Ricevere un messaggio su WhatsApp da un amico o un parente in difficoltà economica è una situazione diventata tristemente frequente. Dietro quella che sembra una banale richiesta di aiuto per un imprevisto si nasconde quasi sempre un attacco informatico ben orchestrato. Per comprendere le meccaniche di queste frodi e imparare a difendersi, abbiamo analizzato il fenomeno insieme a Marco, esperto di cybersicurezza del canale No Panic TV, un professionista che si occupa quotidianamente di formare i dipendenti delle grandi aziende contro le minacce digitali.
Il punto di partenza è semplice ma fondamentale: l’obiettivo finale di questi criminali è sempre il denaro. Gli hacker non prendono di mira un profilo specifico per accanimento personale, ma per sfruttare la rubrica della vittima. Ricevere una richiesta da un mittente noto, di cui ci si fida e di cui si visualizza il nome salvato in rubrica, abbassa drasticamente le difese e rende la truffa estremamente più efficace.
Come avviene il furto dell’account WhatsApp
Prima di arrivare alla richiesta di soldi, i criminali devono prendere il controllo del profilo. Esistono tre tecniche principali che vengono utilizzate per impossessarsi di un account WhatsApp, spaziando dai banali raggiri psicologici fino allo sfruttamento di bug di sistema.
Il primo metodo è il furto del codice OTP. Si tratta della tecnica più diffusa e semplice. L’attaccante installa WhatsApp su un nuovo dispositivo inserendo il numero di telefono della vittima. Il sistema invia quindi un SMS con un codice di sicurezza a sei cifre (OTP) al legittimo proprietario. A questo punto, il truffatore invia un messaggio alla vittima fingendo un errore: “Ti ho inviato per sbaglio un codice sul tuo telefono, potresti girarmelo? Mi serve urgentemente”. Facendo leva sull’urgenza, la vittima consegna il codice, perdendo istantaneamente l’accesso al proprio account.
Il secondo metodo, più subdolo, è il ghost pairing. Questa tecnica si basa sull’invio di un messaggio contenente un finto link, spesso camuffato da collegamento a Facebook o a un ricordo fotografico. Cliccando, si apre una pagina di login fasulla che richiede l’inserimento del numero di telefono. Nel momento in cui si preme invio, il sistema criminale invia una richiesta API silente ai server per aprire una sessione di WhatsApp Web. La vittima riceverà un codice di verifica sul telefono credendo serva per accedere alla fantomatica foto, ma inserendolo autorizzerà l’hacker a duplicare il suo account su un computer remoto.
Il terzo metodo sfrutta le vulnerabilità software e i bug. In passato, ad esempio, le versioni di iOS precedenti alla 16.7.12 presentavano una falla in un framework di Apple. L’attaccante inviava un’immagine contenente metadati corrotti tramite WhatsApp. Anche senza aprire la foto, l’elaborazione in background del telefono era sufficiente per innescare il bug, permettendo all’hacker di aprire una sessione WhatsApp Web mascherando i propri server come se fossero il dispositivo della vittima. In questi casi, il furto avviene nel totale silenzio, senza alcun click.
L’ingegneria sociale e la manipolazione psicologica
La tecnologia è solo un mezzo; la vera arma dei truffatori è l’ingegneria sociale. Questi criminali non sono i classici “nerd col cappuccio” dei film anni ’90, ma abili manipolatori che sfruttano la psicologia umana, l’emotività, la fretta e il desiderio di aiutare un amico.
Il loro modus operandi si basa sulla creazione di un senso di urgenza e sull’isolamento della vittima. L’attaccante cerca di far credere che la situazione sia confidenziale, mettendo il bersaglio in un vero e proprio “tunnel” psicologico. Se la vittima non si confronta con nessuno, è molto probabile che assecondi la richiesta, che culminerà con la fornitura di un IBAN o di un link per il pagamento.
Un’evoluzione preoccupante di questa tecnica è la clonazione della voce tramite intelligenza artificiale. Agli hacker bastano poche decine di secondi di audio, facilmente recuperabili da vecchie chat vocali o da storie pubbliche su Instagram e Facebook, per creare messaggi vocali contraffatti incredibilmente realistici. In questo modo possono simulare la voce di un figlio che chiede aiuto dall’ospedale, o quella di un amministratore delegato in viaggio intercontinentale che ordina a un dipendente di effettuare un bonifico urgente, chiedendo esplicitamente di non essere richiamato con la scusa di trovarsi in aereo.
Come proteggersi: impostazioni e buone abitudini
La sicurezza assoluta non esiste, ma adottare comportamenti prudenti e configurare correttamente l’applicazione riduce drasticamente i rischi. È fondamentale mantenere sempre aggiornato il sistema operativo del proprio smartphone per chiudere eventuali falle di sicurezza sfruttate dai malware.
Il primo passo pratico è limitare l’esposizione dei propri dati. Nelle impostazioni della privacy di WhatsApp è essenziale impostare la visibilità di foto profilo, informazioni e gruppi esclusivamente su “I miei contatti“. Questo impedisce a chi non è in rubrica di raccogliere informazioni utili per creare account falsi e rubare la nostra identità.
Un altro scudo fondamentale è l’attivazione della verifica in due passaggi. Questa opzione, disponibile nelle impostazioni dell’account, richiede la creazione di un PIN aggiuntivo a sei cifre. Anche se un hacker dovesse riuscire a rubare il codice via SMS, senza questo PIN secondario non potrà completare la configurazione dell’account sul suo dispositivo.
È buona norma controllare regolarmente la sezione Dispositivi collegati all’interno dell’applicazione. In questa schermata è possibile visualizzare tutti i computer o i telefoni secondari che hanno accesso al nostro WhatsApp. Se si nota una sessione web sconosciuta o un dispositivo non autorizzato, basta un tocco per scollegarlo immediatamente e chiudere l’accesso all’intruso.
Infine, la regola d’oro contro l’ingegneria sociale è il dubbio. Non cliccare mai su link sospetti, nemmeno se provenienti da grandi aziende di spedizioni o banche. Soprattutto, se si riceve una richiesta di denaro o un messaggio anomalo da un conoscente, è imperativo rompere l’isolamento. Condividete i vostri sospetti con chi vi sta vicino e, prima di compiere qualsiasi azione, chiamate direttamente la persona coinvolta effettuando una telefonata tradizionale (non tramite WhatsApp) per verificare la reale natura della richiesta.
