Settimana 43: Nuova ondata di account WhatsApp hackerati tramite falsi sondaggi
L’UFCS sta attualmente registrando una nuova e più consistente ondata di segnalazioni relative ad account WhatsApp rubati o manomessi. Solo nel mese di ottobre 2026 sono pervenute oltre 50 segnalazioni relative a questi tentativi di frode, molti dei quali messi a segno con successo. I criminali ricorrono a una sofisticata truffa in cui chiedono alla vittima, tramite un contatto a prima vista conosciuto, di votare in un concorso. Il link rimanda a siti web fraudolenti dove inserendo o scansionando un codice si perde l’accesso al proprio account WhatsApp oppure si garantisce l’accesso a un dispositivo estraneo.
L’attacco inizia sempre con un messaggio proveniente da un contatto presente nella propria rubrica, il cui account è già stato compromesso. I truffatori fanno appello alla disponibilità altrui e scrivono, ad esempio: «Ciao, vota per la figlia del mio amico, li aiuteresti molto. Si chiama Sofia. Il concorso finisce presto, ci vorrà meno di un minuto». Questo metodo di attacco non è una novità. L’UFCS ne aveva già parlato nella retrospettiva settimanale dell’UFCS di primavera 2026. L’attuale impennata dei casi dimostra tuttavia che questo metodo si sta affermando con un discreto successo.
La sensazione di urgenza e la fiducia riposta nel mittente conosciuto inducono molti destinatari a cliccare sul link allegato. Per aggirare i filtri di sicurezza, i criminali utilizzano attualmente una grande varietà di domini diversi e sempre mutevoli per questi link fraudolenti.
La trappola: immettere un codice SMS o scansionare un codice QR
Il link rimanda a un sito web contraffatto in modo professionale, che inscena un concorso scolastico o di danza. Per la presunta votazione, i malintenzionati ricorrono a due metodi:
- Il codice SMS
Il sito web chiede alla vittima di inserire il proprio numero di cellulare per poi digitare nella pagina un codice inviato tramite SMS. Questo codice è in realtà il codice di registrazione ufficiale a sei cifre di WhatsApp. Inserendo i dati sulla pagina contraffatta, la vittima autorizza i malintenzionati ad attivare l’account WhatsApp sul proprio dispositivo. - Il codice QR
In alternativa, il sito web mostra un codice QR, accompagnato dall’istruzione di scansionarlo tramite la funzione «Dispositivi collegati» in WhatsApp. In questo caso, i malintenzionati sfruttano in modo improprio una funzione legittima di WhatsApp Web. A insaputa della vittima, la scansione collega il suo conto al sistema dei criminali. È un aspetto particolarmente insidioso, perché in alcuni casi la vittima potrebbe non accorgersi nemmeno che il proprio conto è stato compromesso.
Le conseguenze: reazione a catena e accesso ai dati
Se l’attacco va a buon fine, i malintenzionati assumono il pieno controllo dell’account WhatsApp. Possono accedere alle cronologie delle chat, ai gruppi, alle foto condivise e alle informazioni riservate. A quel punto, lo stesso messaggio fraudolento relativo al sondaggio viene inviato a tutti i contatti presenti nella rubrica della vittima. È proprio questo effetto a catena a determinare l’attuale ampia diffusione della truffa.
Raccomandazioni
- Diffidate delle richieste di votazioni o concorsi inviate tramite app di messaggistica, anche se il mittente è conosciuto. Se avete dei dubbi, contattate il mittente tramite un altro canale e, se necessario, segnalategli che vengono inviati messaggi di questo tipo a suo nome.
- Non passate mai il codice di verifica di sei cifre di WhatsApp a terzi e non inseritelo su siti web di terzi.
- Utilizzate la funzione «Dispositivi collegati» esclusivamente per configurare WhatsApp Web sui vostri dispositivi personali di fiducia (ad esempio, il vostro laptop). Non scansionate codici QR provenienti da siti web sconosciuti.
- Proteggete il vostro conto in modo preventivo con un PIN personale. Attivatelo su WhatsApp andando su Impostazioni > Account > Verifica in due passaggi. Questa semplice misura rende il furto d’identità molto più difficile.
Cosa devo fare se il mio account è stato piratato?
- Informate immediatamente i vostri contatti tramite canali alternativi che il vostro account è stato piratato. Avvertiteli di non cliccare sui link contenuti nei messaggi che sembrano provenire da voi.
- Come disconnettere dispositivi estranei utilizzando il trucco del codice QR:
Se avete ancora accesso all’app, andate subito su Impostazioni > Dispositivi collegati. Spuntate tutte le voci sconosciute e selezionate «Esci». - Come recuperare l’account tramite il trucco del codice SMS:
Se siete stati disconnessi dall’app, registratevi nuovamente sul vostro smartphone utilizzando il vostro numero di cellulare. Riceverete un nuovo codice di sei cifre via SMS. Una volta inserito, gli autori dell’illecito verranno automaticamente disconnessi. Nota bene: se nel frattempo i criminali hanno attivato un proprio PIN per la verifica in due fasi, dovrete attendere sette giorni prima di poter effettuare nuovamente l’accesso senza tale PIN. In questo periodo, tuttavia, il vostro account risulta disconnesso anche per i criminali.