Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Una nuova ondata di compromissioni sta interessando utenti iPhone in Italia. Account WhatsApp apparentemente integri vengono utilizzati per contattare amici e conoscenti e chiedere denaro, mentre la sezione “Dispositivi collegati” può non mostrare alcuna anomalia. In alcuni casi, la compromissione può inoltre verificarsi nonostante sia attiva la verifica in due passaggi, un ulteriore elemento che distingue questo scenario dalle tradizionali tecniche di acquisizione degli account. Le analisi forensi italiane, confrontate con la ricerca internazionale sulle vulnerabilità CVE-2025-55177 e CVE-2025-43300, permettono di ricostruire uno scenario di attacco zero-click particolarmente sofisticato.
La caratteristica più inquietante è che, nei casi analizzati, la vittima non sembra aver compiuto nessuna delle azioni normalmente associate alla compromissione di un account WhatsApp.
Nessun QR code scansionato, nessun codice di verifica comunicato, nessun dispositivo sconosciuto apparentemente associato all’account.
Eppure, a un certo punto, dal proprio account iniziano a partire messaggi verso persone conosciute, spesso accompagnati da una richiesta di denaro.
È da qui che bisogna partire per comprendere cosa sta realmente accadendo.
Le analisi forensi condotte in Italia hanno evidenziato una serie di casi con caratteristiche ricorrenti. Le prime segnalazioni risalgono alla primavera del 2026, seguite da ulteriori episodi nei mesi successivi e da una nuova, significativa ondata di compromissioni registrata negli ultimi giorni.
Tra gli elementi osservati compaiono iPhone dalla generazione 8 fino a iPhone 14, con dispositivi sui quali risultavano installate versioni di iOS 16. Gli attaccanti scrivono ai contatti della vittima direttamente dal suo numero WhatsApp, spesso chiedendo di effettuare un bonifico.
Un ulteriore elemento ricorrente è che l’attività sembra concentrarsi sulle conversazioni recenti: l’attaccante appare quindi in grado di utilizzare almeno una parte delle informazioni necessarie per individuare i destinatari più plausibili.
Ma c’è un particolare ancora più significativo: nessun dispositivo estraneo risulta visibile nella sezione “Dispositivi collegati”.
Le vittime, inoltre, non riferiscono di aver effettuato operazioni di pairing, fornito codici o inquadrato QR code.
Questo esclude, nei casi analizzati, il classico schema del cosiddetto ghost pairing e porta verso un modello di compromissione zero-click.
L’analisi dei dispositivi ha evidenziato anche anomalie nei meccanismi di sincronizzazione, con ripetuti eventi di resync, cioè tentativi di riallineare la sessione e i relativi dati tra il dispositivo della vittima e i servizi di WhatsApp.
Il fenomeno è particolarmente interessante perché aiuta a comprendere come l’account possa rimanere apparentemente funzionante sul dispositivo della vittima mentre viene utilizzato contemporaneamente dall’attaccante.
In questo scenario, quindi, non è necessariamente presente il classico “nuovo dispositivo” che l’utente può individuare dall’interfaccia di WhatsApp.
Un comportamento analogo è stato successivamente descritto anche in un advisory del Jamaica Cyber Incident Response Team, che ha documentato compromissioni zero-click di account WhatsApp su dispositivi iOS 16, con attività non autorizzata, richieste di denaro, anomalie di sincronizzazione e assenza di dispositivi sospetti nella sezione “Linked Devices”.
Il parallelismo è significativo, anche se non permette di affermare che tutti gli episodi siano riconducibili allo stesso attore.
Un ulteriore elemento di rilievo è il rapporto con la verifica in due passaggi di WhatsApp. La protezione aggiunge normalmente un ulteriore livello di sicurezza contro la presa di controllo dell’account, ma la catena descritta in questi attacchi non segue il normale percorso di autenticazione previsto per l’accesso all’account.
Il punto non è quindi il furto o l’indovinamento del PIN della verifica in due passaggi. La catena di exploit opera a un livello differente, sfruttando la vulnerabilità nella gestione della sincronizzazione per ottenere l’esecuzione delle operazioni necessarie alla compromissione senza passare dal normale processo di autenticazione dell’utente.
Per comprendere la possibile origine tecnica dell’attacco bisogna partire da CVE-2025-55177.
Il National Vulnerability Database di NIST descrive la vulnerabilità come una incomplete authorization of linked device synchronization messages in WhatsApp per iOS.
In determinate condizioni, un soggetto non autorizzato poteva provocare sul dispositivo bersaglio l’elaborazione di contenuti provenienti da un URL arbitrario.
Per WhatsApp per iOS risultano vulnerabili le versioni dalla 2.22.25.2 fino alle precedenti alla 2.25.21.73; per WhatsApp Business per iOS la correzione arriva con la versione 2.25.21.78.
