Un conoscente questa settimana ha ricevuto su WhatsApp un messaggio da un contatto che conosce da anni: "Ciao, mi trovo in una situazione difficile, mi puoi anticipare qualche centinaio di euro? Ti restituisco tutto lunedì". Fortuna vuole che si sia insospettito e abbia chiamato al telefono la persona per verificare. La persona non aveva mandato nulla. Il suo account WhatsApp era stato rubato.

Perché questa truffa funziona (quasi sempre)

Se ti scrive uno sconosciuto per chiederti soldi, hai le difese alzate. Il cervello dice subito "no, questa è una truffa" e chiudi la conversazione. Ma se ti scrive un amico, un famigliare, un collega che ti sta simpatico, quel meccanismo di difesa non parte. Ti fidi. Rispondi. Magari fai qualche domanda, ma sotto la superficie della fiducia già stai cercando come aiutarlo.

I truffatori lo sanno. Ecco perché rubare account WhatsApp è diventato un business — non per estorcere soldi al proprietario dell'account, ma per truffare tutti i suoi contatti, uno alla volta, sfruttando la fiducia che hanno costruito nel tempo con quella persona.

Le cifre chieste sono quasi sempre piccole (poche centinaia di euro): abbastanza da non far scattare l'allarme "cifra sospetta", abbastanza da essere plausibile come richiesta di aiuto amichevole. Su 100 contatti, se anche solo 3-4 cadono nel tranello, il truffatore ha già portato a casa migliaia di euro. E il proprietario dell'account nemmeno sa cosa sta succedendo, perché è stato tagliato fuori dal suo stesso WhatsApp.

Come rubano un account WhatsApp: i tre modi più comuni

Non serve essere hacker per fare un takeover di account WhatsApp. Bastano tecniche di social engineering, sostanzialmente truffe telefoniche. Ecco i tre scenari più diffusi.

1. Il phishing del codice OTP

Ti arriva un SMS da WhatsApp con un codice di verifica a 6 cifre (perché qualcuno sta cercando di attivare il tuo numero sul suo telefono). Subito dopo, un contatto che conosci ti scrive: "Ciao, per errore ti ho mandato un codice di verifica, me lo giri per favore?". Se glielo mandi, gli hai appena regalato il tuo account. Il "contatto che conosci" è già un altro contatto violato, usato per estorcere altri codici.

2. Il SIM swap

Il truffatore chiama il tuo operatore telefonico spacciandosi per te (con dati parziali raccolti online), racconta una storia (SIM persa, telefono rubato) e ottiene il trasferimento del tuo numero su una SIM in suo possesso. Da quel momento tutti gli SMS che ricevi vanno a lui — compreso il codice OTP per attivare WhatsApp da zero sul suo telefono.

3. Il QR code di WhatsApp Web

Meno comune ma esiste: qualcuno con accesso momentaneo al tuo telefono (o una persona apparentemente fidata che ti chiede di scansionare un QR "per un test") collega la tua sessione a un altro dispositivo — e da lì legge le tue chat, si finge te, avvia truffe.

Il punto centrale: non stai proteggendo solo te stesso

Ora arriviamo alla parte importante di questo articolo, quella che vale la pena leggere anche se pensi "a me non succede, chi vuoi che mi rubi WhatsApp".

Se non hai attivato l'autenticazione a due fattori sui tuoi account, non stai correndo solo un rischio personale. Stai esponendo tutti i tuoi contatti a una truffa che passa attraverso di te.

Immagina: tua sorella riceve un messaggio dal tuo numero. Le chiedi 200€ urgenti. Lei si fida (sei suo fratello). Manda i soldi. Poi scopre che li ha mandati a un truffatore, e la persona a cui li hai fatti perdere sei tu — perché tu non avevi attivato una protezione che ti avrebbe richiesto 30 secondi.

