Truffe WhatsApp: due trucchi – e due vie d'uscita
In ottobre l'Ufficio federale della cibersicurezza segnala oltre 50 indicazioni su questa esca. Perché un mittente conosciuto non protegge e il tipo di accesso determina le contromisure.
La richiesta suona innocua: qualcuno della propria lista contatti ha bisogno di un voto per un concorso. Dietro può però nascondersi un attacco all'account WhatsApp. Il 27 ottobre 2026 l'Ufficio federale della cibersicurezza (BACS) ha messo in guardia da una nuova ondata di simili messaggi. Secondo le proprie indicazioni, nel mese in corso ha ricevuto oltre 50 segnalazioni su questa procedura.
Il numero descrive le indicazioni arrivate all'ufficio federale, non tutti gli attacchi in Svizzera. Da esso non si può calcolare né un tasso di successo né una somma complessiva rappresentativa dei danni. È confermato il modus operandi osservato: gli autori sfruttano la fiducia tra conoscenti e inducono i destinatari ad attivare essi stessi funzioni di sicurezza per un accesso estraneo.
Il contatto conosciuto può essere già compromesso
Secondo il BACS, i messaggi esca partono da account già compromessi. Rimandano a un presunto concorso scolastico o di danza e creano pressione temporale. Il nome nella rubrica non è quindi prova che stia scrivendo davvero la persona conosciuta. Nemmeno una richiesta formulata in modo gentile è una garanzia tecnica di sicurezza.
Il link porta a una pagina di votazione falsificata. Lì i percorsi d'attacco si dividono. Nella prima variante si chiede di inserire il proprio numero di telefono e poi un codice via SMS. In realtà si tratta del codice di registrazione a sei cifre di WhatsApp. Non conferma alcun voto per un concorso, ma può consentire l'allestimento dell'account su un altro dispositivo.
Nella seconda variante si chiede di scansionare un codice QR con la funzione «Dispositivi collegati» di WhatsApp. La funzione è legittima, ad esempio per l'uso sul proprio computer. Sulla pagina fraudolenta, però, collega l'account a un dispositivo degli aggressori. Il proprio telefono può continuare a funzionare normalmente. L'assenza di una perdita dell'account non è quindi una buona notizia.
Non ogni accesso rende visibili tutte le vecchie chat
La distinzione riguarda anche le conseguenze. Il BACS mette in guardia in generale dall'accesso a messaggi e media. WhatsApp precisa invece che una semplice nuova registrazione su un nuovo dispositivo non rende automaticamente leggibili le conversazioni precedenti: i messaggi sono memorizzati sul dispositivo finora utilizzato. Questa affermazione sulla nuova registrazione non vale come assoluzione per un dispositivo collegato in più.
Sarebbe quindi eccessivo affermare in modo generalizzato che ogni codice SMS rubato apra necessariamente l'intera cronologia delle chat. Resta certamente rilevante l'abuso d'identità: sotto il nome conosciuto si possono contattare altri contatti. Quali dati siano stati accessibili nel singolo caso non si può stabilire dalla sola descrizione dell'esca.
Non si descrive dunque una violazione dimostrata della cifratura, bensì un abuso delle funzioni di registrazione e di collegamento. Per l'inquadramento è importante: una conversazione tecnicamente cifrata non protegge dal fatto che qualcuno ammetta al proprio account il partecipante sbagliato. L'avvertimento federale non dimostra nemmeno che tutti i messaggi con link a concorsi siano fraudolenti.
Cosa fare in caso di sospetto
Chi riesce ancora ad aprire l'app dovrebbe controllare in «Dispositivi collegati» i dispositivi registrati e disconnettere le voci sconosciute. È esattamente questo il passo raccomandato dal BACS per la variante QR. È decisiva la connessione effettivamente esistente, non la semplice cancellazione del messaggio fraudolento o della finestra del browser aperta.
Dopo una nuova registrazione estranea, la via ufficiale di ripristino passa dal proprio numero di telefono e da un nuovo codice di registrazione nell'app WhatsApp. Secondo il fornitore, dopo la nuova registrazione con questo codice gli altri dispositivi registrati vengono disconnessi. Un PIN sconosciuto della verifica in due passaggi può comunque comportare un termine di attesa di sette giorni. Proprio in quel momento non si deve consegnare il codice ricevuto a presunti aiutanti.
I contatti andrebbero avvertiti contemporaneamente per telefono, SMS o un altro canale indipendente. Una domanda di chiarimento nella chat eventualmente compromessa non conferma in modo affidabile l'identità del mittente. A titolo preventivo la Confederazione raccomanda la verifica in due passaggi. Essa integra la protezione; i collegamenti con dispositivi estranei approvati consapevolmente non diventano per questo un'azione sicura.
Per gli utenti svizzeri il confine più importante non passa quindi tra nomi conosciuti e sconosciuti, ma tra un messaggio e l'autorizzazione che esso richiede. Un voto per un concorso non richiede alcun codice di registrazione WhatsApp né un collegamento al proprio account. Chi rispetta questo confine interrompe la catena prima che anche i propri contatti diventino un bersaglio.
Fonti
- BACS: Rassegna settimanale 43, nuova ondata di votazioni WhatsApp falsificate, 27 ottobre 2026
- WhatsApp: Ripristino di un account compromesso
- WhatsApp: Registrazione e verifica in due passaggi
- BACS: Precedente avvertimento sull'esca della votazione, 26 maggio 2026
- Immagine di copertina: microsiervos, WhatsApp, Wikimedia Commons
- Licenza dell'immagine di copertina: CC BY 2.0
- Immagine dell'articolo: Helar Lukats, Whatsapp texting, Wikimedia Commons
- Licenza dell'immagine dell'articolo: CC BY-SA 4.0
