Truffe WhatsApp e sicurezza account: la Polizia avverte sui messaggi falsi

L’aumento delle truffe su WhatsApp preoccupa utenti e autorità. Dalle tecniche di ingegneria sociale agli attacchi zero-click, fino a metodi avanzati come il GhostPairing: uno sguardo completo su rischi, difese e segnali d’allerta.

Londata di truffe legate ai servizi di messaggistica istantanea ha spinto la Polizia di Stato a diffondere un nuovo allarme. Gli attacchi agli account WhatsApp diventano pi articolati e possono colpire tanto gli utenti esperti quanto chi presta meno attenzione alla sicurezza informatica.

Il pericolo, ormai, non arriva soltanto da un messaggio sospetto inviato da un numero sconosciuto. In molti casi il profilo utilizzato per avviare il raggiro appartiene a una persona reale: un familiare, un collega o un amico. La fiducia che lega il destinatario al contatto compromesso riduce la prudenza e rende pi credibile la richiesta.

Negli ultimi mesi sono stati segnalati in tutta Italia casi nei quali i criminali informatici, dopo aver preso il controllo dellaccount di un cittadino, hanno contattato la sua rubrica chiedendo denaro. Si crea cos una catena di messaggi e richieste economiche che pu estendersi rapidamente.

Conoscere le tecniche impiegate dai truffatori quindi il primo passo per riconoscere linganno. A questo si aggiungono gli strumenti di protezione messi a disposizione dai fornitori dei servizi di messaggistica.

La Polizia raccomanda particolare cautela a chi utilizza dispositivi Apple non aggiornati, spesso esposti a questo tipo di incursioni. Il messaggio fraudolento pu arrivare da un numero conosciuto e usare toni pressanti, drammatici o molto personali. Lurgenza spinge a rispondere prima di controllare.

Per ridurre il rischio, lautorit consiglia di controllare con frequenza i dispositivi collegati, attivare la verifica in due passaggi e verificare lidentit di chiunque formuli una richiesta insolita tramite WhatsApp. La conferma va fatta usando un canale diverso, come una telefonata.

Come vengono compromessi gli account WhatsApp

Le violazioni pi recenti combinano problemi tecnici e manipolazione psicologica. In alcuni casi gli aggressori sfruttano bug presenti in versioni datate del sistema operativo o dellapplicazione. In altri fanno leva su una disattenzione dellutente, che consegna volontariamente un codice oppure autorizza un dispositivo senza rendersi conto delle conseguenze.

Tra i metodi individuati rientrano:

• Vulnerabilit del software. Un bug presente in una versione non aggiornata di iOS o di WhatsApp pu consentire unazione dannosa senza che la vittima debba compiere operazioni consapevoli. il caso degli attacchi definiti zero-click.
• Social engineering. Il truffatore convince la persona a fornire codici di sicurezza o dati personali. Pu presentarsi come un operatore di un servizio oppure fingere di essere un familiare in difficolt.
• Phishing e siti civetta. Un link conduce a una pagina costruita per assomigliare a quella di un servizio autentico. Chi la apre pu essere invitato a inserire il numero di telefono o un codice di verifica, consegnandolo di fatto allaggressore.

Quando il controllo passa al criminale, laccount viene usato per contattare le persone che conoscono la vittima. Lidentit digitale rubata rende la truffa pi credibile e permette di tentare nuovi raggiri senza ricorrere a un numero sconosciuto.

La cifratura end-to-end non elimina questo rischio. Un aggressore pu infatti collegare un dispositivo fraudolento attraverso una procedura che appare regolare. La protezione tecnica del contenuto delle chat non impedisce labuso quando lutente stesso, ingannato, ad autorizzare il collegamento.

La sequenza ricorrente semplice: arriva un messaggio-esca, la richiesta viene presentata come una verifica o come unemergenza, la vittima comunica un dato o un codice e lattaccante ottiene laccesso. Da quel momento laccount serve a raggiungere altri contatti.

Attacchi zero-click: perch possono passare inosservati

Gli attacchi zero-click appartengono alle forme pi insidiose di compromissione. Non richiedono che la vittima apra un link, scarichi un allegato o risponda a un messaggio. Se il dispositivo presenta una vulnerabilit specifica, la sola ricezione di un contenuto preparato per sfruttarla pu bastare ad avviare lattacco.

