WhatsApp hackerato: come si raccoglie una prova legale valida in tribunale
Zero-click, nessun link cliccato: come si documenta un accesso abusivo e cosa cambia se l'account è aziendale, per chi deve gestire il caso sul piano legale.
Cosa sta succedendo
Negli ultimi giorni di agosto 2026 la Polizia Postale ha segnalato una nuova ondata di compromissioni di account WhatsApp su dispositivi Apple. Il meccanismo è quello di un attacco zero-click: l'account risulta compromesso senza che la vittima abbia cliccato un link, scansionato un QR code o comunicato un codice di verifica. Da quel momento, i messaggi con richieste di denaro partono dal numero reale della vittima e arrivano a chi la conosce davvero, il che li rende molto più credibili di una truffa "da sconosciuto".
Le analisi forensi italiane, confrontate con la ricerca internazionale, riconducono il fenomeno alla concatenazione di due vulnerabilità: una falla nella gestione dei messaggi di sincronizzazione tra dispositivi collegati di WhatsApp per iOS (CVE-2025-55177) e una falla nel componente Apple che elabora le immagini, ImageIO (CVE-2025-43300). La prima apre la porta, la seconda esegue il codice attraverso un'immagine costruita ad arte. Entrambe risultano già corrette da Meta e Apple con gli aggiornamenti più recenti, e la CVE-2025-55177 è inserita nel catalogo delle vulnerabilità sfruttate attivamente tenuto da CISA, l'agenzia statunitense per la cybersicurezza.
Per l'analisi tecnica completa della catena di exploit rimandiamo al nostro approfondimento su zero-click e spyware su iPhone e all'articolo di Alchimie Digitali su WhatsApp compromesso su iPhone senza QR code, che ricostruisce la prima comparsa di questa catena di vulnerabilità. Qui ci concentriamo su un aspetto che quei due pezzi non trattano: cosa fare, in concreto, per non perdere le prove e per muoversi correttamente sul piano legale.
Un punto che va chiarito subito
La Polizia Postale consiglia, giustamente, di controllare periodicamente la sezione "Dispositivi collegati" di WhatsApp. È un buon controllo generale. Ma va detto con altrettanta chiarezza che in questo tipo di attacco, secondo le analisi forensi condotte in Italia, quella sezione può non mostrare alcuna anomalia: l'exploit agisce a livello del meccanismo di sincronizzazione, non attraverso l'associazione visibile di un nuovo dispositivo, e la verifica in due passaggi attiva non basta a bloccarlo perché la catena non passa dal normale processo di autenticazione. Non vedere nulla di sospetto, quindi, non significa che l'account non sia stato compromesso.
Verifica rapida: la tua situazione richiede attenzione?
Tre domande, nessun dato raccolto: resta tutto nel tuo browser.
1. Da un tuo account WhatsApp sono partiti messaggi con richieste di denaro che non hai scritto tu?
2. Il telefono è un iPhone con iOS non aggiornato all'ultima versione disponibile?
3. Il numero è collegato a un'attività professionale o a un'azienda?
Cosa fare nelle prime ore, prima di qualunque altra cosa
La rapidità conta quanto la lucidità. Le chat continuano a essere sovrascritte, i backup automatici procedono, e ogni ora che passa può ridurre cosa resta di recuperabile in modo integro. In questa fase l'obiettivo non è ancora "fare la perizia", ma non peggiorare la situazione.
Avvisa subito i tuoi contatti attraverso un canale diverso da WhatsApp, per fermare eventuali bonifici in corso: una telefonata vale più di un messaggio che potrebbe non arrivare a chi serve.
Non disinstallare l'app e non fare il ripristino del telefono. È l'errore più comune e anche il più dannoso: cancella proprio ciò che servirebbe a ricostruire cosa è successo.
Fotografa lo schermo così com'è, incluse le chat inviate a tua insaputa, prima di avviare qualunque procedura di recupero dell'account. Non ha valore probatorio pieno, ma è comunque un primo riferimento temporale.
Aggiorna iOS e WhatsApp il prima possibile, per chiudere le vulnerabilità note, ma solo dopo aver eventualmente contattato un tecnico se stai valutando un'acquisizione forense: alcune operazioni di preservazione della prova vanno fatte prima dell'aggiornamento del sistema.
Avvia la procedura di recupero dell'account WhatsApp seguendo le indicazioni ufficiali dell'app.
Perché lo screenshot non basta a costituire una prova legale
Capita spesso che chi arriva da noi pensi che un pacchetto di screenshot sia sufficiente per una denuncia o per un risarcimento. In parte è vero e in parte no, e la differenza è importante da capire prima di affidarsi solo a quello.
