosciuta, come un familiare o un amico, e chiedere denaro simulando di trovarsi in una situazione di emergenza. Il messaggio tipico chiede un bonifico istantaneo urgente oppure la ricarica di una carta prepagata come Postepay, facendo leva sulla fretta e sulla fiducia che riponiamo in chi crediamo di conoscere.

Il consiglio più semplice, ma anche il più efficace, resta sempre lo stesso: se qualcuno ti chiede soldi su WhatsApp con urgenza, prima di fare qualsiasi cosa chiamalo al telefono o scrivigli su un altro canale per verificare che sia davvero lui.

Passo 1: aggiorna subito iOS e WhatsApp

La prima e più importante difesa è banale quanto fondamentale: tenere tutto aggiornato. La prima contromisura è mantenere sempre aggiornato il sistema operativo. Vai su Impostazioni, poi Generali e infine Aggiornamento Software: se compare una nuova versione, installala subito. Fai lo stesso con l'app WhatsApp, aprendo l'App Store e controllando se è disponibile un aggiornamento.

Secondo le ultime verifiche, al 7 novembre 2026 l'ultima versione di iOS indicata è iOS 27.2: se il tuo iPhone è fermo a una versione precedente, è il momento di aggiornarlo. Non si tratta solo di avere le funzioni più recenti: l'aggiornamento non deve quindi essere considerato soltanto una questione legata a nuove funzionalità o prestazioni, in questo scenario rappresenta una vera misura di sicurezza, perché riduce la superficie di attacco disponibile per eventuali exploit.

Passo 2: controlla i "dispositivi collegati" su WhatsApp

WhatsApp ti permette di vedere, in qualunque momento, da quali dispositivi è aperto il tuo account oltre al telefono. È una funzione utilissima per scovare eventuali intrusi. Vai nelle Impostazioni dell'app, cerca la voce "Dispositivi collegati" e dai un'occhiata: se vedi una sessione che non riconosci, disconnettila immediatamente.

Le forze dell'ordine lo consigliano espressamente: tra le indicazioni fornite dalla Polizia Postale c'è anche il controllo periodico della sezione Dispositivi collegati di WhatsApp. Fallo diventare un'abitudine, magari una volta al mese, insieme al controllo degli aggiornamenti.

Passo 3: attiva la verifica in due passaggi

Un'altra misura molto efficace, spesso sottovalutata, è la verifica in due passaggi di WhatsApp: in pratica aggiunge un PIN numerico che viene richiesto ogni tanto, anche se qualcuno riuscisse a registrare il tuo numero su un altro telefono. Tra le raccomandazioni della Polizia di Stato c'è anche l'attivazione della verifica in due passaggi di WhatsApp. La trovi sempre nelle Impostazioni, alla voce Account.

Le altre buone pratiche consigliate dagli esperti includono proteggere l'iPhone con codice, Touch ID o Face ID e limitare il download automatico di media e allegati. Sono piccoli accorgimenti che, messi insieme, rendono molto più difficile la vita ai truffatori.

Come capire se sei già stato violato, e cosa fare

Alcuni segnali possono metterti in allerta: messaggi segnati come già letti che non ricordi di aver aperto, oppure l'app che sembra "lavorare" anche quando non la stai usando. Se sospetti che il tuo account sia compromesso, la prima cosa da fare è avvisare i tuoi contatti più stretti.

Se l'account WhatsApp risulta compromesso è importante avvisare tempestivamente i propri contatti, invitandoli a non rispondere a eventuali richieste di denaro, avviando la procedura di recupero dell'account. Se invece hai già inviato del denaro o i tuoi dati bancari, bisogna contattare immediatamente la banca e rivolgersi alla Polizia Postale.

Per segnalazioni o dubbi puoi sempre rivolgerti al Commissariato di PS online, il canale ufficiale della Polizia Postale per questo tipo di problemi. Ricorda: nessuna truffa, per quanto sofisticata, può nulla contro un telefono aggiornato, un minimo di prudenza e una telefonata di verifica prima di inviare denaro.