WhatsApp e attacchi zero-click su iPhone: cosa sta succedendo e come difendersi

Il telefono è sul tavolo. Non hai aperto allegati, non hai seguito collegamenti ricevuti da sconosciuti e non hai comunicato a nessuno codici arrivati via SMS. Eppure qualcosa può andare storto lo stesso.

È questo l'aspetto che rende particolarmente insidiosi gli attacchi informatici definiti zero-click: in determinate condizioni non richiedono la collaborazione della vittima.

Alla fine di agosto 2026 anche la Polizia di Stato ha richiamato l'attenzione sul problema, segnalando in Italia una serie di compromissioni di account WhatsApp associate a dispositivi Apple con versioni non aggiornate di iOS e dell'app.

Non è un buon motivo per farsi prendere dal panico. È invece un ottimo motivo per controllare il proprio iPhone. Bastano pochi minuti.

Che cosa significa davvero "zero-click"

Siamo abituati ad associare una truffa informatica a un nostro errore: abbiamo aperto un allegato, inserito una password nella pagina sbagliata oppure seguito un collegamento ricevuto via messaggio.

Uno zero-click funziona diversamente.

Una vulnerabilità nel sistema operativo o in un'applicazione può consentire l'elaborazione di contenuti preparati appositamente dall'attaccante senza richiedere necessariamente un'azione esplicita da parte del proprietario del telefono.

Detto in maniera molto semplice: non sempre c'è qualcosa da cliccare.

Questo non rende inutili le normali precauzioni contro phishing e messaggi sospetti. Significa, piuttosto, che bisogna aggiungere un'altra buona abitudine alla lista: non trascinare per settimane o mesi gli aggiornamenti di sicurezza.

Perché si parla proprio di WhatsApp e iPhone

Il caso è interessante perché non nasce dal nulla.

Nel 2025 WhatsApp aveva documentato la vulnerabilità CVE-2025-55177, relativa alla gestione dei messaggi di sincronizzazione dei dispositivi collegati. Secondo WhatsApp, questa vulnerabilità potrebbe essere stata sfruttata insieme a una falla presente nelle piattaforme Apple, identificata come CVE-2025-43300, nell'ambito di attacchi sofisticati contro utenti specifici.

Nel 2026 sono poi emersi in Italia casi di utilizzo non autorizzato di account WhatsApp su iPhone con versioni di iOS 16. Le analisi forensi hanno rilevato un particolare piuttosto insolito: in alcuni episodi non risultavano dispositivi sconosciuti nella normale schermata dei dispositivi collegati e gli utenti dichiaravano di non aver effettuato operazioni di associazione.

Non significa che ogni furto di un account WhatsApp avvenuto oggi utilizzi questa tecnica. Anzi, phishing, codici di verifica sottratti e false richieste di associazione restano problemi molto più comuni. Ma la possibilità tecnica dello zero-click è reale e documentata.

Cosa succede dopo la compromissione

Qui l'attacco informatico può trasformarsi rapidamente in una truffa molto più tradizionale.

Chi riesce a utilizzare l'account della vittima può scrivere ai suoi contatti. E un messaggio che arriva dall'account autentico di un amico, di un collega o di un parente parte già con un enorme vantaggio: sembra credibile.

La richiesta può essere banalissima. Un pagamento urgente, un bonifico da effettuare al volo, soldi da anticipare per un'emergenza.

Ed è proprio lì che conviene fermarsi.

Se una persona conosciuta ti chiede improvvisamente denaro tramite WhatsApp, una telefonata di trenta secondi può valere parecchio. Meglio chiamarla direttamente, possibilmente utilizzando un recapito già conosciuto, invece di continuare la conversazione all'interno della stessa chat.

La prima cosa da fare: aggiornare iOS

Prendi l'iPhone e apri:

Impostazioni > Generali > Aggiornamento Software

Se è disponibile un aggiornamento compatibile con il tuo dispositivo, installalo.

Non è necessario conoscere il numero della vulnerabilità o capire nei dettagli come venga sfruttata. Le correzioni di sicurezza servono esattamente a questo: eliminare vulnerabilità conosciute prima che possano essere utilizzate contro il dispositivo.

