Il codice di WhatsApp non è un voto: torna la truffa della ballerina

Un contatto con l'account già rubato chiede di votare una giovane ballerina in un concorso: il link porta a un sito che chiede il codice di verifica di WhatsApp, e da lì si perde l'account.

Perché conta

La truffa non sfrutta un difetto di WhatsApp ma la fiducia verso un contatto vero: per questo si diffonde più in fretta di un messaggio da un numero sconosciuto, ed è facile cliccare senza pensarci.

In pratica

Un controllo di due minuti in Dispositivi collegati e l'attivazione della verifica in due passaggi riducono il rischio concreto di perdere l'accesso al proprio account WhatsApp.

CERT-AgID, l'agenzia pubblica che segue le campagne di phishing in Italia, segnala che è tornata a circolare su WhatsApp una truffa già vista in passato: il «voto» per una giovane ballerina. Il messaggio arriva da un contatto vero, ma il suo account è già stato rubato: è lui stesso, senza saperlo, a far girare la trappola tra i suoi contatti.

Come funziona

Il messaggio invita a votare una ragazza per un concorso di danza o una borsa di studio. Il link porta a un sito che imita una pagina di voto vera, con due finaliste, foto e un contatore di voti. Dopo aver scelto, il sito chiede una «verifica dell'account WhatsApp»: un codice a sei cifre, lo stesso che WhatsApp manda per sicurezza quando si collega un nuovo dispositivo.

Quel codice non serve a votare: autorizza l'accesso di un dispositivo controllato dagli attaccanti all'account della vittima. Il telefono continua a funzionare come prima, quindi non ci si accorge subito del furto. Da lì gli attaccanti leggono le conversazioni e rimandano lo stesso messaggio ai contatti della vittima, che si fidano perché il messaggio arriva da una persona vera.

Come riconoscerla

• Un messaggio che invita a votare qualcuno in un concorso, anche se arriva da un amico o un familiare.
• Una pagina di voto che, dopo la scelta, chiede un numero di telefono e un codice di sei cifre.
• La richiesta di «confermare» o «verificare» l'account per completare un voto: nessun sito di voto vero chiede il codice di WhatsApp.

Cosa fare

CERT-AgID raccomanda queste mosse, in ordine:

• Non inserire mai un numero di telefono o un codice di verifica su un sito raggiunto da un link di WhatsApp.
• Se un messaggio insolito arriva da un contatto conosciuto, verificarlo con lui su un altro canale (una telefonata, un messaggio diretto) prima di cliccare.
• Controllare ogni tanto, in WhatsApp, la sezione Dispositivi collegati e disconnettere ciò che non si riconosce.
• Attivare la verifica in due passaggi nelle Impostazioni di WhatsApp: aggiunge un PIN che blocca chi ha solo il codice.

Chi ha già completato la procedura di voto dovrebbe controllare subito i dispositivi collegati e disconnettere quelli che non riconosce, anche se il telefono sembra funzionare normalmente.