Negli ultimi anni, la rapidissima diffusione delle applicazioni di messaggistica istantanea ha trasformato radicalmente il nostro modo di comunicare, spostando il baricentro delle interazioni quotidiane dagli SMS tradizionali a piattaforme globali iperconnesse. Questa enorme concentrazione di utenti ha inevitabilmente attirato l’attenzione dei cybercriminali, che vedono in questi canali un terreno fertile per sferrare attacchi su larga scala. Sebbene la sicurezza tecnica sia costantemente migliorata grazie all’introduzione della crittografia end-to-end, la vulnerabilità principale rimane l’anello umano. La storia recente della messaggistica è costellata di minacce ibride, a partire dai celebri casi di spionaggio mirato tramite il famigerato malware Pegasus, che sfruttava falle nei sistemi di chiamata per violare i dispositivi di attivisti e giornalisti senza alcuna interazione da parte della vittima, fino alle campagne massive di phishing e diffusione di link malevoli che periodicamente intasano i canali di Telegram o i vecchi sistemi di messaggistica aziendale. Oggi, l’attenzione dei truffatori si concentra in particolar modo su piattaforme capillari come WhatsApp, dove le strategie d’attacco si sono raffinate, abbandonando spesso gli exploit puramente tecnici per focalizzarsi sulle leve dell’ingegneria sociale, ed in questo approfondimento vedremo alcune delle offensive più diffuse proprio su questa piattaforma.
Stando ai numeri diffusi dalla Polizia Postale per il 2025, per esempio, si parla di un totale che si avvicina agli 800 Euro persi da italiani che sono caduti nelle trappole tese su WhatsApp, con un totale di oltre 27mila casi di crimini online ed un totale di quasi 270 milioni di euro rubati in soli due anni. Una di queste truffe è ad esempio quella che vede arrivare un messaggio da un numero sconosciuto e apparentemente proveniente da un figlio o una figlia che esordisce con un saluto. Tramite questo messaggio viene sottolineata un’emergenza, come la rottura del telefono o la carta di credito dispersa, banalmente una scusa per chiedere denaro. Ovviamente chi cade in questa trappola non ha pensato di non fidarsi di un messaggio proveniente da un numero qualunque e, non potendo contattare il familiare su un telefono rotto, paga fidandosi del truffatore. La soluzione, per togliere ogni dubbio, è quella di chiamare lo stesso il numero originale del figlio o della figlia e verificare. Altro genere di truffa è quella per la quale l’attaccante si finge una PA o una nota impresa per chiedere soldi, lo abbiamo visto quando hanno iniziato a circolare messaggi apparentemente provenienti da Autostrade per l’Italia con la richiesta di un pagamento di un pedaggio, chiedendo prima la targa e poi i dati della carta. Vedendo la richiesta del numero di immatricolazione del veicolo qualcuno può effettivamente cadere in trappola, congiuntamente al tono di riprovazione del messaggio e del senso d’urgenza, che su alcuni utenti meno navigati hanno sempre un certo effetto. La costruzione delle pagine d’atterraggio presenti sui messaggi solitamente è abbastanza verosimile, ma basta effettuare un controllo rapido sugli URL o guardare i portali originali per capire che sono dei falsi, sebbene ben costruiti.
Recentemente è balzato agli onori della cronaca anche qualche caso di messaggio che arriva da contatti salvati, con foto del profilo e cronologia dei messaggi corretta, nel quale si chiede il prestito di denaro. Questi casi ovviamente si rifanno al furto di contatto, ovvero si tratta di account compromessi, tramite i quali si accede a un numero sterminato di contatti salvati in rubrica ai quali mandare capillarmente i messaggi. Il destinatario ovviamente vede il messaggio da un suo contatto e potrebbe fidarsi aprendo link ed effettuando altre attività, ma in questi casi è comunque più corretto provare a chiamare direttamente la persona e verificare se il messaggio è veramente suo. La vittima della compromissione, una volta scoperta, deve correre ai ripari scollegando le sessioni sospette e inserendo una verifica a più fattori per l’accesso, senza mancare di avvisare i suoi contatti presenti in rubrica di ciò che è accaduto, possibilmente usando un altro tipo di canale. Tra i raggiri più subdoli e diffusi figura senza dubbio la truffa del codice a sei cifre, un meccanismo a catena che fa leva sulla totale fiducia riposta nei confronti dei propri contatti. Lo schema si attiva quando un utente riceve un messaggio apparentemente innocuo da un amico o un parente, il cui profilo è però già stato precedentemente compromesso. Il testo, formulato con toni rassicuranti e personalizzati, riferisce solitamente l’invio erroneo di un codice numerico, pregando la vittima di rispedirlo. In realtà, quel codice non è altro che la chiave di verifica per l’attivazione dell’account WhatsApp su un nuovo dispositivo; se la vittima cade nel tranello e lo inoltra, i malintenzionati prendono immediatamente il controllo del suo profilo, disconnettendola e utilizzando l’identità rubata per replicare la medesima frode con l’intera lista dei contatti in rubrica. Ovviamente anche in questo caso si tende a sfruttare la fiducia nei contatti noti, ma ricordiamo sempre che i codici di verifica non si devono inviare a nessuno, specie via chat.
