Una persona può ricevere un messaggio su WhatsApp da un familiare o da un amico e pensare di sapere con certezza chi glielo ha inviato. In realtà dietro quel messaggio potrebbe esserci un criminale.
È il rischio segnalato dalla Polizia di Stato, che mette in guardia da una nuova ondata di compromissioni dei profili WhatsApp e invita gli utenti a prestare particolare attenzione alle richieste di denaro.
Il problema riguarda in particolare alcuni dispositivi Apple che utilizzano versioni non aggiornate del sistema operativo iOS e dell’applicazione WhatsApp.
In determinate situazioni, le vulnerabilità possono essere sfruttate anche senza che la vittima debba cliccare su un collegamento o aprire un file.
Che cosa significa “account compromesso”
Per capire il pericolo è utile partire da un concetto semplice. L’account è, in questo caso, il proprio profilo WhatsApp, quello collegato al numero di telefono e attraverso il quale si inviano e si ricevono messaggi.
Quando si parla di account “compromesso” significa che una persona non autorizzata è riuscita ad accedere a quel profilo o a prenderne il controllo. Il criminale può quindi utilizzare WhatsApp fingendosi il legittimo proprietario.
Il problema diventa particolarmente serio perché i messaggi possono arrivare da un numero già conosciuto. Chi li riceve potrebbe quindi fidarsi e non sospettare immediatamente una truffa.
Il falso messaggio del familiare o dell’amico
Una volta ottenuto l’accesso al profilo, il criminale può contattare le persone presenti tra i contatti della vittima.
Può, per esempio, fingere di essere un figlio, un genitore, un fratello o un amico. Il messaggio può contenere una richiesta urgente di denaro. La giustificazione potrebbe essere un problema improvviso, la necessità di pagare qualcosa o una presunta emergenza.
È proprio l’urgenza a rappresentare uno degli elementi ai quali prestare maggiore attenzione. Una richiesta inattesa di denaro, anche se arriva dal numero di una persona conosciuta, deve essere verificata prima di qualsiasi pagamento.
La Polizia di Stato raccomanda di contattare direttamente la persona attraverso un altro numero di telefono o un altro dispositivo, o, se è possibile, telefonandogli o meglio ancora incontrandola di persona.
Che cosa sono gli attacchi “Zero-click”
Il termine tecnico utilizzato per descrivere questa modalità di attacco è “Zero-click”. Letteralmente significa “zero clic”.
Il nome indica una caratteristica importante: in alcuni casi l’utente non deve fare nulla per permettere lo sfruttamento della vulnerabilità. Non è quindi necessario cliccare su un link ricevuto con un messaggio o scaricare volontariamente un programma per rischiare di cadere nella trappola.
Questo rende gli attacchi particolarmente difficili da riconoscere.
Molte truffe online richiedono infatti un comportamento della vittima. Per esempio, bisogna aprire un collegamento, inserire una password o comunicare un codice ricevuto sul telefono.
Nel caso di questi attacchi “zero-click”, invece, la vulnerabilità può essere sfruttata senza una simile azione da parte dell’utente.
Il rischio per i dispositivi Apple non aggiornati
Le vulnerabilità segnalate riguardano versioni non aggiornate di iOS e di WhatsApp sui dispositivi Apple.
Per questo motivo uno dei consigli più importanti è mantenere sempre aggiornati sia il telefono sia le applicazioni installate.
Gli aggiornamenti non servono soltanto ad aggiungere nuove funzioni o a modificare l’aspetto delle applicazioni. Spesso contengono anche correzioni che chiudono falle di sicurezza.
Apple ha già provveduto a risolvere le vulnerabilità attraverso specifici aggiornamenti di sicurezza. È quindi importante installare le versioni più recenti disponibili per il proprio dispositivo.
Controllare chi ha accesso al proprio WhatsApp
La Polizia di Stato consiglia anche di controllare periodicamente la sezione “Dispositivi collegati” di WhatsApp.
In questa sezione è possibile vedere quali computer, tablet o altri dispositivi risultano collegati al proprio WhatsApp. Se compare un dispositivo che non si riconosce, è possibile disconnetterlo.
Si tratta di un controllo semplice che può aiutare a individuare rapidamente un accesso sospetto. È quindi utile inserirlo tra le verifiche da effettuare periodicamente.
La verifica in due passaggi
Un’altra protezione importante è la verifica in due passaggi. Si tratta di una funzione di sicurezza che aggiunge un ulteriore controllo quando si configura WhatsApp sul proprio numero.
La Polizia di Stato raccomanda inoltre di limitare il download automatico di contenuti e allegati e di proteggere il telefono con un codice di accesso. Sui dispositivi compatibili è possibile utilizzare anche sistemi biometrici come Touch ID o Face ID.
Per chi utilizza un Apple Account, viene inoltre raccomandata l’autenticazione a due fattori. Anche in questo caso lo scopo è aggiungere un livello di protezione ulteriore.
Cosa fare se qualcuno usa il nostro WhatsApp
Se ci si accorge che il proprio profilo WhatsApp potrebbe essere stato violato, è importante intervenire rapidamente.
Prima di tutto bisogna avvisare familiari, amici e altri contatti. È importante spiegare loro che eventuali messaggi ricevuti dal proprio numero potrebbero non essere stati inviati direttamente da noi.
In particolare, bisogna chiedere di non inviare denaro e di non seguire eventuali richieste sospette.
Contemporaneamente occorre avviare la procedura per recuperare il controllo del proprio profilo.
La rapidità può essere fondamentale. Più a lungo un criminale riesce a utilizzare un profilo, maggiore può essere il numero di persone raggiunte con messaggi ingannevoli.
Una regola semplice: verificare sempre prima di pagare
Al di là degli aspetti tecnici, il consiglio più semplice resta quello di non inviare mai denaro sulla base di una richiesta ricevuta soltanto tramite WhatsApp, anche quando sembra provenire da una persona conosciuta.
Se il messaggio parla di un’emergenza e chiede di effettuare rapidamente un pagamento, è meglio fermarsi e verificare. Una telefonata al numero abituale della persona, un contatto attraverso un altro canale o una verifica di persona possono permettere di capire immediatamente se la richiesta è autentica.
Gli aggiornamenti di sicurezza, il controllo dei dispositivi collegati e la verifica in due passaggi rappresentano invece alcune delle principali misure tecniche per proteggere il proprio profilo.
Le segnalazioni alla Polizia Postale
In caso di dubbi o se si ritiene di essere stati vittima di un attacco, è possibile rivolgersi alla Polizia Postale attraverso il sito del Commissariato di PS online.
Il portale indicato dalla Polizia di Stato è www.commissariatodips.it.
Leggi anche: Falso messaggio whatsapp sulla Tari. L’avvertimento: “Attenti a non richiamare, ci rimettete molti soldi”