Per chi tende a rimandare, conviene verificare anche che gli aggiornamenti automatici siano attivi.

Poi aggiorna WhatsApp

Il secondo controllo riguarda direttamente l'app.

Apri App Store, cerca WhatsApp e verifica se compare il pulsante Aggiorna. Se c'è, usalo.

WhatsApp stessa consiglia agli utenti iPhone di utilizzare l'ultima versione disponibile di iOS e mantiene aggiornati i requisiti dei sistemi operativi supportati.

Tenere aggiornato iOS ma utilizzare per molto tempo una vecchia versione dell'app non è una gran strategia. E vale naturalmente anche il contrario.

Dai un'occhiata ai dispositivi collegati

Adesso apri WhatsApp e vai in:

Impostazioni > Dispositivi collegati

Troverai computer, browser e altri dispositivi autorizzati a utilizzare il tuo account.

Riconosci tutto? Bene.

Compare invece un dispositivo che non ricordi di aver associato? Disconnettilo.

Questo controllo rimane utile anche se, nei casi zero-click analizzati, la presenza di una sessione anomala potrebbe non essere evidente nella schermata. Serve infatti a intercettare molte altre forme, decisamente più comuni, di accesso indesiderato all'account.

Attiva la verifica in due passaggi di WhatsApp

Un altro controllo richiede meno di un minuto:

WhatsApp > Impostazioni > Account > Verifica in due passaggi

Da qui puoi impostare un PIN aggiuntivo per proteggere l'account. È opportuno configurare anche un indirizzo email di recupero al quale hai accesso.

Attenzione però a non attribuire alla verifica in due passaggi poteri che non possiede. È un'ottima protezione contro diversi tentativi di acquisizione dell'account, ma non sostituisce gli aggiornamenti di sicurezza e non costituisce una garanzia assoluta contro una vulnerabilità software.

Proteggi anche l'Apple Account

WhatsApp è soltanto una parte del problema. Sullo stesso iPhone convivono posta elettronica, fotografie, password, applicazioni bancarie e servizi collegati alla nostra identità digitale.

Vale quindi la pena verificare che anche l'Apple Account utilizzi l'autenticazione a due fattori e controllare quali dispositivi risultano associati.

Face ID o Touch ID devono inoltre essere accompagnati da un codice di sblocco serio. "123456" sarà facile da ricordare, certo. Purtroppo non soltanto per noi.

E se WhatsApp è già stato compromesso?

La priorità cambia. Prima di tutto bisogna impedire che altre persone si fidino dei messaggi inviati a nostro nome.

Avvisa immediatamente i contatti, soprattutto se dall'account sono partite richieste di denaro, codici o altre informazioni sensibili.

Successivamente occorre avviare la procedura prevista da WhatsApp per recuperare l'accesso all'account e controllare gli altri servizi presenti sul telefono.

Se sono coinvolti pagamenti, dati bancari o tentativi di frode, è opportuno contattare tempestivamente anche il proprio istituto di credito e valutare una segnalazione alla Polizia Postale.

Non devi diventare un esperto di sicurezza informatica

È forse il punto più importante.

Per proteggere ragionevolmente uno smartphone non bisogna passare le serate a studiare CVE e tecniche di exploit. Bisogna però smettere di considerare gli aggiornamenti come quella finestra fastidiosa da rimandare fino a data da destinarsi.

In questo caso i controlli essenziali sono pochi: iOS aggiornato, WhatsApp aggiornato, verifica in due passaggi attiva, dispositivi collegati sotto controllo e molta prudenza davanti a richieste improvvise di denaro.

E se un amico ti scrive alle undici di sera sostenendo di avere urgente bisogno di 800 euro, chiamalo. Magari ha davvero un problema. Oppure sta tranquillamente dormendo mentre qualcun altro scrive al posto suo.

Le fonti ufficiali

Per approfondire l'argomento è preferibile fare riferimento agli avvisi della Polizia di Stato, alle comunicazioni di sicurezza di WhatsApp e alla documentazione Apple sugli aggiornamenti di sicurezza.

• Allerta ufficiale della Polizia di Stato sugli attacchi WhatsApp zero-click
• WhatsApp Security Advisories
• Aggiornamenti di sicurezza Apple