Il voto alla ballerina: così ci rubano l'account WhatsApp
Un finto concorso, e un dispositivo estraneo collegato alle nostre chat.
Pubblicato il
In quattordici anni di articoli su questo sito non ci era mai capitato di occuparci di applicazioni di messaggistica, e la cosa merita una spiegazione: per lungo tempo le truffe sono arrivate per email, e la nostra attenzione è andata dove andavano loro. Il raggiro di cui parliamo oggi, però, è interessante proprio perché dimostra quanto poco contino i canali e quanto contino invece i pretesti. Quello che la Polizia Postale ha ribattezzato «la truffa del voto alla ballerina», e su cui ha diffuso più di un avviso in questo mese di ottobre, è nella sostanza la stessa cosa delle false vincite a lotterie e concorsi a premi di cui scrivevamo nel 2012: un concorso che non esiste, un premio che non c'è, e una richiesta che sembra innocua.
Il messaggio arriva da un contatto che conosciamo, ed è questo a disarmarci. Ci chiede di votare la nipote, o la figlia di un'amica, in una gara di danza; c'è un collegamento, c'è un tono affettuoso e c'è quella piccola pressione sociale che ci fa sembrare scortese rifiutare. Ovviamente il contatto che ci scrive non sa di scriverci: il suo account è già stato preso, e la catena sta semplicemente proseguendo lungo la sua rubrica, esattamente come accadeva con le catene di Sant'Antonio, con la differenza che qui a propagarsi non è un messaggio ma il controllo degli account.
Due meccanismi diversi, che conviene non confondere
Su questo punto molti articoli fanno confusione, e vale la pena di separare le due cose, perché la difesa non è la stessa.
Il primo meccanismo è il più vecchio ed è noto almeno dal 2021. Il truffatore avvia la registrazione del nostro numero su un suo dispositivo, WhatsApp invia a noi per SMS il codice di sei cifre che serve a completarla, e a quel punto il messaggio del finto amico ci chiede di rimandarglielo, in genere con la formula «ti ho inviato un codice per sbaglio, me lo rigiri?». Se lo mandiamo, l'account passa a lui e noi veniamo disconnessi: ce ne accorgiamo subito, con tutto il fastidio del caso, ma almeno ce ne accorgiamo.
Il secondo meccanismo è emerso nel febbraio di quest'anno ed è decisamente più insidioso, perché sfrutta la funzione Dispositivi collegati, quella che serve a usare WhatsApp dal computer. Qui non c'è nessun furto in senso stretto: il truffatore aggancia semplicemente una copia della nostra conversazione al proprio apparecchio. Noi non veniamo disconnessi, l'applicazione continua a funzionare come sempre, e per questo motivo non abbiamo nessun segnale che qualcosa sia cambiato — mentre dall'altra parte qualcuno legge quello che scriviamo e quello che riceviamo, e può scrivere ai nostri contatti a nostro nome.
Chi riceve il messaggio del finto concorso e apre il collegamento si trova davanti una pagina che chiede di «confermare la partecipazione» inquadrando un codice QR o inserendo un numero: è in quel momento che, senza rendersene conto, sta autorizzando il collegamento di un dispositivo estraneo.
Come si controlla, e come si chiude
La verifica richiede meno di un minuto e andrebbe fatta ogni tanto a prescindere da qualunque sospetto. Si aprono le impostazioni di WhatsApp e si entra nella voce Dispositivi collegati: lì compare l'elenco di tutto ciò che in questo momento ha accesso alle nostre conversazioni, con la data dell'ultimo utilizzo. Se c'è qualcosa che non riconosciamo si tocca e si sceglie di disconnetterlo, e l'accesso cessa immediatamente. È la stessa logica con cui, parlando del tentativo ai danni di un account Apple, dicevamo che la prima cosa da guardare è sempre chi sta entrando, non che cosa ci è stato rubato.
La difesa preventiva sta invece in un'altra voce delle impostazioni, dentro Account: la verifica in due passaggi. Attivandola si imposta un PIN di sei cifre che WhatsApp chiede ogni volta che il numero viene registrato su un apparecchio nuovo; e poiché quel PIN non viaggia per SMS, nessun codice intercettato o consegnato per errore basta più a completare il furto. È la stessa idea di cui parlavamo anni fa a proposito di come si gestiscono le password, applicata a un'applicazione che nel frattempo è diventata il luogo dove molti di noi tengono gran parte della propria vita.
E se l'account è già andato?
Si reinstalla WhatsApp e si registra di nuovo il proprio numero: ricevendo il codice via SMS si riprende il controllo, e il dispositivo del truffatore viene estromesso. Se è attiva la verifica in due passaggi del truffatore e il PIN non lo conosciamo, WhatsApp impone un'attesa, ma l'account torna comunque. Subito dopo conviene fare due cose: controllare di nuovo i dispositivi collegati, e avvisare i propri contatti — perché nel frattempo il messaggio sulla ballerina sarà già partito verso di loro, e l'unica cosa che interrompe davvero questa catena è qualcuno che, a metà, dice agli altri di fermarsi.
