Una segnalazione diffusa il 22 settembre 2026 ha descritto in Spagna una presunta truffa «zero-click» contro alcuni account WhatsApp utilizzati su iPhone con versioni meno recenti di iOS. Secondo la ricostruzione attribuita alla Guardia Civil, l’accesso all’account potrebbe avvenire senza che la vittima debba aprire un link, scansionare un codice QR o comunicare prima un codice di verifica. In seguito, chi prende il controllo userebbe le conversazioni reali e il numero della vittima per chiedere denaro ai suoi contatti.

L’allarme sulla truffa WhatsApp che non parte da un link

In questo caso, «zero-click» indica un accesso che, secondo la segnalazione, non richiederebbe un’azione preliminare evidente da parte dell’utente: niente clic su un collegamento, scansione di un QR code o condivisione di un codice di autenticazione.

La segnalazione ha collegato il caso a circa 50 denunce nell’area di Huelva, maturate dalla fine di agosto 2026. In La Rioja sono stati invece riportati quattro casi distinti tra Calahorra, Haro e Logroño; in uno di questi, una vittima avrebbe perso 2.000 euro. I due numeri riguardano aree diverse e descrivono episodi regionali separati.

Come un account reale diventa una trappola per i contatti

Il passaggio più insidioso arriva dopo la compromissione dell’account. I messaggi partirebbero dal numero autentico della vittima e dalle conversazioni già presenti in WhatsApp: per un familiare o un amico, la richiesta può quindi sembrare arrivare dalla persona conosciuta, non da un impostore.

Il pretesto sarebbe una necessità urgente di denaro, accompagnata dalla richiesta di un trasferimento o di un codice di recupero. Una ricostruzione del caso attribuisce inoltre agli aggressori la possibilità di inviare messaggi da un dispositivo collegato e di rimuoverli dalla visualizzazione del titolare usando la funzione «Elimina per me».

Il risultato è una classica operazione di ingegneria sociale, ma con un vantaggio per il truffatore: la fiducia costruita in precedenza nella chat è già lì, pronta all’uso.

Quali iPhone risultano associati al caso

Le segnalazioni hanno associato gli episodi ad alcuni modelli di iPhone con versioni di iOS attorno a 16.7.12 e precedenti. Il riferimento riguarda una parte dei dispositivi e non costituisce un’indicazione generale per tutti gli iPhone o per ogni installazione di WhatsApp non aggiornata.

Per questo, il controllo più utile è verificare la versione installata sul proprio telefono e mantenere aggiornati sia iOS sia WhatsApp. In WhatsApp conviene anche aprire la sezione dei dispositivi collegati, chiudendo le sessioni che non si riconoscono.

Le verifiche da fare oggi

  • Aggiorna iOS e WhatsApp all’ultima versione disponibile per il tuo dispositivo.
  • Apri WhatsApp → Impostazioni → Dispositivi collegati e disconnetti ogni sessione sospetta.
  • Attiva la verifica in due passaggi dalle impostazioni dell’account.
  • Non condividere codici ricevuti via SMS, codici di verifica o codici di recupero, nemmeno quando la richiesta sembra arrivare da un contatto conosciuto.

Se arriva una richiesta urgente di denaro

Non affidarti soltanto alla chat. Chiama direttamente la persona con il numero che hai già in rubrica oppure usa un altro canale indipendente per verificare la richiesta. Una voce familiare o una conferma video valgono più di un messaggio che arriva da un account apparentemente autentico.

Se il denaro è già stato trasferito, conserva messaggi, schermate e ricevute della transazione, contatta immediatamente la banca e presenta una denuncia alle autorità. Avvisa inoltre i contatti che potrebbero ricevere altre richieste dallo stesso account.