Un worm sviluppato da Calif ha permesso di prendere il controllo di account WeChat su iPhone e Android tramite una chiamata in arrivo, senza alcuna azione da parte della vittima. Tencent ha bloccato la falla, ma la portata del rischio resta impressionante.
Un account WeChat può essere sottratto senza che la vittima tocchi il telefono: basta una chiamata in arrivo da un contatto già presente in rubrica. Questa è la dimostrazione scioccante portata dai ricercatori di Calif, che hanno creato un worm capace di propagarsi tra dispositivi iPhone e Android sfruttando una vulnerabilità zero-click ora bloccata da Tencent.
La gravità della falla non sta solo nella tecnica, ma nella portata: WeChat e Weixin contano 1,439 miliardi di utenti attivi mensili secondo i dati ufficiali di Tencent al 30 giugno 2026. Per molti, l'account non è solo chat, ma anche pagamenti, servizi e accesso a mini-programmi. Un attacco riuscito significa controllo totale su messaggi, chiamate e funzioni sensibili, anche se il telefono in sé non viene compromesso.
Come funziona l'attacco e perché è stato così pericoloso
Il worm di Calif si attiva con una semplice chiamata in arrivo: la vittima non deve rispondere né interagire. Se il bersaglio rifiuta la chiamata, l'attacco si interrompe, ma l'aggressore può riprovare, magari mentre la vittima dorme. Il prerequisito? Essere già nella lista contatti della vittima, un ostacolo minimo visto che, una volta preso il controllo di un account, l'attaccante eredita la fiducia che WeChat riserva ai contatti.
Nel test, un telefono Android ha chiamato un iPhone e ne ha preso il controllo mentre squillava. Poi l'iPhone compromesso ha chiamato un secondo Android, infettandolo allo stesso modo. La catena di infezione può proseguire senza limiti teorici, sfruttando la fiducia tra contatti e la mancanza di segnali visibili per la vittima.
Risposta di Tencent e limiti della trasparenza
Calif ha segnalato la vulnerabilità a Tencent a luglio. L'azienda ha rilasciato le versioni 8.0.77 per Android e 8.0.76 per iOS il 21 agosto, dichiarando solo "bug fix" nelle note di rilascio. Secondo Calif, il blocco dell'exploit è stato attivato lato server il 28 agosto, senza richiedere aggiornamenti da parte degli utenti. Tuttavia, né Calif né Tencent hanno specificato quali versioni fossero vulnerabili, né se i client per HarmonyOS, Windows, Mac o Linux siano stati coinvolti.
Non esistono indicatori pubblici per capire se un account sia stato attaccato. Nessun CVE è stato assegnato e il sito di sicurezza di Tencent non riporta advisory sulla falla. Calif ha scelto di non pubblicare dettagli tecnici prima di una conferenza, lasciando i difensori senza strumenti di verifica. Nessun attacco reale è stato segnalato, ma la mancanza di trasparenza non aiuta la fiducia.
La corsa alla scoperta e la collaborazione con l'AI
Calif afferma di aver scoperto la vulnerabilità e sviluppato il primo exploit Android in una settimana, grazie anche all'uso di AI. Il worm dimostrativo è stato completato l'11 agosto. La timeline ufficiale mostra che la conoscenza del bug risale al 23 luglio, con exploit funzionante il 30 luglio. La rapidità di sviluppo sottolinea quanto sia fragile la sicurezza delle piattaforme di messaggistica, anche tra i giganti del settore.
Il caso ricorda altre vulnerabilità zero-click che hanno colpito piattaforme come WhatsApp, già oggetto di analisi precedenti su QWERTYmag, e conferma che la superficie d'attacco delle app di comunicazione resta ampia e in continua evoluzione.
Implicazioni per utenti e industria
La scelta di Tencent di non pubblicare un advisory dettagliato e di affidarsi a un blocco lato server solleva interrogativi sulla gestione delle vulnerabilità in ecosistemi con miliardi di utenti. Gli utenti non hanno modo di sapere se sono stati esposti, né se versioni desktop o alternative siano state coinvolte. La raccomandazione resta quella di aggiornare sempre all'ultima versione, ma la fiducia cieca nei fornitori non è più sufficiente.
Quando una piattaforma che gestisce identità, pagamenti e comunicazioni di massa può essere violata con una semplice chiamata, la responsabilità di informare e proteggere gli utenti non può essere delegata a comunicati generici o a silenzi strategici. Tencent ha chiuso la falla, ma la trasparenza resta il vero anello debole: senza informazioni chiare, la sicurezza percepita è solo un'illusione. Il caso WeChat dimostra che la fiducia va guadagnata ogni giorno, non solo dichiarata nei report trimestrali.