La giurisprudenza più recente, in particolare la sentenza di Cassazione 11197 del 2023, ha riconosciuto che la semplice riproduzione fotografica dei messaggi può avere valore probatorio, a condizione che il percorso di acquisizione sia corretto e che la controparte non ne contesti la genuinità in modo circostanziato. È un passo avanti importante, ma resta un "a condizione che": se la controparte contesta, lo screenshot da solo regge poco, perché è per sua natura facilmente modificabile e non dimostra da solo provenienza, integrità e assenza di manomissioni.
L'unico strumento che garantisce piena efficacia probatoria, secondo lo standard tecnico riconosciuto anche a livello internazionale (ISO/IEC 27037), è l'acquisizione forense del dispositivo o dell'account, eseguita da un consulente informatico forense con marcatura temporale e documentazione della catena di custodia. Il risultato è una relazione tecnica che l'avvocato può allegare alla querela o produrre in giudizio, con un valore che uno screenshot stampato non può avere. Sul principio più generale, quello per cui ogni conclusione tecnica deve essere proporzionata alla qualità e alla completezza delle prove disponibili, rimandiamo al nostro approfondimento su perizia informatica forense e responsabilità professionale del consulente.
| Metodo | Valore probatorio | Quando può bastare |
|---|---|---|
| Screenshot personale | Debole, contestabile | Come primo riferimento, mai da solo in caso di contestazione |
| Screenshot stampato/allegato a querela | Ammissibile ma impugnabile | Se la controparte non contesta la genuinità |
| Acquisizione forense certificata | Piena efficacia probatoria | Sempre consigliata quando è previsto un procedimento o un risarcimento |
Gli aspetti legali da conoscere
Accesso abusivo a sistema informatico (art. 615-ter c.p.) — procedibile a querela
La Cassazione, sezione quinta penale, con la sentenza 2905 del 27 gennaio 2025 ha confermato che WhatsApp va considerato a tutti gli effetti un sistema informatico protetto, quindi l'accesso non autorizzato all'account di un'altra persona integra questo reato. Nella sua forma base è punibile a querela della persona offesa.
Truffa (art. 640 c.p.) — procedibile a querela
La richiesta di denaro ottenuta fingendosi la vittima, sfruttando la fiducia dei suoi contatti, configura anche il reato di truffa, anch'esso procedibile a querela.
Il termine da non dimenticare
La querela va presentata entro tre mesi dal giorno in cui si viene a conoscenza del fatto, come previsto dall'articolo 124 del codice penale. È il dettaglio pratico che più spesso sfugge a chi ha appena scoperto la compromissione, ed è anche il motivo per cui muoversi subito, e in modo corretto sul piano della prova, fa davvero la differenza.
Quando l'account è quello di un telefono aziendale
Il caso cambia scala quando il numero compromesso è quello di un dipendente, di un amministratore o di un'utenza aziendale condivisa. Qui non c'è solo il singolo truffato, ma un'organizzazione che deve valutare rischio reputazionale, continuità operativa ed eventuali obblighi normativi, e la responsabilità di questa valutazione ricade sul management, non sul singolo utente del telefono.
Continuità operativa e responsabilità del CDA
Se l'azienda rientra tra i soggetti tenuti alla conformità NIS2La direttiva europea sulla sicurezza informatica, recepita in Italia con il D.Lgs. 138/2024, che impone obblighi di gestione del rischio e notifica degli incidenti a un elenco di soggetti essenziali e importanti., un incidente di questo tipo può rientrare tra gli eventi da valutare per la notifica agli organismi competenti, e le linee guida ACN più recenti hanno chiarito che questa responsabilità è in capo diretto agli organi di amministrazione, non delegabile alla sola funzione IT. Ne parliamo in modo più esteso nel nostro articolo su Alchimie Digitali dedicato alle linee guida ACN e agli obblighi NIS2 per il management.
Il fronte GDPR
Se nella chat compromessa erano presenti dati personali di clienti, fornitori o dipendenti, l'episodio può configurare una violazione di dati personali ai sensi del GDPR, da valutare per un'eventuale notifica al Garante entro settantadue ore, quando sussiste un rischio per i diritti e le libertà degli interessati. È una valutazione da fare a mente fredda insieme al DPO o al consulente privacy dell'azienda, non rimandata perché "è solo un cellulare". Se la vostra azienda non ha ancora una figura di questo tipo, Alchimie Digitali offre consulenza GDPR e DPO esterno certificato anche per la gestione di casi come questo.
Perché conviene un consulente tecnico di parte fin da subito
In ambito aziendale l'acquisizione forense tempestiva non serve solo per un'eventuale querela: serve anche a documentare in modo difendibile cosa è successo, quali dati sono stati esposti e in quale finestra temporale, elementi che tornano utili sia per la compliance sia per eventuali richieste assicurative o contestazioni verso terzi coinvolti nell'incidente.
