La truffa del codice a 6 cifre di WhatsApp è un classico esempio di social engineering (ingegneria sociale). Non sfrutta falle tecniche nel software di Meta, ma la fiducia tra le persone e la scarsa conoscenza dei meccanismi di autenticazione dell’app. Ecco un’analisi dettagliata di come nasce l’attacco, come si evolve tecnicamente e le strategie per proteggersi.
WhatsApp: la truffa del codice
Meccanismo psicologico della truffa del codice a 6 cifre WhatsApp
La piattaforma è del tutto estranea al raggiro. Il fulcro di questa truffa è l’inganno. Tutto inizia con un messaggio che sembra provenire da un amico o un parente. Questo è possibile perché il truffatore ha già hackerato il profilo di quella persona usando lo stesso metodo. Il truffatore installa WhatsApp su un nuovo dispositivo e inserisce il tuo numero di telefono. WhatsApp, per verificare che il numero appartenga davvero a chi sta installando l’app, invia un SMS con un codice di verifica di 6 cifre al tuo smartphone. Contemporaneamente, il truffatore ti scrive dalla chat dell’amico compromesso: “Ciao! Ti ho inviato un codice per sbaglio, puoi rimandarmelo?”. Tu vedi arrivare l’SMS, pensi che sia un errore tecnico del tuo amico e, per cortesia, gli giri le cifre. Non appena inserisce quelle 6 cifre, il truffatore “scollega” il tuo smartphone. In quel momento, tu perdi l’accesso e lui ha il pieno controllo del tuo account sul suo dispositivo.
Perché è così pericolosa?
Una volta che l’attaccante entra nel tuo profilo, le conseguenze sono a cascata. Il truffatore vede tutti i gruppi di cui fai parte, i nomi dei partecipanti e i messaggi che arrivano da quel momento in poi (non la cronologia passata, se non è stata ripristinata da un backup, ma la tua identità è compromessa). Il criminale userà il tuo profilo per inviare lo stesso messaggio ai tuoi contatti. Poiché il messaggio arriva da “te”, i tuoi amici si fideranno più facilmente, creando una catena infinita. Potrebbe scrivere ai tuoi familiari chiedendo soldi per un’emergenza improvvisa, sfruttando la tua voce e il tuo nome. In alcuni casi, i truffatori attivano immediatamente la “Verifica in due passaggi” con un loro PIN, impedendoti di rientrare nel profilo e chiedendo un riscatto in denaro o criptovalute per restituirti l’account.
Difesa preventiva
Il codice a 6 cifre che ricevi via SMS è solo il primo livello di sicurezza. Per rendere il tuo account inattaccabile, devi attivare il secondo livello: la verifica in due passaggi (2FA). Come attivarla?
- Apri WhatsApp e vai in Impostazioni.
- Tocca Account > Verifica in due passaggi.
- Tocca Attiva.
- Inserisci un PIN di 6 cifre a tua scelta (che non sia 123456 o la data di nascita) e confermalo.
- Inserisci un indirizzo email (fondamentale per recuperare il PIN se lo dimentichi).
Perché ti salva? Anche se tu dovessi commettere l’errore di dare il codice SMS al truffatore, lui resterebbe bloccato davanti alla richiesta del tuo PIN segreto. Senza quello, non potrà mai entrare nel tuo profilo.
Cosa fare se sei già stato truffato
Se hai inviato il codice e il tuo WhatsApp ha smesso di funzionare (mostrando il messaggio “Questo numero è registrato su un altro dispositivo”), devi agire immediatamente.
Procedura di recupero rapido:
- Reinstalla o riconfigura WhatsApp: Apri l’app sul tuo telefono e inserisci il tuo numero.
- Richiedi il codice via SMS: Riceverai un nuovo codice di 6 cifre. Inseriscilo subito.
- Il “Contro-scollegamento”: Non appena inserisci il codice corretto, il truffatore verrà automaticamente buttato fuori dal tuo account.
Attenzione: se il truffatore ha attivato la verifica in due passaggi dopo averti rubato l’account, WhatsApp ti chiederà un PIN che tu non conosci. In questo caso, dovrai aspettare 7 giorni prima di poter accedere all’account senza il PIN. Durante questi 7 giorni, però, il truffatore verrà comunque disconnesso dal tuo profilo non appena avrai inserito il codice SMS.
Regole d’oro per la sicurezza digitale
Per non cadere più in queste trappole, adotta questi comportamenti:
- Diffida sempre delle urgenze: Se un amico ti contatta con richieste insolite o codici, chiamalo a voce su una normale linea telefonica per verificare.
- I codici sono personali: Nessun servizio (WhatsApp, Google, la tua Banca) ti chiederà mai di dettare un codice di sicurezza via chat o telefono. Quel codice serve solo a te per entrare nel servizio.
- Notifiche di sicurezza: Attiva in Impostazioni > Account > Notifiche di sicurezza l’opzione “Mostra notifiche di sicurezza”. WhatsApp ti avviserà se un tuo contatto cambia telefono, un segnale che il suo account potrebbe essere stato violato.
