Eulogika Logo
    eulogika
    Cambia lingua
    Torna al Blog

    WhatsApp clonato senza un click: come un iPhone non aggiornato ha spalancato la porta agli attaccanti

    10 settembre 2026

    Nella primavera del 2026 diversi utenti italiani si sono visti clonare l’account WhatsApp senza aver toccato nulla: nessun link, nessun allegato, nessun codice inserito. I criminali hanno usato il loro numero per chiedere bonifici ai contatti più recenti. Il filo conduttore di tutti i casi analizzati dal laboratorio forense Forenser è uno solo: iPhone con un iOS non aggiornato. In questo articolo spieghiamo come funziona l’attacco, perché un sistema operativo obsoleto ha spalancato la porta agli attaccanti e cosa fare, in azienda e a casa, per chiudere quella porta.

    Cosa è successo

    A maggio 2026 il team di informatica forense Forenser ha ricevuto una serie di segnalazioni con lo stesso schema. Le vittime venivano contattate da amici e colleghi con domande come «Perché devo darti dei soldi?» o «A cosa ti serve il bonifico?». Erano risposte a messaggi che la vittima non aveva mai scritto, ma che comparivano nelle sue chat contrassegnati come «Tu».

    La caratteristica che ha reso il caso diverso dalle solite truffe è che nella sezione Dispositivi collegati di WhatsApp non compariva nulla di anomalo. Nessun browser sconosciuto, nessun computer estraneo. Chi controllava l’account non era «collegato» come dispositivo secondario: stava usando direttamente la sessione autentica dell’app installata sul telefono della vittima.

    Tutti i dispositivi coinvolti erano iPhone dal modello 8 al 14 (comprese le varianti X, XR, XS e SE) con iOS 16 non aggiornato. Il caso è stato raccontato il 26 maggio 2026 da Fanpage.it, e il 1° settembre 2026 Forenser ha annunciato di aver replicato l’exploit in laboratorio e di aver condiviso con Meta l’ambiente di test e la vulnerabilità sfruttata.

    Come funziona un attacco zero-click

    Un attacco zero-click non richiede alcuna azione da parte della vittima. Il telefono elabora automaticamente i contenuti che riceve, ad esempio l’anteprima di un’immagine, e se il codice che li elabora contiene un difetto, quel difetto può essere sfruttato senza che nessuno apra il messaggio. È la stessa famiglia di tecniche usata dagli spyware commerciali come Graphite di Paragon.

    Nel caso in esame la catena d’attacco sfrutta due vulnerabilità distinte, una nel sistema operativo e una nell’app:

    Vulnerabilità Dove si trova Cosa permette Corretta in
    CVE-2025-43300 ImageIO, la libreria di iOS che decodifica le immagini (usata anche da WhatsApp) Scrittura fuori dai limiti del buffer con un’immagine manipolata: corruzione della memoria ed esecuzione di codice iOS 18.6.2, iOS 16.7.12 e iPadOS 17.7.10 (agosto 2025)
    CVE-2025-55177 WhatsApp per iOS e macOS Autorizzazione incompleta dei messaggi di sincronizzazione tra dispositivi: un estraneo può far elaborare al telefono contenuti da un URL arbitrario WhatsApp iOS 2.25.21.73, WhatsApp Business iOS 2.25.21.78 (agosto 2025)

    Le due falle si completano a vicenda. La vulnerabilità di WhatsApp fornisce il canale di consegna: permette a chi non è tra i tuoi contatti di far scaricare ed elaborare al tuo telefono un contenuto scelto da lui. La vulnerabilità di ImageIO fornisce il punto d’ingresso: quel contenuto è un’immagine costruita apposta per mandare in crisi il decodificatore e prendere il controllo del processo. Una volta dentro, l’attaccante si inserisce nella normale sincronizzazione tra l’app e i server di WhatsApp, creando una «sessione fantasma» che continua a rinegoziarsi. Nei log dei telefoni analizzati Forenser ha trovato proprio questo: una sequenza continua di eventi di resync, come se due endpoint si contendessero la stessa sessione.

    Il punto centrale: la superficie d’attacco l’ha aperta l’obsolescenza

    Questa è la parte che merita più attenzione. Entrambe le vulnerabilità erano già state corrette ad agosto 2025. Apple ha rilasciato la patch anche per il ramo iOS 16, quello su cui sono fermi iPhone 8 e iPhone X, e Meta ha aggiornato WhatsApp per iOS nelle stesse settimane. Gli attacchi osservati in Italia risalgono a maggio 2026: nove mesi dopo la disponibilità delle correzioni.

    In altre parole, gli attaccanti non hanno avuto bisogno di un exploit nuovo. Hanno preso una catena già documentata pubblicamente, con tanto di analisi tecnica, e l’hanno puntata contro il bacino di telefoni che nessuno aveva aggiornato. Un iPhone rimasto a una versione di iOS 16 precedente alla 16.7.12, con sopra una copia di WhatsApp mai aggiornata, presentava entrambe le falle aperte contemporaneamente. È esattamente la combinazione che serve a un attacco zero-click per funzionare.