Glossario essenziale
Cos'è un attacco zero-click
È un attacco informatico che compromette un dispositivo senza che la vittima debba compiere alcuna azione: non serve cliccare un link, aprire un allegato o scansionare un codice. Il contenuto malevolo viene elaborato automaticamente da un componente del sistema, ed è proprio questo automatismo a renderlo pericoloso e difficile da riconoscere.
Cos'è una CVE
È il codice identificativo univoco assegnato a una vulnerabilità di sicurezza informatica nota e catalogata pubblicamente, ad esempio CVE-2025-55177. Serve a produttori, ricercatori e tecnici per riferirsi con precisione alla stessa falla.
Cos'è l'acquisizione forense
È la copia integrale e certificata dei dati di un dispositivo o di un account, eseguita con procedure e strumenti che ne garantiscono l'integrità e la non alterazione, così da poter essere usata come prova in un procedimento legale.
Cos'è un data breach
È una violazione della sicurezza che comporta la distruzione, la perdita, la modifica o la divulgazione non autorizzata di dati personali. Se il rischio per gli interessati è concreto, il GDPR impone di notificarlo al Garante entro settantadue ore dalla scoperta.
Domande frequenti
Ho ricevuto un messaggio sospetto da un contatto che chiede soldi: cosa faccio prima di tutto?
Non rispondere sulla stessa chat e non inviare denaro. Contatta la persona con un altro canale, ad esempio una telefonata, per verificare se è davvero lei a scrivere. Solo dopo aver escluso l'emergenza economica immediata, valuta se e come documentare quanto ricevuto.
Aggiornare iOS e WhatsApp mi mette al sicuro?
È la misura più efficace a disposizione dell'utente comune, perché chiude le vulnerabilità note sfruttate finora. Non esiste però una garanzia assoluta contro future catene di exploit non ancora scoperte: l'aggiornamento riduce il rischio, non lo azzera.
Posso denunciare anche se non ho più le prove sul telefono?
Sì, la denuncia resta possibile, ma la qualità e la tempestività della documentazione raccolta incidono molto sulle possibilità concrete di dare seguito al procedimento. Per questo conviene rivolgersi subito a un legale e, se necessario, a un consulente tecnico, senza aspettare.
Quanto costa una perizia informatica in un caso come questo?
Il costo dipende dalla complessità del caso, dal tipo di dispositivo e dall'estensione dell'acquisizione richiesta. Ogni situazione viene valutata singolarmente in una fase preliminare, prima di definire modalità e preventivo dell'intervento.
Le domande correlate che spesso ci vengono poste
La verifica in due passaggi di WhatsApp protegge da questo tipo di attacco?
Non in questo caso specifico: la catena di exploit descritta dalle analisi forensi non passa dal normale processo di autenticazione, quindi il PIN della verifica in due passaggi non entra in gioco come barriera.
Un account compromesso può essere sospeso da WhatsApp?
Sì, se viene usato per inviare molti messaggi o richieste di denaro può attivare i sistemi automatici anti-spam della piattaforma. È una conseguenza dell'uso improprio, non una prova di come sia avvenuta la compromissione.
Serve sempre sequestrare il telefono per usare le chat come prova?
No: oltre alla copia forense del dispositivo, esistono modalità di acquisizione forense mirate alla singola chat o all'account, che in molti casi permettono di ottenere una prova certificata senza dover cedere fisicamente lo smartphone per lungo tempo.
Fonti
- Polizia Postale — comunicato sulla nuova ondata di compromissioni WhatsApp, agosto 2026
- Red Hot Cyber — ricostruzione tecnica della catena CVE-2025-55177 / CVE-2025-43300, a firma di un funzionario della Polizia Postale
- NIST National Vulnerability Database — schede CVE-2025-55177 e CVE-2025-43300
- CISA Known Exploited Vulnerabilities Catalog
- Corte di Cassazione, sez. V penale, sentenza 2905/2025; Corte di Cassazione, sentenza 11197/2023
Sei un avvocato con un cliente coinvolto?
Affianchiamo gli studi legali come Consulente Tecnico di Parte, dall'acquisizione forense alla relazione tecnica da produrre in giudizio.
Scopri l'assistenza tecnica forenseÈ successo su un dispositivo aziendale?
Valutiamo insieme rischio, obblighi normativi e documentazione tecnica necessaria a tutelare l'azienda.
Scopri il supporto per le aziendeArticolo aggiornato sulla base delle segnalazioni ufficiali disponibili a fine agosto 2026. Il contenuto ha finalità informativa e non sostituisce una consulenza legale o tecnica personalizzata.