I bersagli pi esposti sono i dispositivi Apple con sistema operativo o applicazione non aggiornati. Le versioni recenti correggono le debolezze gi individuate, mentre quelle obsolete possono continuare a essere vulnerabili. In concreto, il telefono deve soltanto ricevere il contenuto costruito per quel difetto perch il processo di compromissione possa iniziare.

Qui manca il segnale che normalmente aiuta a riconoscere una truffa. Non c necessariamente un link da evitare, n un file insolito da non aprire. Lutente pu continuare a usare WhatsApp come sempre, senza accorgersi che qualcun altro ha ottenuto il controllo dellaccount.

Le conseguenze possono essere rilevanti. Il criminale pu leggere le conversazioni, inviare messaggi a nome della vittima e chiedere denaro a tutti i contatti. La catena di inganni diventa difficile da fermare se la compromissione non viene individuata rapidamente.

Per questo gli aggiornamenti del sistema operativo e di WhatsApp devono essere installati senza ritardi. utile anche controllare periodicamente gli accessi attivi e i dispositivi associati allaccount.

Social engineering e fiducia tra i contatti

Nel caso della messaggistica istantanea, il social engineering consiste nel guidare il comportamento della vittima attraverso un inganno. Il truffatore non deve per forza superare una barriera tecnica: gli basta ottenere una risposta, un codice o unautorizzazione sfruttando emozioni e rapporti personali.

Quando il messaggio arriva dallaccount di un amico, di un parente o di un collega, la richiesta appare pi plausibile. Lidentit digitale sottratta diventa uno strumento per entrare in una rete di relazioni gi esistente. Il destinatario riconosce il nome e abbassa le difese.

Gli scenari pi utilizzati fanno leva su unurgenza. Pu essere simulata unemergenza economica, un incidente, un imprevisto familiare o un problema da risolvere subito. Il tono pu richiamare lempatia, la paura o il senso del dovere.

A volte il destinatario viene invitato a non raccontare la situazione ad altri familiari o amici. Il silenzio riduce le possibilit che qualcuno riconosca linganno e impedisce una verifica incrociata. La vittima resta cos isolata proprio nel momento in cui dovrebbe chiedere conferma.

Il tempo gioca a favore del truffatore. Pi a lungo laccount compromesso resta attivo senza essere scoperto, pi persone possono ricevere messaggi e pi alta diventa la probabilit che qualcuno invii denaro. Individuare presto labuso limita le conseguenze economiche e anche il disagio psicologico di chi si accorge di essere stato coinvolto.

GhostPairing e collegamento abusivo dei dispositivi

Tra i metodi descritti per sottrarre account WhatsApp c il GhostPairing. La tecnica sfrutta la funzione dei dispositivi collegati, la stessa che consente di usare WhatsApp Web, per aggiungere in modo poco visibile un terminale controllato dallattaccante.

Il primo passaggio il messaggio-esca. Di frequente arriva da un contatto gi compromesso e richiama lattenzione su una foto, uninformazione urgente o un contenuto che il destinatario dovrebbe vedere. Nel messaggio presente un link.

Il collegamento porta a un sito civetta. La pagina pu chiedere il numero di telefono o un codice di pairing e presentare loperazione come una verifica di sicurezza o una procedura di autenticazione.

Il passaggio decisivo avviene quando lutente inserisce il codice nellapp. Senza capirlo, autorizza il browser o il dispositivo del malintenzionato tra quelli legittimati a usare laccount.

Da quel momento il criminale pu seguire le conversazioni in tempo reale, leggere i messaggi, scaricare dati sensibili e scrivere fingendosi il proprietario del profilo. Il telefono della vittima continua a funzionare normalmente. Proprio questa apparente normalit rende il furto pi difficile da notare.

Gli avvisi relativi ai nuovi dispositivi collegati costituiscono una prima difesa introdotta dalla piattaforma. Se compare una notifica inattesa, lutente deve interrompere loperazione sospetta e controllare subito lelenco dei terminali autorizzati.

Le richieste di denaro inviate ai contatti

Ottenuto laccesso al profilo, il criminale pu scrivere rapidamente a molte persone presenti in rubrica. Il messaggio imita una situazione di emergenza e chiede un aiuto finanziario immediato.

