Ultimora

Ha fatto il giro degli smartphone di Rosà in poche ore, sfruttando il veicolo più potente che esista: la fiducia. Circa venti giorni fa, numerosi parrocchiani hanno ricevuto un messaggio WhatsApp da un mittente insospettabile, il loro parroco: «Ciao! Potresti votare per Alessandra? È la figlia dei miei amici... Ecco il link». In molti hanno cliccato, ma dietro quella richiesta si nascondeva un caso da manuale di social engineering. Il sacerdote, vittima a sua volta, ha prontamente dato l'allarme, svelando una catena digitale che mira al furto dell'account. È importante fare chiarezza tecnica su quanto accaduto: in questi casi non viene installato alcun virus sul telefono e lo smartphone non è tecnicamente "infetto". La truffa sfrutta invece in modo malevolo una funzione legittima e molto comoda di WhatsApp, ovvero i "Dispositivi Collegati".

Per chi non lo sapesse, si tratta di una funzionalità ufficiale utilissima che permette di "sdoppiare" il proprio account per usarlo comodamente anche su un computer o un tablet, senza dover tenere sempre il telefono in mano. I truffatori hanno però trovato il modo di ritorcere questa comodità contro gli utenti. La meccanica dell'attacco è sottile: la vittima clicca sul link per "votare" e il sito truffaldino chiede di inserire un codice o di inquadrare un QR Code per "convalidare il voto". In realtà, quel codice non serve a votare, ma è la chiave che autorizza un nuovo dispositivo esterno (il computer dell'hacker) ad agganciarsi al WhatsApp della vittima, esattamente come se fosse lei a voler collegare il proprio PC. L'hacker apre così una sessione parallela: da quel momento "vede" tutte le chat e può scrivere a nome del proprietario, sfruttandone la reputazione per ingannare altri contatti, mentre la vittima continua a usare il telefono ignara di avere un "ospite" collegato.

Un messaggio che nasconde una trappola (link non reale)

Bisogna prestare molta attenzione perché questa truffa è un camaleonte: il messaggio-esca cambia continuamente. Oggi è il concorso di danza di "Alessandra", domani sarà una raccolta firme urgente, un buono sconto o delle foto private da vedere. Tuttavia, indipendentemente dalla storia raccontata per attirarvi, la procedura tecnica truffaldina resta sempre la stessa: alla fine vi verrà sempre chiesto di inquadrare un QR Code con la fotocamera di WhatsApp o di inserire un codice di abbinamento. È proprio quello il segnale di pericolo inequivocabile: quel codice QR non serve mai per votare o firmare petizioni, ma è esclusivamente lo strumento tecnico che WhatsApp utilizza per collegare il vostro account a un altro computer.

Come difendersi dunque quando arriva un messaggio strano da un amico o un parente? L'errore più comune è rispondere su WhatsApp chiedendo: "Sei veramente tu?". È inutile, dato che il truffatore ha accesso alla chat e potrebbe intercettare la domanda rispondendo al posto del legittimo proprietario per rassicurarvi. La soluzione migliore è uscire dall'app ed effettuare una chiamata vocale tradizionale: sentire la voce del contatto è l'unico modo certo per verificare se la richiesta è reale o se il suo account è stato compromesso. Poiché non si tratta di un virus, gli antivirus non possono rilevare nulla, ma fortunatamente la verifica è semplice. Per accorgersene basta controllare le "porte" aperte sul proprio account: aprendo le Impostazioni di WhatsApp e selezionando la voce "Dispositivi collegati", è possibile vedere se ci sono intrusi. Se in questa lista compaiono browser o sistemi sconosciuti, l'account è compromesso; per risolvere il problema basta toccare il dispositivo sconosciuto e selezionare "Disconnetti", revocando istantaneamente l'accesso all'hacker.