Settimana 21: Falsi concorsi - quando gli hacker compromettono gli account WhatsApp con un sondaggio truccato
L’Ufficio federale della cibersicurezza (UFCS) sta osservando una sofisticata truffa utilizzata dai cibercriminali per impossessarsi degli account WhatsApp. Le vittime ricevono da un presunto contatto noto la richiesta di votare per il proprio figlio in un concorso. Chiunque segua il link e inserisca un codice di verifica o scansioni uno speciale codice QR sul sito web fraudolento perderà immediatamente l’accesso al proprio account WhatsApp. La retrospettiva di questa settimana mostra come si può prevenire un attacco di questo tipo e come recuperare il proprio account WhatsApp in caso di hackeraggio.
Nell’ultima settimana, l’UFCS ha ricevuto un numero crescente di segnalazioni di account WhatsApp piratati. La perdita del proprio numero di cellulare sul servizio di messaggistica parte spesso da una richiesta di favore apparentemente innocua, a prima vista da parte di un amico o di un conoscente.
Vota per «Sofia»
In questa truffa i criminali sfruttano spudoratamente la fiducia tra amici. I messaggi, che circolano in varie lingue (spesso in italiano o tedesco), recitano, ad esempio: «Ciao, vota per la figlia di un mio amico, li aiuterebbe molto. Si chiama Sofia Penso che la votazione finirà presto, ci vorrà meno di un minuto».
Poiché il messaggio proviene da un mittente presente nel proprio elenco di contatti, molti destinatari inizialmente non sospettano nulla. Il richiamo emotivo di aiutare un bambino in una competizione scolastica, unito alla pressione temporale («la votazione finirà presto»), invoglia le persone ad agire in modo avventato. C’è un dettaglio che però i destinatari ignorano: l’account del contatto salvato è stato piratato.
La trappola del sito web falso: immettere un codice o scansionare un codice QR
Se la vittima clicca sul link inviato, viene indirizzata a un sito web falso che sembra un sito di voto o scolastico. Per esprimere il presunto voto, i truffatori spesso danno alla vittima la possibilità di scegliere tra due metodi infidi:
- Il codice SMS: Alla vittima viene chiesto di inserire il proprio numero di cellulare per ricevere un SMS con un codice da inserire nel sito web. In realtà, si tratta del codice di registrazione WhatsApp a sei cifre che i truffatori vogliono utilizzare per configurare l’account sul proprio dispositivo.
- Il codice QR: Alla vittima viene mostrato sullo schermo un codice QR con le istruzioni (in italiano nei casi riportati): «Apri WhatsApp, vai su dispositivi collegati e scansiona il codice». Non appena la vittima digita il codice o scansiona il codice QR, la trappola viene azionata. Durante la scansione del codice QR, i criminali utilizzano la funzione legittima per utilizzare WhatsApp su un computer (WhatsApp Web). In questo modo, collegano segretamente il proprio sistema all’account della vittima.
In entrambi i casi, i criminali ottengono il pieno controllo dell’account. In questo modo è possibile accedere all’intero elenco dei contatti, alla cronologia dei messaggi e a tutti i media e gruppi salvati in WhatsApp. A essere esposte sono tutte le conversazioni personali, le foto e le informazioni riservate scambiate tramite WhatsApp. In alcuni casi, i cibercriminali utilizzano l’account piratato per diffondere disinformazione nelle chat di gruppo o per lanciare ulteriori tentativi di frode. Poi inviano lo stesso messaggio fraudolento («Vota per la figlia del mio amico...») a tutti i contatti della vittima. La frode ricomincia da capo e si diffonde con effetto domino.
Raccomandazioni
- Siate scettici se ricevete link a sondaggi o concorsi tramite i servizi di messaggistica, anche se provengono da buoni amici o familiari. In caso di dubbio, contattate il mittente in altro modo.
- Non passate mai il codice di verifica di sei cifre di WhatsApp e non inseritelo su siti web di terzi.
- Utilizzate la funzione «Dispositivi collegati» di WhatsApp solo se volete configurare WhatsApp Web sul vostro computer o tablet. Non utilizzatelo mai per scansionare i codici QR visualizzati o inviati da siti web di terzi.
- Per precauzione, proteggete il vostro account WhatsApp con un PIN come secondo fattore (Impostazioni > Account > Verifica in due passaggi).
Cosa devo fare se il mio account è stato piratato?
- Informate immediatamente i vostri contatti tramite altri canali (ad esempio, con un normale messaggio di testo, una telefonata o un’e-mail) che il vostro account è stato violato e che devono ignorare i vostri messaggi e non cliccare su alcun link.
- Disconnettete i dispositivi di terzi (per le frodi con i codici QR): Avete ancora accesso all’applicazione sul vostro smartphone? In WhatsApp, andate immediatamente su Impostazioni > Dispositivi collegati. Selezionate tutti i browser o computer sconosciuti e premere «Esci».
- Recupero del conto (per le frodi con codice SMS): siete stati disconnessi da WhatsApp sul vostro cellulare? Accedete nuovamente all’app con il vostro numero di cellulare. Riceverete un nuovo codice di sei cifre via SMS. Non appena lo inserite, il trasgressore viene automaticamente disconnesso dal proprio account.
- Se nel frattempo i truffatori hanno impostato un PIN per la «verifica in due passaggi» che non conoscete, dovrete attendere sette giorni prima di poter accedere nuovamente senza tale PIN.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria: