Uma série de incidentes identificados em Itália durante maio de 2026 revelou que contas do WhatsApp em iPhones podem ser comprometidas sem qualquer ação da vítima, como carregar em links ou partilhar códigos. O caso foi analisado pelo INCIBE-CERT, o centro espanhol de resposta a incidentes de cibersegurança, e mostrou que as vítimas descobriram que as suas contas tinham enviado mensagens a contactos recentes a pedir transferências de dinheiro, apesar de não terem escrito esses pedidos. Os equipamentos afetados iam do iPhone 8 ao iPhone 14 e tinham em comum a utilização de diferentes versões do iOS 16.
A investigação forense relacionou os incidentes com uma combinação de duas vulnerabilidades. A primeira, identificada como CVE-2025-43300, afetava o componente ImageIO da Apple e permitia que o processamento de um ficheiro de imagem malicioso provocasse corrupção de memória. A Apple confirmou ter conhecimento de um relatório segundo o qual a falha poderia ter sido explorada num ataque extremamente sofisticado contra indivíduos específicos. A segunda falha, CVE-2025-55177, afetava o WhatsApp para iOS e permitia que outro utilizador desencadeasse o processamento de conteúdo externo no equipamento da vítima.
O ataque tornava-se especialmente perigoso porque o pedido de dinheiro partia da conta verdadeira de WhatsApp da vítima, e não de um número desconhecido a tentar imitá-la, o que podia enganar amigos ou familiares. O INCIBE ressalva que a utilização exata das duas vulnerabilidades para explicar todos os novos incidentes resulta ainda da análise forense, não sendo uma cadeia de ataque definitivamente demonstrada em todos os casos.
A principal medida de proteção é atualizar tanto o sistema operativo como a aplicação. O iOS 16.7.12, lançado em setembro de 2025, corrigiu a falha da Apple, e o WhatsApp corrigiu a sua vulnerabilidade a partir da versão 2.25.21.73. A recomendação é instalar sempre a versão mais recente compatível com o equipamento. Os casos analisados foram identificados em Itália e não significam que todos os utilizadores de iPhone estejam a ser alvo deste tipo de ataque, mas demonstram que uma conta pode ser comprometida sem o tradicional clique num link.
