Un messaggio da un amico che chiede soldi. Ma e davvero lui?
La Polizia di Stato ha lanciato un allarme nazionale. C'e un'ondata di account WhatsApp rubati e usati per chiedere denaro. Il copione e sempre lo stesso: arriva un messaggio da un contatto che conosci, un amico o un parente, che dice di essere nei guai. Serve un bonifico urgente, una ricarica, un pagamento che lui non riesce a fare. La scusa e sempre plausibile: una spesa imprevista, un problema con la banca, un acquisto da chiudere subito. E la richiesta e sempre immediata.
Cosa vuol dire zero-click
La novita sta nel modo in cui gli account vengono presi. La Polizia parla di tecniche zero-click. Vuol dire che non devi cliccare niente: nessun link da aprire, nessun file da scaricare. L'attacco sfrutta falle in versioni non aggiornate di iOS e di WhatsApp sui dispositivi Apple. Se il telefono e indietro con gli aggiornamenti, l'accesso puo avvenire senza che l'utente faccia nulla. Una volta dentro, i criminali usano il tuo profilo per scrivere ai tuoi contatti fingendosi te.
In altri casi il furto passa ancora da un link che porta a un sito civetta, costruito per farsi consegnare credenziali e codici di verifica. E la tecnica piu vecchia, ma funziona lo stesso perche il messaggio arriva da un numero di cui ti fidi.
Cosa consiglia la Polizia
Le indicazioni sono concrete. Se ricevi una richiesta di soldi via chat, chiama la persona al suo numero vero prima di fare qualsiasi cosa, senza rispondere sul momento. Tieni iPhone e app aggiornati all'ultima versione: gli aggiornamenti chiudono proprio le falle che questi attacchi sfruttano. Attiva la verifica in due passaggi su WhatsApp e sull'Apple Account. Ogni tanto apri la sezione Dispositivi collegati dentro le impostazioni di WhatsApp: se vedi un accesso che non riconosci, disconnettilo. Non passare mai un codice a nessuno, nemmeno a un amico che te lo chiede. E se l'account viene rubato, avvisa subito i contatti e avvia la procedura di recupero. Le segnalazioni si fanno alla Polizia Postale su commissariatodips.it.
💬 Il mio commento
La parola zero-click fa notizia, e si capisce perche: l'idea che ti svuotino l'account senza toccare niente mette in soggezione. Pero occhio a non fermarsi li. Quasi tutti i casi che mi arrivano in azienda non partono da un exploit sofisticato, partono da una persona che ha inoltrato un codice a sei cifre a un finto collega o ha messo le credenziali su una pagina fatta bene. Il pezzo tecnico esiste, ma la leva resta la fretta unita alla fiducia: un messaggio che sembra del titolare, la richiesta urgente, e nessuno che si ferma trenta secondi a fare una telefonata.
Alle aziende con cui lavoro dico due cose semplici. La prima: gli aggiornamenti non sono una scocciatura da rimandare, sono la parte piu economica della difesa, e un parco di iPhone aziendali fermi a versioni vecchie e un problema che vedo ancora troppo spesso. La seconda: serve una regola condivisa sui pagamenti, scritta, per cui nessuno autorizza un bonifico o cambia un IBAN solo perche l'ha chiesto qualcuno su WhatsApp. Sembra banale, ma secondo me e la misura che ha bloccato piu tentativi di frode tra i miei clienti nell'ultimo anno. Poi resta un dubbio onesto: contro un attacco davvero zero-click su un telefono aggiornato si riduce la superficie, non si azzera il rischio. Se vi interessa, posso aiutarvi a mettere nero su bianco una procedura di verifica dei pagamenti e a controllare come stanno messi i dispositivi mobili della vostra azienda rispetto a questo tipo di truffa.