Il CSIRT ha classificato la vulnerabilità come ad alta gravità e ha spiegato che il problema riguarda la gestione dei messaggi di sincronizzazione tra dispositivi associati: nelle versioni vulnerabili il controllo delle fasi di autorizzazione risultava incompleto e poteva permettere l’inserimento di contenuto malevolo nel flusso di sincronizzazione.
La stessa WhatsApp ha inoltre dichiarato che la vulnerabilità, combinata con CVE-2025-43300, potrebbe essere stata sfruttata in un attacco sofisticato contro utenti specifici.
Il secondo elemento della catena è CVE-2025-43300, una vulnerabilità del componente ImageIO di Apple.
Si tratta di una out-of-bounds write: durante l’elaborazione di un’immagine appositamente costruita era possibile provocare una corruzione della memoria.
Apple ha dichiarato di essere a conoscenza di una segnalazione secondo cui la vulnerabilità poteva essere stata sfruttata in un attacco estremamente sofisticato contro individui specifici.
La vulnerabilità è stata corretta in iOS 16.7.12 per i dispositivi che supportano quel ramo del sistema operativo. NIST indica inoltre come interessate versioni precedenti alla 15.8.5, 16.7.12 e 18.6.2, a seconda del ramo di iOS utilizzato.
È quindi importante non ridurre il problema a una generica “vulnerabilità degli iPhone con iOS 16”: la condizione di esposizione dipende dalla versione effettivamente installata.
È la combinazione delle due CVE a rendere particolarmente interessante il caso.
In forma semplificata, la catena può essere rappresentata così:
WhatsApp → CVE-2025-55177 → contenuto remoto → immagine appositamente costruita → ImageIO → CVE-2025-43300
La prima vulnerabilità permette di raggiungere il dispositivo attraverso il meccanismo di sincronizzazione di WhatsApp.
La seconda riguarda invece l’elaborazione del contenuto grafico da parte del sistema operativo.
Il risultato è una catena nella quale il contenuto può essere processato senza che l’utente debba necessariamente aprirlo volontariamente.
È questo il punto centrale dello zero-click.
La possibilità di concatenare le due vulnerabilità è stata approfondita anche dalla ricerca internazionale.
Al 39C3 – Chaos Communication Congress, Zhongrui Li, Yizhe Zhuang e Kira Chen hanno presentato DNGerousLINK: A Deep Dive into WhatsApp 0-Click Exploits on iOS and Samsung Devices.
La ricerca analizza la catena CVE-2025-55177/CVE-2025-43300 e il ruolo dei file DNG nel raggiungimento del componente di elaborazione delle immagini.
I ricercatori hanno approfondito il comportamento del framework RawCamera durante il parsing dei file DNG e hanno ricostruito la condizione di out-of-bounds associata a CVE-2025-43300.
La ricerca ha inoltre portato alla realizzazione di una Proof of Concept, dimostrando la possibilità di riprodurre la catena su dispositivi Apple.
Questo passaggio è importante perché permette di comprendere tecnicamente come una vulnerabilità applicativa e una vulnerabilità del sistema operativo possano essere utilizzate come anelli consecutivi della stessa catena.
C’è poi un elemento istituzionale che rafforza ulteriormente il quadro.
CVE-2025-55177 è stata inserita da CISA nel Known Exploited Vulnerabilities Catalog.
NIST riporta inoltre la valutazione CISA secondo cui lo sfruttamento della vulnerabilità è classificato come active, con impatto tecnico total.
Questo significa che esistono evidenze istituzionali di sfruttamento reale della vulnerabilità.
Non significa però che ogni compromissione WhatsApp osservata oggi debba essere automaticamente attribuita a questa CVE. La presenza di una vulnerabilità sfruttata non costituisce, da sola, prova dell’origine di uno specifico incidente.
Il caso italiano trova un riscontro interessante anche all’estero.
Il Jamaica Cyber Incident Response Team ha descritto un attacco di tipo Zero-Click WhatsApp Account Takeover contro dispositivi iOS 16, nel quale la vittima non deve cliccare link, scansionare QR code, aprire manualmente file o approvare richieste di accesso.
Tra gli effetti indicati figurano messaggi non autorizzati inviati dall’account compromesso, comprese richieste di trasferimenti finanziari, anomalie di sincronizzazione e assenza di dispositivi sospetti nella sezione dei dispositivi collegati.
L’organismo collega inoltre lo scenario alla combinazione tra CVE-2025-55177 e CVE-2025-43300.
Il confronto con i casi italiani è quindi particolarmente significativo.
La ricerca internazionale ha inoltre evidenziato un secondo filone relativo ai dispositivi Samsung e alla vulnerabilità CVE-2025-21043, anch’essa legata all’elaborazione di immagini. Il caso Samsung è tecnicamente distinto da quello Apple, ma conferma l’interesse degli attaccanti verso i parser multimediali come superficie d’attacco per tecniche zero-click.