    Il concetto di «obsoleto» qui ha due facce, e vanno tenute separate perché richiedono rimedi diversi:

    • Hardware fuori dal ciclo principale di supporto. iPhone 8 e X non possono andare oltre iOS 16. Apple pubblica ancora qualche correzione di sicurezza per questo ramo, ma con frequenza minore e per un periodo limitato: la finestra di protezione si sta chiudendo.
    • Aggiornamenti disponibili ma mai installati. È il caso più diffuso e più evitabile. Gli iPhone dall’11 in su potevano passare a iOS 18 e chiudere la falla ImageIO da subito; gli 8 e X potevano almeno arrivare a 16.7.12. Lo stesso vale per WhatsApp: l’aggiornamento era sull’App Store da agosto 2025.

    Vale la pena sottolineare che bastava chiudere una sola delle due falle per spezzare la catena. Un iOS aggiornato senza WhatsApp aggiornato avrebbe comunque neutralizzato l’esecuzione di codice; un WhatsApp aggiornato su un iOS vecchio avrebbe tolto all’attaccante il canale di consegna. La superficie d’attacco è diventata devastante solo perché su quei telefoni non era stato aggiornato niente.

    Perché «aggiornato» non vuol dire «invulnerabile»

    Forenser è chiara su un punto che vale anche per noi: la verifica in due passaggi, il PIN, il blocco biometrico delle chat e il controllo dei dispositivi collegati restano utili contro altri vettori, ma non sostituiscono le patch. Questo attacco non ruba credenziali e non aggiunge dispositivi: aggira tutte quelle protezioni perché sfrutta difetti nel codice, non errori dell’utente.

    Allo stesso tempo, aggiornare oggi non bonifica un telefono già compromesso ieri. Se il dispositivo è stato colpito prima della patch, la sessione fantasma può sopravvivere all’aggiornamento e va chiusa esplicitamente, reinstallando WhatsApp o forzando una nuova autenticazione. E naturalmente resta la finestra tra la scoperta di una nuova falla e il rilascio della correzione, che nessun aggiornamento può azzerare. Ridurre quella finestra al minimo è però l’unica cosa che dipende interamente da noi.

    Cosa fare: privati

    1. Aggiorna iOS subito. Se il tuo iPhone è fermo a iOS 16, verifica di avere almeno la 16.7.12 (l’ultima disponibile è la 16.7.16). Se supporta iOS 17 o 18, aggiorna alla versione più recente.
    2. Aggiorna WhatsApp alla versione 2.25.21.73 o successiva e attiva gli aggiornamenti automatici dell’App Store.
    3. Verifica sempre le richieste di denaro su un canale diverso. Se un contatto ti chiede un bonifico su WhatsApp, chiamalo al numero che già conosci. Non rispondere sulla chat: se il suo account è compromesso, la risposta potrebbe non arrivargli mai.
    4. Se sospetti di essere stato colpito, avvisa i contatti, reinstalla WhatsApp dopo aver aggiornato iOS e, se il caso ha risvolti legali o economici, rivolgiti a un professionista di analisi forense prima di inizializzare il telefono, o perderai le prove.
    5. Per chi è particolarmente esposto (dirigenti, giornalisti, professionisti che trattano dati sensibili), valuta la Modalità di isolamento di Apple e le Impostazioni account rigorose di WhatsApp.

    Cosa fare: aziende

    Per un’azienda il rischio non è il singolo account, ma l’effetto a catena: il telefono di un commerciale o di un amministrativo diventa la fonte «affidabile» da cui parte una richiesta di bonifico a un cliente o a un fornitore. Il danno è economico e reputazionale insieme. Alcune misure concrete:

    • Inventario dei dispositivi mobili, inclusi quelli personali usati per lavoro (BYOD). Se non sapete quali telefoni accedono ai canali aziendali, non potete sapere quali sono aggiornati.
    • Politica di aggiornamento obbligatorio per sistema operativo e app di messaggistica, applicata tramite MDM dove possibile, oppure con verifiche periodiche documentate.
    • Fine vita pianificata per l’hardware. Un iPhone che non può più ricevere l’iOS corrente è un rischio noto e misurabile: va sostituito, non tenuto in uso «finché funziona».
    • Procedura scritta per le richieste di pagamento. Nessun bonifico, cambio IBAN o pagamento urgente viene eseguito sulla base di un messaggio di chat, chiunque sia il mittente. Sempre una conferma telefonica a un numero già noto o un’approvazione sul gestionale.
    • Formazione periodica: i dipendenti devono sapere che l’assenza di dispositivi sconosciuti in «Dispositivi collegati» non è più una garanzia.

    In Eulogika seguiamo da anni la parte sistemistica e di sicurezza dei nostri clienti, dai server ai dispositivi in mano agli operatori di fabbrica e agli uffici. Se volete verificare lo stato di aggiornamento del vostro parco dispositivi o definire una procedura anti-frode per i pagamenti, contattateci.

    Fonti