În acest material discutăm despre o vulnerabilitate WhatsApp zero-click ce poate compromite dispozitivele Apple ce folosesc iOS, macOS și iPadOS.
WhatsApp a anunțat la sfârșitul lunii august 2025 că a descoperit și remediat o vulnerabilitate critică, identificată ca CVE-2025-55177. Slăbiciunea apărea în mecanismul de sincronizare a dispozitivelor asociate, o funcție folosită pentru a conecta mai multe terminale la același cont.
Exploatarea a devenit cu atât mai periculoasă cu cât a fost combinată cu o altă vulnerabilitate, de data aceasta din sistemul de operare Apple (CVE-2025-43300). Cele două breșe au permis atacuri sofisticate împotriva unor utilizatori atent selectați.
Compania a transmis că a lansat rapid actualizări pentru aplicațiile sale pe iOS și macOS, iar utilizatorii afectați au fost notificați în mod direct. Din datele disponibile, numărul victimelor confirmate a fost redus, însă impactul unui astfel de atac ar putea fi major dacă ar fi aplicat pe scară largă.
Cum funcționează atacurile zero-click
Atacurile de tip zero-click sunt printre cele mai temute metode de compromitere a unui dispozitiv mobil. Ele nu necesită nicio acțiune din partea utilizatorului – nu este nevoie de accesarea unui link, descărcarea unui fișier sau instalarea unei aplicații suspecte. Exploatarea are loc automat, în momentul în care aplicația vulnerabilă procesează un mesaj sau un fișier special conceput.
În cazul vulnerabilității WhatsApp, atacatorii puteau trimite mesaje de sincronizare manipulate, care determinau aplicația să acceseze conținut malițios găzduit pe servere externe. Tot procesul se desfășura fără ca utilizatorul să observe ceva suspect, ceea ce face ca aceste atacuri să fie extrem de greu de detectat și de evitat.
Ce riscuri implică aceste atacuri
Odată exploatată vulnerabilitatea, atacatorii puteau obține controlul complet asupra dispozitivului. Printre riscurile majore identificate se numără:
- accesarea și exfiltrarea mesajelor private, a fotografiilor și a contactelor;
- activarea camerei și a microfonului pentru supraveghere;
- monitorizarea apelurilor și a activității online;
- instalarea de programe malițioase care pot persista chiar și după repornirea telefonului.
Potrivit Meta, campania de atac a vizat mai puțin de 200 de persoane la nivel global, în special jurnaliști, activiști și oficiali guvernamentali. Aceștia au primit notificări directe privind compromiterea posibilă a dispozitivelor lor.
Cum se pot proteja utilizatorii de vulnerabilități zero-click
Specialiștii în securitate recomandă mai multe măsuri de protecție pentru a limita riscurile:
- Actualizarea imediată a aplicației WhatsApp la ultima versiune disponibilă pentru iOS și macOS.
- Instalarea actualizărilor de sistem pentru iPhone și Mac, deoarece vulnerabilitatea a fost exploatată în combinație cu o slăbiciune din sistemul de operare.
- Resetarea completă a dispozitivului în cazurile în care există indicii de compromitere, pentru a elimina eventuale programe spion.
- Activarea funcției Lockdown Mode pe dispozitivele Apple, o măsură suplimentară care limitează vectorii de atac.
- Prudență sporită în ceea ce privește instalarea de aplicații și deschiderea de fișiere din surse necunoscute.
De asemenea, utilizatorii care primesc notificări oficiale din partea WhatsApp sau Apple trebuie să urmeze instrucțiunile furnizate, întrucât aceste alerte vizează de obicei campanii de atac foarte țintite.
Riscul folosirii aceluiași telefon pentru muncă și scopuri personale
Un aspect important semnalat de experți este pericolul de a combina utilizarea personală cu cea profesională pe același dispozitiv.
Dacă telefonul de serviciu este folosit și pentru activități personale, riscurile cresc semnificativ. Un atac reușit pe componenta personală poate oferi atacatorilor acces la date și aplicații de muncă, inclusiv e-mailuri corporative, documente confidențiale sau conexiuni VPN.
În plus, politicile de securitate ale companiilor devin mai greu de aplicat atunci când dispozitivele nu sunt folosite exclusiv pentru scopuri profesionale. Recomandarea generală este ca dispozitivele de serviciu să fie dedicate exclusiv muncii, iar pentru activități personale să se folosească un telefon separat.
Concluzie
Vulnerabilitatea zero-click din WhatsApp demonstrează încă o dată cât de sofisticate au devenit atacurile cibernetice împotriva utilizatorilor de dispozitive mobile. Chiar dacă numărul victimelor a fost redus, amploarea riscurilor ridică probleme serioase de securitate.
Protecția dispozitivelor Apple depinde în primul rând de instalarea promptă a actualizărilor de software, dar și de adoptarea unor practici de securitate precum folosirea Lockdown Mode, resetarea completă în caz de suspiciune și separarea clară între viața personală și cea profesională.
Astfel de măsuri nu pot garanta eliminarea completă a riscurilor, dar pot reduce semnificativ șansele ca un utilizator să devină victima unui atac zero-click.
Dacă aveți nevoie de ajutor pentru gestionarea și configurarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT și mentenanța IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
