Il messaggio arriva da un numero che hai in rubrica. È un amico, un collega, una persona del gruppo di famiglia. Ti chiede un favore piccolo: «Mi voti la mia nipotina al concorso di danza? Ci vogliono due secondi». Perché dire di no? Dietro questo gesto c'è un mito molto comodo: se il link me lo manda un amico, posso fidarmi.
Verdetto: falso. Il numero è il suo, ma a scrivere non è lui. Il suo WhatsApp è già stato rubato, e ora viene usato per arrivare a chi si fida di lui. Cioè a te.
Come funziona la truffa
Il link porta a una pagina che sembra quella di un vero concorso: foto, nomi, un pulsante per votare. Per "confermare il voto" ti chiede il numero di telefono. Subito dopo ti arriva un SMS con un codice, e la pagina ti chiede di inserire anche quello.
Quel codice non serve a votare. È il codice di verifica di WhatsApp: quello che arriva quando qualcuno prova ad attivare il tuo numero su un altro telefono. Se lo inserisci nella pagina, lo consegni a chi sta facendo proprio questo. Il tuo WhatsApp si apre sul suo telefono, e tu resti fuori.
A quel punto il copione riparte: lo stesso messaggio, con lo stesso link, viene mandato a tutti i tuoi contatti. Che lo ricevono da te, e si fidano. La Polizia Postale ha segnalato proprio questa truffa.
Perché funziona così bene
Funziona perché sfrutta la fiducia, non la tecnologia. Non c'è nessun virus e nessuna falla da sfruttare. C'è un messaggio di una persona che conosci, una richiesta innocua e una pagina che ti fa fare un gesto che sembra normale.
Il codice che arriva via SMS è un codice OTP, cioè un codice usa e getta che serve a dimostrare che sei proprio tu. Per questo, quasi sempre, chi te lo chiede vuole entrare al posto tuo. Che sia una pagina di voto, un finto operatore o un amico che "ti ha mandato un codice per sbaglio", la risposta è la stessa.
Come difendersi
Bastano tre regole, e la terza si attiva in un minuto.
- Il codice SMS di WhatsApp non si gira a nessuno, mai. Né a una pagina web, né a un amico, né a chi dice di lavorare per WhatsApp.
- Nel dubbio, chiama l'amico prima di cliccare. Una telefonata di dieci secondi ti dice subito se il messaggio l'ha scritto davvero lui.
- Metti il PIN su WhatsApp. Vai in Impostazioni, poi Account, poi Verifica in due passaggi, e scegli un PIN. Anche se qualcuno ottiene il codice, senza il PIN non può attivare il tuo account.
Se ci sei già cascato, avvisa subito i tuoi contatti passando da un'altra strada, per esempio una telefonata, un SMS o un altro social, così non cadono nella stessa trappola. Poi segnala quello che è successo alla Polizia Postale su commissariatodips.it.
La regola pratica
Il codice che ti arriva per SMS non si gira a nessuno. Nel dubbio, chiama l'amico.
Per le aziende
Molte attività usano WhatsApp per lavorare: con i clienti, con i fornitori, tra colleghi. Un account rubato non colpisce solo la persona, ma anche chi si fida di lei e del marchio che rappresenta. Un messaggio che arriva dal numero del vostro negozio o del vostro commerciale ha una credibilità che un truffatore non potrebbe mai costruirsi da solo.
Proteggere quei numeri è semplice: PIN attivo su ogni account usato per lavoro, e una regola chiara per tutti sui codici di verifica. Se poi la tua app o la tua piattaforma usa codici via SMS per l'accesso, va progettata in modo che nessuno, nemmeno l'assistenza, li chieda mai all'utente. In NEURAFIT progettiamo app e piattaforme pensando anche a come qualcuno potrebbe ingannarle. Se vuoi capire quanto sono esposti i flussi della tua azienda, scrivici a info@neurafit.it: ti risponde direttamente chi sviluppa.
Commenti
Ancora nessun commento. Scrivi il primo.