Il tono spesso drammatico o confidenziale. Chi riceve la richiesta pensa di stare parlando con una persona conosciuta e pu inviare la somma senza verificare il mittente. Bastano pochi minuti perch il raggiro raggiunga pi destinatari.

Le richieste ricorrenti riguardano:

• un pagamento dovuto per un incidente, unimprovvisa emergenza o una spesa inattesa;
• linvio rapido di denaro per non perdere unopportunit o per risolvere un problema familiare;
• la necessit di mantenere riservata la conversazione, cos da non allarmare altri parenti o amici.

La pressione emotiva accorcia il tempo dedicato ai controlli. Il truffatore sfrutta la finestra che precede la scoperta della compromissione da parte del vero titolare dellaccount. Una telefonata al contatto, effettuata su un numero gi conosciuto e non ricavato dal messaggio, pu interrompere il meccanismo.

Alla perdita economica si aggiunge spesso il senso di colpa. Chi stato ingannato pu pensare di non aver prestato sufficiente attenzione, anche se il raggiro era costruito proprio per apparire credibile. La verifica dellidentit va fatta anche quando la richiesta sembra arrivare da una persona fidata.

Le misure per proteggere laccount WhatsApp

La difesa richiede attenzione personale e uso corretto delle funzioni di sicurezza disponibili. Le indicazioni diffuse dalla Polizia comprendono alcune operazioni semplici, ma da applicare con regolarit.

• Aggiornare il sistema operativo e WhatsApp. Le nuove versioni includono correzioni per le vulnerabilit individuate.
• Controllare la sezione Dispositivi collegati e rimuovere subito le connessioni che non si riconoscono.
• Attivare la verifica in due passaggi, scegliendo un PIN aggiuntivo.
• Limitare il download automatico di file e allegati ricevuti da contatti non verificati. Sul dispositivo opportuno usare anche un PIN, Touch ID o Face ID.
• Non comunicare i codici ricevuti via SMS o attraverso altri canali. Un operatore ufficiale non li richieder.
• Controllare lidentit di chi formula richieste insolite, contattandolo per telefono o attraverso un altro profilo social.

Le misure funzionano meglio quando vengono adottate insieme. Un aggiornamento riduce le vulnerabilit tecniche, la verifica in due passaggi protegge laccesso e il controllo dei dispositivi permette di individuare collegamenti abusivi.

Controllare i dispositivi collegati

La sezione dedicata ai dispositivi collegati consente di vedere i browser e i terminali associati al profilo WhatsApp. Il controllo dovrebbe diventare una pratica periodica, non unoperazione da fare soltanto dopo aver ricevuto un messaggio sospetto.

• Aprire le impostazioni dellapp e raggiungere la voce Dispositivi collegati.
• Confrontare le postazioni elencate con quelle realmente utilizzate. Anche data e posizione associate devono essere compatibili con le proprie attivit.
• Prestare attenzione agli avvisi relativi allattivazione di un dispositivo sconosciuto. Se il terminale o la posizione non risultano plausibili, il collegamento va bloccato.
• Disconnettere subito le sessioni anomale, cos da interrompere eventuali attivit in corso.

Una sessione che non si riesce a spiegare un segnale da non ignorare. Intervenire presto pu impedire al criminale di usare laccount per raggiungere altri contatti.

Aggiornare WhatsApp e il sistema operativo

Ogni nuova versione di un software pu contenere correzioni per difetti emersi di recente. Un dispositivo rimasto a una versione vecchia conserva invece vulnerabilit gi conosciute e pu offrire agli aggressori un punto di ingresso.

Laggiornamento tempestivo di WhatsApp e del sistema operativo riduce il rischio di attacchi condotti con script malevoli, compresi quelli zero-click. Le patch intervengono sugli exploit gi individuati e impediscono che i meccanismi di abuso continuino a funzionare nelle versioni aggiornate.

Le indicazioni degli sviluppatori e delle agenzie di sicurezza sono due:

• attivare gli aggiornamenti automatici del sistema operativo e delle applicazioni pi importanti;
• controllare manualmente la disponibilit di nuove versioni e installarle appena possibile.

Un dispositivo aggiornato presenta una superficie dattacco pi ridotta e pu beneficiare delle difese implementate nelle release recenti.

