Una nuova truffa su WhatsApp, segnalata dagli esperti di Malwarebytes Labs e ripresa da Forbes, permette ai criminali informatici di entrare negli account degli utenti senza conoscere la password.

Il raggiro sfrutta un codice a 6 cifre e soprattutto la fiducia tra contatti. Basta convincere la vittima a collegare, senza rendersene conto, un dispositivo controllato dall’attaccante.

Il messaggio arriva da un contatto conosciuto

Il raggiro comincia quasi sempre con un messaggio che sembra innocuo. Può arrivare da un amico, da un familiare o da qualcuno di cui ci si fida: “Mi voti per questo concorso?”, oppure una richiesta simile legata a una gara, un premio online o una competizione.

Secondo Pieter Arntz, malware intelligence researcher di Malwarebytes Labs, il testo tende a essere informale e spesso crea una certa urgenza. L’obiettivo è far cliccare l’utente prima che si faccia troppe domande.

Il problema è che il contatto che invia il messaggio potrebbe essere già stato compromesso. Da lì la truffa può propagarsi rapidamente ad amici, familiari e colleghi.

Il codice a 6 cifre non serve a votare

Una volta aperto il link del presunto voto online, la vittima viene portata su una pagina costruita per sembrare collegata a WhatsApp. In alcune varianti può comparire anche il dominio legittimo wa.me, dettaglio che rende il passaggio ancora più credibile a uno sguardo distratto.

A quel punto viene richiesta una verifica o una connessione tramite un codice a 6 cifre. È qui che scatta la trappola.

Quel codice non serve infatti a confermare un voto. Viene utilizzato per autorizzare il collegamento dell’account WhatsApp a un nuovo dispositivo nelle mani del truffatore.

La truffa sfrutta la funzione Dispositivi collegati

L’inganno si appoggia a una funzione reale dell’app: i Dispositivi collegati, pensati per utilizzare lo stesso account su computer, tablet e altri apparecchi.

Normalmente la procedura viene gestita dall’app e può prevedere conferme biometriche o la scansione di un QR code. Esiste però anche la possibilità di associare un dispositivo tramite numero di telefono e codice temporaneo.

È proprio questo passaggio a essere sfruttato dai criminali. Non serve rubare una password né forzare direttamente l’account: basta convincere la vittima a inserire il codice nel posto sbagliato.

Cosa può fare il truffatore dopo l’accesso

Una volta collegato il nuovo dispositivo, l’attaccante può ottenere accesso alle chat WhatsApp, inviare messaggi a nome della vittima e raccogliere informazioni personali.

Può inoltre inoltrare lo stesso invito falso ad altri contatti, sfruttando il fatto che il messaggio arriva da una persona conosciuta e quindi appare più credibile.

In altre varianti il copione cambia. Al posto del falso concorso può arrivare una richiesta urgente di denaro, costruita con tono familiare: un problema improvviso, una necessità immediata, poche parole per convincere il destinatario ad agire senza verificare.

Esiste anche una variante senza link

Malwarebytes ha individuato anche una versione più diretta della frode. In questo caso il messaggio non rimanda a una pagina esterna, ma chiede alla vittima di aprire WhatsApp, entrare nella sezione Dispositivi collegati e digitare un codice fornito dal truffatore.

Il risultato è lo stesso: l’account viene associato a un dispositivo esterno controllato dall’attaccante.

WhatsApp raccomanda di non condividere mai i codici di verifica e di trattare con sospetto qualsiasi richiesta di collegamento ricevuta attraverso chat, SMS o siti esterni.

Come proteggere l’account WhatsApp

La prima regola è semplice: non inserire e non comunicare mai un codice di verifica WhatsApp su richiesta di altre persone, neppure quando il messaggio sembra arrivare da un contatto conosciuto.

Se un amico chiede un voto, del denaro o di seguire una procedura insolita, è meglio verificare attraverso un altro canale, ad esempio con una telefonata.

Conviene inoltre attivare la verifica in due passaggi, che aggiunge un PIN all’account, e utilizzare quando disponibili le passkey, legate ai sistemi di sicurezza del dispositivo come impronta digitale, riconoscimento del volto o blocco schermo.

Controllare subito i dispositivi collegati

Un altro controllo importante riguarda l’elenco dei dispositivi collegati. Basta aprire la relativa sezione di WhatsApp e verificare che non compaiano computer, browser o altri apparecchi sconosciuti.

Se qualcosa non torna, il dispositivo sospetto va disconnesso immediatamente. WhatsApp può inoltre mostrare avvisi quando rileva richieste di collegamento considerate anomale o potenzialmente pericolose.

Se arriva un messaggio sospetto, conviene infine utilizzare gli strumenti di blocco e segnalazione presenti nell’app. Sono pochi passaggi, ma possono impedire che la stessa truffa continui a diffondersi tra altri contatti.