Un attacco zero-click su WhatsApp può sfruttare una vulnerabilità senza che tu debba aprire un link, scaricare un file o inserire un codice. È proprio questo l’aspetto che distingue la nuova ondata segnalata dalla Polizia di Stato dalle classiche truffe via chat. L’allerta riguarda soprattutto dispositivi Apple con versioni non aggiornate di iOS e di WhatsApp.
La prima cosa da fare non è cercare codici segreti o app “anti-spia”, ma aggiornare iPhone e WhatsApp, controllare i dispositivi collegati e attivare la verifica in due passaggi. Se dal tuo account partono richieste di denaro che non hai scritto tu, avvisa subito i contatti e avvia il recupero dell’account.
Cos’è un attacco zero-click su WhatsApp
Nelle truffe WhatsApp più comuni serve quasi sempre un’azione della vittima: aprire un link, comunicare un codice ricevuto via SMS, installare un’app oppure collegare volontariamente un dispositivo. Un attacco zero-click è diverso perché può sfruttare una falla del software senza richiedere quella interazione.
La Polizia di Stato ha segnalato a fine agosto 2026 una nuova ondata di compromissioni riconducibili a questa modalità. L’avviso parla di vulnerabilità presenti in versioni non aggiornate di iOS e WhatsApp sui dispositivi Apple e precisa che, in alcuni casi, l’utente può essere colpito senza compiere alcuna azione.
Chi è a rischio nella nuova ondata
L’avviso diffuso dalla Polizia punta soprattutto sui dispositivi Apple che non hanno installato gli aggiornamenti più recenti. Non significa che ogni iPhone non aggiornato sia stato compromesso, né che qualunque anomalia di WhatsApp dimostri la presenza di spyware.
Il punto pratico è un altro: quando una vulnerabilità è già stata corretta, continuare a usare una versione vecchia di iOS o dell’app lascia aperta una superficie di attacco che l’aggiornamento serve a chiudere. Per questo conviene controllare sia gli update di sistema sia quelli disponibili sull’App Store.
Se il tuo dubbio nasce da messaggi letti da soli, sessioni sconosciute o altre anomalie, abbiamo già una guida dedicata a come capire se WhatsApp è spiato e quali controlli hanno senso. È utile distinguere un accesso non autorizzato normale da un attacco che sfrutta una vulnerabilità.
Come capire se il tuo account è stato compromesso
Un attacco zero-click può essere difficile da individuare direttamente. Non esiste un indicatore semplice che, da solo, dimostri che il telefono sia stato colpito. Ci sono però segnali che richiedono un controllo immediato:
- contatti che ricevono da te richieste di denaro che non hai inviato;
- modifiche all’account o alle impostazioni che non riconosci;
- sessioni o dispositivi collegati sconosciuti;
- perdita improvvisa dell’accesso all’account;
- messaggi inviati senza la tua autorizzazione.
Batteria che dura meno, telefono caldo o app più lenta non bastano per parlare di compromissione. Sono sintomi generici che possono dipendere da aggiornamenti, sincronizzazioni, app in background o dallo stato della batteria.
Cosa controllare subito su WhatsApp
Apri WhatsApp e verifica la sezione Dispositivi collegati. Se compare un computer, un browser o un altro dispositivo che non riconosci, scollegalo. Questo controllo non può escludere ogni forma di attacco avanzato, ma rimane uno dei passaggi più utili per scoprire sessioni non autorizzate.
Attiva anche la verifica in due passaggi nelle impostazioni dell’account. È una protezione importante soprattutto contro i tentativi di registrazione o sottrazione dell’account. Non sostituisce gli aggiornamenti di sicurezza del telefono, ma aggiunge un ostacolo alle tecniche più comuni di takeover.
Cosa fare per ridurre il rischio
- Aggiorna iOS all’ultima versione disponibile per il tuo iPhone.
- Aggiorna WhatsApp dall’App Store.
- Controlla i dispositivi collegati e rimuovi quelli sconosciuti.
- Attiva la verifica in due passaggi su WhatsApp.
- Proteggi l’iPhone con codice e biometria.
- Evita pagamenti richiesti via chat finché non hai verificato l’identità della persona attraverso un altro canale.
L’ultimo punto è essenziale perché l’obiettivo pratico della campagna segnalata non si ferma alla sottrazione dell’account: una volta ottenuto l’accesso, i criminali possono scrivere ad amici e familiari fingendosi la vittima e chiedere denaro.
È lo stesso motivo per cui le vecchie truffe basate su codici, messaggi urgenti e falsi conoscenti continuano a funzionare. Può esserti utile leggere anche come riconoscere i messaggi WhatsApp costruiti per ottenere una risposta o spingerti a fidarti del mittente.
Se dal tuo WhatsApp stanno chiedendo soldi ai contatti
Se amici o familiari ti avvisano che dal tuo numero stanno partendo richieste di denaro, considera l’account potenzialmente compromesso. Avvisa immediatamente i contatti usando un altro canale, chiedi di ignorare qualsiasi richiesta ricevuta e prova a recuperare l’accesso dall’app ufficiale.
Controlla poi gli aggiornamenti del telefono, cambia le credenziali coinvolte quando necessario e verifica anche la sicurezza del tuo Apple Account. Se sono stati effettuati pagamenti o ci sono elementi concreti di frode, conserva messaggi e ricevute e segnala l’accaduto alla Polizia Postale.
Zero-click non significa che ogni iPhone sia sotto attacco
L’espressione “zero-click” può far pensare a un attacco inevitabile, ma non è così. La segnalazione riguarda vulnerabilità e compromissioni specifiche, mentre gli aggiornamenti servono proprio a correggere le falle note. Se iOS e WhatsApp sono aggiornati, riduci il rischio legato alle vulnerabilità già risolte.
La regola utile, quindi, è semplice: non aspettare un sintomo sospetto per aggiornare il telefono. In questo caso la prevenzione più importante avviene prima, mantenendo sistema e app alle versioni supportate e verificando periodicamente la sicurezza dell’account.
