Recentemente la Polizia di Stato ha lanciato l’allarme riguardo ad una tipologia di attacco hacker, l’attacco Zero Click su Whatsapp, non dilungandosi sul come, per l’utente finale una nota a margine, ma esplicitando il cosa.
Si tratta di una variante di una delle più antiche forme di truffa della storia, l’ngegneria sociale. Per intenderci, la versione 2.0, anzi in questo 3.0, della truffa del tizio vestito da Carabiniere che bussa a casa di una donna anziana chiedendo con sollecitudine e fretta soldi per pagare l’avvocato necessario ad un presunto nipote dell’anziana arrestato o del truffatore che telefona dichiarando di essere stato inviato dalla banca o da un gestore di servizio per raccogliere debiti insoluti o chiedere con biasimevole petulanza accesso all’app bancaria per “valutare operazioni erronee” e, all’esito, chiedere bonifici e versamenti economici.
In questo caso abbiamo sempre un soggetto che si finge qualcun altro, ma con un passaggio in più: scroccare virtualmente un passaggio al tuo account Whatsapp.
Cosa è un attacco Zero Click su Whatsapp
Partiamo dal come: già un anno fa ACN, l’Agenzia Italiana per la Cybersicurezza nazionale aveva lanciato un allarme relativo a vulnerabilità di sistema di WhatsApp su iOS e MacOS (i sistemi operativi di iPhone, iPad, Macbook e dispositivi Macintosh fissi) che consentivano di bypassare in parte l’attività di collegamento dei dispositivi.
Una seconda spiegazione è ora necessaria: Whatsapp consente, per gli utenti che si ritrovano a passare molto tempo dinanzi alla tastiera di un PC o un Mac, ad esempio utenti professionali o semplici utenti che passano molto tempo al computer per gioco e lavoro, di “collegare” il proprio account Whatsapp ad una pagina web o una app scaricata sul Computer.
Dopo aver compiuto una serie di semplici operazioni che comprendono solitamente inquadrare un QR Code sul monitor ogni messaggio ricevuto sul vostro account WhatsApp sarà visualizzato sia sul cellulare che sul computer.
Almeno due vulnerabilità scoperte nello scorso anno interferiscono con questo meccanismo facendo in modo che un malintenzionato possa inviare messaggi dal vostro numero.
Ovviamente le vulnerabilità sono state patchate nelle versioni successive, ovvero corrette, ma questo non risolve il problema per gli utenti con versioni del sistema operativo e di WhatsApp non aggiornate e non esclude simili vulnerabilità scoperte successivamente.
Quindi il truffatore, senza che voi dobbiate interagire con una persona fisica (ad esempio contattando numeri di telefono o altro) o cliccare su link riesce a inviare messaggi dal vostro account, che quindi risultano col vostro numero, chiedendo soldi o altre utilità.
Diventa quindi Phishing: si spaccia per voi e chiede soldi, per poi sparire dal vostro account coi soldi altrui.
Come posso difendermi?
Il primo passo è aggiornare costantemente sistema operativo e app: le vulnerabilità vengono costantemente scoperte e costantemente corrette, per lo stesso motivo per cui ogni anno vengono scoperte serrature più moderne e ogni anno i ladri scoprono nuovi modi per rubare.
La leggenda metropolitana degli “aggiornamenti che non vanno mai fatti perché l’obsolescenza programmata significa che le multinazionali rompono i cellulari se li aggiorni, vogliono che compri i cellulari nuovi e quindi non devi mai aggiornare” è sostanzialmente una bufala coscientemente diffusa dai malintenzionati per spingervi a diventare vulnerabili e derubabili.
Il secondo passaggio è controllare costantemente i dispositivi collegati. Whatsapp disconnette automaticamente quelli non utilizzati da un po’, ma conviene sempre disconnetterli manualmente se non si intende continuare ad usarli, disconnettere ogni dispostivo sospetto e avvisare i propri contatti dell’intrusione.
Il terzo passaggio è attivare forme di autenticazione a “fattore multiplo”, che comprendono oltre alla password forme ulteriori di autentica come FaceID, controllo impronta e/o generazione di pincode provvisori. È probabile che su una configurazione non aggiornata o comunque vulnerabile il truffatore possa avere accesso al vostro account: ogni mezzo di autenticazione aggiunge un ostacolo in più che rende il suo lavoro smepre meno possibile.
Infine, è saggio disattivare il download automatico di file dalla chat, provvedendo quindi a scaricarli solo quando provengano da persona sicura o, anche se da persona sicura, dopo aver verificato l’invio e il cosiddetto controllo analogico.
Se un messaggio di un amico vi chiede urgentemente soldi per una emergenza e continua a “mettervi fretta” in modo sospetto insistendo con petulanza, non rispondete via messaggio ma telefonate al suo numero (i truffatori hanno accesso a Whatsapp ma non a tutto il cellulare) chiedendo spiegazioni.
Qualora il vostro amico non sia a conoscenza della richiesta, fategli effettuare i controlli di prima.
L’unica soluzione al momento è mantenere i propri dispositivi e applicazioni costantemente aggiornati, perché parliamo di vulnerabilità già note, ma anche aggiornando oggi non è detto che in futuro i ladri e i truffatori possano scoprire nuove vulnerabilità e solo un cellulare costantemente aggiornato è un cellulare sicuro.