La presenza di iPhone 14 nei casi italiani merita una precisazione.
Non è corretto affermare che “la vulnerabilità riguarda gli iPhone fino al 14”.
CVE-2025-55177 riguarda specifiche versioni di WhatsApp per iOS, mentre CVE-2025-43300 riguarda specifiche versioni dei sistemi operativi Apple.
Il modello del dispositivo, quindi, non è sufficiente per stabilire l’esposizione.
La verifica deve considerare:
modello → versione iOS → versione WhatsApp → patch installate.
Questo è particolarmente importante per i dispositivi più vecchi, che possono rimanere fermi a versioni del sistema operativo non più aggiornabili.
La disattivazione del download automatico di foto, video e documenti può essere una precauzione utile, ma non costituisce una difesa specifica contro uno zero-click.
Il semplice download del file e la sua elaborazione da parte di un componente software sono infatti operazioni differenti.
Se il contenuto viene processato automaticamente, impedire il salvataggio del file non garantisce che il parser vulnerabile non venga raggiunto.
La misura fondamentale rimane quindi l’aggiornamento di iOS e WhatsApp alle versioni disponibili e supportate.
La parte tecnica dell’attacco è sofisticata. L’utilizzo successivo dell’account, invece, è estremamente semplice.
L’attaccante può rivolgersi alle persone che conoscono la vittima e utilizzare conversazioni reali per formulare una richiesta di denaro.
Il destinatario non vede un numero sconosciuto.
Vede il nome di una persona di cui si fida.
Non è quindi necessario costruire una falsa identità: l’attaccante può utilizzare quella reale.
È in questo passaggio che l’exploit diventa social engineering e può trasformarsi in una frode.
Una richiesta di bonifico, di prestito urgente o di pagamento può risultare credibile proprio perché arriva dall’account autentico della persona conosciuta.
Esiste anche un ulteriore effetto da considerare.
Un account compromesso che viene utilizzato per inviare numerosi messaggi o richieste di denaro può generare un comportamento riconducibile ai sistemi automatici di contrasto allo spam.
La vittima potrebbe quindi subire una sospensione o una revoca dell’account a causa di attività che non ha effettuato volontariamente.
I due eventi devono però essere distinti:
la compromissione è l’incidente di sicurezza; la sospensione o revoca è una conseguenza dell’attività rilevata dalla piattaforma.
La seconda non dimostra quindi, da sola, quale tecnica sia stata utilizzata per ottenere l’accesso.
Le informazioni disponibili indicano che il fenomeno continua a essere osservato e presenta caratteristiche riscontrate anche al di fuori dell’Italia.
CISA continua a classificare CVE-2025-55177 come vulnerabilità sfruttata e il quadro internazionale mostra casi con caratteristiche analoghe.
È quindi corretto considerare la minaccia concreta.
È invece necessario mantenere prudenza nell’attribuzione: le informazioni pubbliche non consentono di stabilire che ogni caso recente sia stato realizzato dallo stesso attore, attraverso la stessa infrastruttura o con la medesima implementazione dell’exploit.
Il caso mostra un’evoluzione importante rispetto alle campagne tradizionali.
Per anni la principale raccomandazione è stata quella di non cliccare link sospetti, non aprire allegati e non comunicare codici di verifica.
Queste precauzioni rimangono fondamentali, ma non possono proteggere da una catena zero-click nella quale l’utente non costituisce il punto debole.
La superficie d’attacco può trovarsi nei componenti che lavorano automaticamente:
sincronizzazione → contenuto remoto → parser → libreria multimediale → sistema operativo.
È proprio questo l’aspetto più difficile da percepire per una vittima: il dispositivo può essere attaccato mentre, dal suo punto di vista, non sta facendo nulla di anomalo.
La nuova ondata di compromissioni WhatsApp osservata in Italia rappresenta un caso significativo dell’evoluzione degli attacchi contro i dispositivi mobili.
CVE-2025-55177 interessa la gestione dei messaggi di sincronizzazione dei dispositivi collegati di WhatsApp, mentre CVE-2025-43300 riguarda il componente ImageIO di Apple. WhatsApp ha confermato che la prima vulnerabilità, in combinazione con una vulnerabilità del sistema operativo Apple, potrebbe essere stata sfruttata in attacchi sofisticati contro utenti specifici.
La presenza della CVE nel catalogo CISA delle vulnerabilità sfruttate e la successiva ricostruzione tecnica internazionale rendono il quadro particolarmente significativo.
Ma l’aspetto più preoccupante emerge quando la componente tecnica lascia spazio a quella criminale.
Una catena di exploit complessa può terminare con un messaggio semplicissimo, inviato dal vero account della vittima a una persona che si fida di lei:
“Mi fai un bonifico?”
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/