Non è colpa tua tecnicamente. Ma eticamente, un pezzo di responsabilità c'è. La stessa che ha chi lascia la porta di casa aperta e poi vede il ladro rubare anche dal vicino di pianerottolo, entrando dal suo appartamento.

Il 2FA è il tuo antifurto. Attivarlo non è solo un favore che fai a te stesso: è un gesto di rispetto verso le persone in rubrica.

Come attivare il 2FA su WhatsApp (30 secondi)

Serve un PIN a 6 cifre che ti verrà chiesto ogni volta che il tuo numero viene registrato su un dispositivo. Chi ha solo il codice OTP via SMS (o solo il tuo numero) non basta — serve anche questo PIN, che è nella tua testa e non intercettabile.

Passi:

  1. Apri WhatsApp sul telefono
  2. Vai su Impostazioni (Android: menu in alto a destra → Impostazioni; iPhone: icona ingranaggio in basso a destra)
  3. Tocca Account
  4. Tocca Verifica in due passaggi
  5. Tocca Attiva
  6. Inserisci un PIN di 6 cifre che ricorderai (evita date di nascita ovvie)
  7. Inserisci un indirizzo email di recupero (facoltativo ma consigliato — ti serve se dimentichi il PIN)
  8. Conferma. Fine.

Non è un PIN che ti viene chiesto ogni volta che apri l'app — solo quando qualcuno cerca di attivare il tuo numero su un nuovo dispositivo. Nella pratica quotidiana non lo useresti mai. Ma se qualcuno prova a rubare il tuo account, si scontra con questo muro.

Non solo WhatsApp: gli altri servizi da proteggere

Lo stesso identico ragionamento vale per tutti gli account "sociali" o comunicativi. Se ti rubano l'account, il danno lo fanno alle persone che ti conoscono. Quindi attiva il 2FA anche su:

  • Email personale (Gmail, Outlook, iCloud, ecc.) — se ti rubano l'email, prendono anche accesso a mille altri account collegati tramite "password dimenticata". Approfondimento sul 2FA email.
  • Instagram, Facebook, TikTok — gli attacchi con "il tuo amico ti scrive un messaggio strano dal suo profilo" partono da qui.
  • LinkedIn — soprattutto se sei una figura professionale conosciuta. Un account LinkedIn violato può essere usato per truffe finanziarie ai tuoi colleghi.
  • Home banking — dovrebbe essere obbligatorio, per legge in molti casi lo è, ma verifica sempre di avere 2FA attivo e non solo un SMS (che è la forma più debole).
  • Account cloud (Google Drive, iCloud, Dropbox) — perché contengono anche i backup del telefono e le tue foto.

Cosa fare se ricevi un messaggio "strano" da un contatto

Una regola d'oro semplice, che vale per WhatsApp, SMS, email e qualsiasi canale digitale:

Se un contatto ti chiede soldi o informazioni sensibili tramite messaggio, verifica sempre con un canale alternativo — telefonata vocale reale, meglio se videochiamata. Mai rispondere alla stessa chat con "certo, dimmi come" — mai.

Se il tuo amico è davvero nei guai, non gli costa nulla rispondere al telefono per 30 secondi e confermare. Se invece l'account è stato violato, la chiamata vocale svela immediatamente la truffa e ti permette di avvertire lui — che magari non sa nemmeno di essere stato compromesso.

In sintesi

Il 2FA non è "una scocciatura per gente paranoica". È un gesto di responsabilità civile digitale. Attivalo su WhatsApp adesso, in 30 secondi. Attivalo sull'email. Attivalo su tutti i social. E poi — se ti va — inoltra questo articolo a due o tre contatti che sai essere un po' "sprovveduti" sulla sicurezza. Perché ogni account non protetto è una porta aperta anche verso di te.

Se sei un'azienda e vuoi capire come stanno messi i tuoi dipendenti su queste cose (basta un dipendente distratto per aprire falle a tutti), parliamone — offriamo brevi sessioni di formazione operativa sulla sicurezza degli account per PMI.