Perch attivare la verifica in due passaggi

La verifica in due passaggi aggiunge a WhatsApp un PIN di sei cifre scelto dallutente. Il codice viene richiesto quando il profilo viene configurato su un nuovo dispositivo.

Il PIN si affianca al codice OTP ricevuto tramite SMS. Per completare laccesso, quindi, non basta ottenere il codice di verifica usuale: serve anche il secondo elemento segreto. Se il numero viene sottratto o il messaggio viene intercettato, il PIN pu comunque impedire allaggressore di terminare la procedura.

Le autorit di sicurezza e le policy degli operatori raccomandano di usare questa funzione. Lattivazione avviene dalle impostazioni dellapp e richiede pochi passaggi. La verifica aiuta a evitare compromissioni a cascata e mantiene una barriera ulteriore nel caso di comportamenti sospetti o di smarrimento dello smartphone.

Quando WhatsApp viene utilizzato in ambito professionale o per gestire dati di altre persone, la 2FA rientra anche nelle misure di protezione collegate alla compliance con il GDPR. Le informazioni scambiate possono infatti avere natura sensibile.

Se laccount gi stato compromesso

In presenza di una violazione, la rapidit conta. Prima si interrompe laccesso abusivo, minore la possibilit che la truffa raggiunga altri contatti.

• Da un dispositivo sicuro, aprire le impostazioni di WhatsApp e disconnettere i dispositivi collegati che risultano sospetti.
• Avviare il recupero dellaccount tramite la reinizializzazione o la reimpostazione del profilo usando il numero di telefono associato.
• Attivare la verifica in due passaggi o cambiare il PIN se la funzione era gi presente.
• Controllare eventuali accessi non autorizzati ad altri servizi legati allo stesso numero, tra cui cloud, servizi di posta elettronica e Apple ID.
• Rimuovere le sessioni sconosciute dalla sezione Dispositivi collegati.

Se il profilo stato usato per chiedere denaro o dati personali, la rubrica deve essere avvisata subito. I contatti vanno invitati a ignorare i messaggi insoliti e a non effettuare pagamenti.

Avvisare la rubrica e recuperare il controllo

Dopo aver scoperto labuso, la comunicazione ai potenziali destinatari della truffa parte della risposta. Il messaggio non deve passare dallaccount compromesso: meglio usare un SMS, una telefonata o unemail.

• Informare i propri contatti che il profilo WhatsApp stato violato.
• Chiedere di non rispondere alle richieste provenienti dallaccount, soprattutto quando riguardano denaro o dati personali.
• Completare il recupero del profilo. Un nuovo accesso effettuato dal titolare legittimo esclude automaticamente lattaccante e rende inutilizzabili le sue sessioni in corso.
• Dopo il recupero, cambiare il PIN della verifica in due passaggi e controllare le impostazioni di privacy e sicurezza.

Una segnalazione tempestiva pu fermare la catena prima che altri destinatari paghino o consegnino informazioni.

Denunciare alla Polizia Postale

Una frode telematica comporta una violazione dei dati personali e pu costituire un reato perseguibile secondo la legge italiana. Chi subisce un attacco, o viene coinvolto in un tentativo di truffa, dovrebbe utilizzare i canali ufficiali delle forze dellordine.

La Polizia Postale mette a disposizione pi modalit di contatto:

• il sito del Commissariato di PS online, www.commissariatodips.it, per inviare segnalazioni sulla truffa subita o tentata;
• le sedi fisiche, dove presentare denuncia fornendo gli elementi utili a ricostruire laccaduto e a identificare i responsabili;
• i canali informativi presenti su WhatsApp e sui principali social, attraverso i quali vengono pubblicati aggiornamenti sulle minacce e sulle misure di protezione.

La segnalazione aiuta a raccogliere informazioni e pu rendere pi efficaci le indagini. Se tramite WhatsApp vengono trattati dati professionali, lattacco pu configurare una violazione del GDPR, con possibile obbligo di notifica al Garante della Privacy.

Checklist per riconoscere e bloccare una truffa

Queste sono le verifiche da inserire nella routine quotidiana:

La prevenzione passa da controlli concreti: dispositivi aggiornati, accessi verificati, codici protetti e richieste confermate fuori dalla chat. Quando uno di questi elementi manca, meglio fermarsi prima di rispondere o inviare denaro.