Sempre su questa falsariga, c’è la nota truffa della ballerina, mediante la quale l’attaccante che ha preso il controllo illegittimo di un account manda un messaggio con un link ed una foto di una giovane ballerina chiedendo di votarla per un concorso e spacciandola per la figlia di qualche amica o amico. Nella pagina di atterraggio non si chiedono pagamenti, ma l’inserimento dei numeri di telefono e l’avanzamento di una procedura che porta al collegamento del proprio account WhatsApp ad un altro device. Si può pacificamente dire che questo è uno dei metodi propedeutici, ovvero uno di quelli che consentono di effettuare le operazioni viste finora e riguardanti i falsi messaggi dai numeri della propria rubrica. Da queste truffe si passa poi ad altre di tipo diverso, come quella della falsa videochiamata di assistenza sull’app. Con questa scusa, un utente riceve la richiesta di call o videocall da parte di una persona che dice di chiamare dalla banca o un’altra azienda di questo genere. Durante la chiamata si chiede di condividere lo schermo e grazie a questo stratagemma si darebbe poi al criminale la possibilità di vedere tutto ciò che arriva, come i codici di approvazione via SMS, le notifiche e quant’altro. La “finezza” sta nel fatto che qui non si deve installare assolutamente nessun agente malevolo, basta fare quella semplice condivisione dello schermo per perdere una enorme quantità di dati personali. Sebbene sia quasi inutile, ricordiamo che le banche, le poste o chiunque altro non chiede di effettuare videochiamate via WhatsApp e non chiederà mai di condividere lo schermo.
Ci sono poi truffe più elaborate, come quella che viene chiamata “truffa del like” e che viene perpetrata chiedendo di esprimere gradimento ad un video o di fare qualsiasi altra azione su un profilo, come commentare, recensire o banalmente seguire. Tutte queste attività vengono presentate come una sorta di telelavoro, pagato proprio in base alla quantità di attività come quelle elencate, tutte molto banali. Viene dato accesso ad un portale nel quale viene mostrata la quantità di guadagno maturata, che inizialmente sale ma poi si ferma alle prime piccolissime transazioni senza dare neanche la possibilità di ritirarle. Ovviamente quei soldi sarebbero bloccati e per prenderli è necessario pagare, ma l’unico denaro vero presente in tutto questo schema è solo quello delle vittime della truffa. Le ultime due truffe, anche queste più avanzate, che vengono sempre più notate dalle autorità in Italia sono quelle dei cosiddetti pig butchering e romance baiting. La prima di queste truffe è basata su un inizio quasi casuale per via di un messaggio mandato per sbaglio, poi si inizia a offrire potenziali guadagni o rendimenti per poi non dare più modo alla vittima di ritirarsi dallo schema, pagando anche grosse cifre per uscirne. La seconda delle due invece, come si può intuire, parte sulle app per appuntamenti e si sposta poi su WhatsApp, dove si fa sentire coccolata la vittima e si chiede sempre del denaro come nel caso precedente. Secondo la Polizia Postale, negli scorsi mesi questo genere di offensive ha perdite quasi milionarie e decine di indagati su tutto il territorio nazionale.
Per contrastare efficacemente questa ondata di minacce digitali e proteggere la propria identità online, diventa fondamentale adottare una postura difensiva basata sul dubbio sistematico e su buone pratiche di cybersecurity personale. Il pilastro fondamentale per blindare il proprio profilo consiste nell’attivazione della verifica in due passaggi, un meccanismo di sicurezza che associa un PIN segreto e personale all’account, impedendo l’accesso ai truffatori anche qualora questi riuscissero a impossessarsi del codice di verifica a sei cifre. È altrettanto vitale non cliccare mai su link sospetti, ignorare le promesse di regali o guadagni facili e, soprattutto, verificare l’identità di chi scrive attraverso un canale alternativo, come una normale telefonata vocale, qualora un conoscente formuli richieste insolite di denaro o codici personali. Nel caso in cui si rimanga purtroppo vittime di un furto di profilo, è essenziale agire con tempestività richiedendo immediatamente un nuovo codice di attivazione a WhatsApp per disconnettere i dispositivi non autorizzati e procedere alla formale segnalazione dell’accaduto alle autorità competenti della Polizia Postale.
Fonte: 1
