Il trucco, segnalato dal portale tedesco Giga sulla base degli avvisi di Mimikama, della Verbraucherzentrale e del Landeskriminalamt Nordrhein-Westfalen, parte da una richiesta semplice: aiutare una ragazza a vincere un concorso, una borsa di studio o un corso di danza. Sembra un favore da poco. Ma dopo il clic arriva il passaggio che conta davvero.
A rendere insidiosa questa frode WhatsApp è prima di tutto il mittente. Il messaggio, infatti, spesso arriva da una persona conosciuta: un amico, un parente, un collega. Qualcuno con cui magari si è parlato anche pochi giorni prima. Negli esempi diffusi da Mimikama, il testo chiede di votare online per la figlia di un conoscente, candidata a un concorso che metterebbe in palio un corso di danza, un piccolo contributo o una borsa di studio.
Il tono è normale, familiare, a volte anche un po’ frettoloso. “Puoi darle una mano?”, “Basta un voto”. Poche parole, abbastanza per far abbassare la guardia. Chi riceve il messaggio vede il nome del contatto, non il pericolo. Ed è proprio qui che la trappola scatta: non scrive un numero sconosciuto, ma un profilo che i criminali hanno già colpito o violato.
QR code e codici di verifica: così si apre la porta ai criminali
Dopo il clic, l’utente finisce su una pagina che imita una piattaforma di voto. È costruita abbastanza bene da non sembrare improvvisata. Per completare il presunto voto, viene chiesto di scansionare un QR code oppure di inserire un codice numerico ricevuto sul telefono. È il momento più delicato. Quello in cui la truffa cambia passo.
Quel codice, spiegano gli esperti citati da Mimikama, non serve affatto a confermare un voto. È il codice di verifica di WhatsApp, quello usato per collegare un nuovo dispositivo all’account. Se la vittima lo inserisce, o se conferma la procedura tramite QR, i criminali possono agganciare il loro dispositivo al profilo. Da lì in poi possono leggere messaggi, vedere contenuti condivisi e scrivere ai contatti in rubrica come se fossero il vero proprietario dell’account.
La polizia di Rostock, nei giorni scorsi, aveva già richiamato l’attenzione su una tecnica simile. Il principio è sempre lo stesso: trasformare una procedura di sicurezza in una porta d’ingresso per i truffatori. Niente attacchi sofisticati, niente programmi da installare. Basta una conferma data nel posto sbagliato.
Dall’account rubato alle richieste di denaro: la truffa corre di contatto in contatto
Una volta ottenuto l’accesso, i criminali usano il profilo WhatsApp rubato per scrivere ad altre persone e ripetere lo stesso copione. La vittima diventa, senza saperlo, il nuovo mittente “affidabile”. E un messaggio che arriva dal suo numero ha molte più possibilità di essere preso sul serio.
Secondo la Verbraucherzentrale e il Landeskriminalamt Nordrhein-Westfalen, l’account compromesso può servire anche per chiedere denaro ai contatti. Le scuse sono sempre costruite sull’urgenza: un pagamento bloccato, un problema con la banca, il telefono rotto, una richiesta di aiuto “solo per oggi”. Il richiamo è quello delle truffe del finto parente in difficoltà, note anche come varianti digitali dell’“Enkeltrick”, la truffa del nipote.
Il danno economico, in questi casi, non riguarda solo chi perde il controllo dell’account. Rischiano anche amici e familiari, perché ricevono richieste da un profilo riconoscibile, con nome, foto e conversazioni precedenti. Una madre, un fratello, un collega: la familiarità pesa. E spesso il bonifico o la ricarica partono prima che qualcuno pensi a fare una telefonata di verifica.
Cosa fare subito: controlli, dispositivi collegati e avviso ai contatti
La prima regola, indicata dagli organismi di tutela dei consumatori, è non cliccare su link ricevuti in chat quando parlano di votazioni online, premi o concorsi non verificabili. Anche se il messaggio arriva da una persona conosciuta, meglio fermarsi e controllare. Basta una chiamata, un sms, un’altra app. “Sei stato tu a mandarmi questo link?”: una domanda semplice, ma spesso decisiva.
Chi teme di essere caduto nella trappola deve aprire WhatsApp e controllare la sezione Impostazioni → Dispositivi collegati. Da lì si può vedere se ci sono accessi sospetti e disconnettere subito eventuali dispositivi sconosciuti. Meglio anche attivare la verifica in due passaggi, se non è già attiva, e rivedere le impostazioni di sicurezza dell’account.
Poi bisogna avvisare in fretta i propri contatti, con un messaggio chiaro: “Non aprite link ricevuti dal mio numero, potrei essere stato compromesso”. Se sono già partite richieste di denaro, è opportuno informare anche la banca e, nei casi più seri, presentare una segnalazione alla polizia postale o alle autorità competenti. La regola resta una: nessun codice di verifica WhatsApp va comunicato, inserito su siti esterni o confermato tramite QR se non si è certi della procedura. Una cautela minima, ma può evitare guai seri.
