"Ti ho mandato un codice per errore": così ti rubano WhatsApp

Ti arriva un SMS con un codice di sei cifre che non hai richiesto e, quasi nello stesso momento, un messaggio di un amico, di qualcuno del gruppo della scuola o di un "tecnico di WhatsApp": "Scusa, ti ho mandato un codice per errore, me lo puoi rinviare?". Sembra un favore da nulla, ma quel codice è la chiave del tuo account. Se lo invii, un'altra persona registrerà il tuo numero WhatsApp o Telegram sul proprio telefono, tu perderai l'accesso e il truffatore comincerà a scrivere a tutti i tuoi contatti fingendosi te. La regola è semplice e non ha eccezioni: un codice di verifica non si condivide mai, con nessuno.

Come funziona il furto dell'account?

WhatsApp e Telegram identificano il tuo account tramite il numero di telefono. Quando qualcuno installa l'app su un nuovo telefono e inserisce un numero, il servizio invia un codice via SMS (o con una chiamata, o all'interno dell'app stessa) al telefono del titolare per verificare che sia suo. Al truffatore serve esattamente ciò che è arrivato a te.

Il copione di solito segue questi passaggi:

1. Il truffatore inserisce il tuo numero sul suo telefono e avvia la registrazione. A te arriva l'SMS ufficiale con il codice.
2. Ti scrive per chiedertelo. Spesso dall'account di un contatto reale già rubato, ed è per questo che il messaggio arriva da una persona di fiducia. Altre volte si presenta come assistenza di WhatsApp, come organizzatore di un concorso o di una votazione, o come qualcuno che "ha sbagliato numero".
3. Mette fretta. "È urgente", "mi bloccano l'account", "ci vuole un attimo".
4. Se gli invii il codice, l'account passa sul suo telefono. Il tuo WhatsApp si disconnette e spesso lui attiva la propria verifica in due passaggi perché tu non possa recuperarlo facilmente.
5. Usa la tua identità. Scrive ai tuoi contatti e ai tuoi gruppi chiedendo soldi urgenti, un bonifico o un pagamento istantaneo (in Spagna spesso tramite Bizum, il servizio di pagamento via cellulare) oppure, di nuovo, "il codice che ti è arrivato per errore". Così la catena continua.

Quali sono i segnali d'allarme?

• Ricevi un codice che non hai richiesto. È il segnale più chiaro: qualcuno sta cercando di entrare nel tuo account.
• L'SMS dice testualmente di non condividerlo. I messaggi ufficiali di WhatsApp, Telegram, della tua banca e di quasi tutti i servizi lo avvertono.
• Te lo chiedono in chat, anche se è un amico. Nessuno può "mandarti per errore" un codice del proprio account: i codici arrivano sempre al numero che si sta registrando.
• Ti scrive l'"assistenza tecnica". WhatsApp e Telegram non ti chiederanno un codice via chat, SMS o telefonata.
• C'è fretta o una scusa strana: un concorso, una votazione, un account che "sta per essere bloccato".

Cosa faccio subito se me lo stanno chiedendo?

1. Non inoltrare il codice e non dettarlo al telefono. Nemmeno una parte.
2. Verifica tramite un altro canale. Se il messaggio arriva da un contatto, chiamalo al suo numero di sempre o chiediglielo di persona. È molto probabile che il suo account sia già stato rubato; avvisalo.
3. Attiva subito la verifica in due passaggi (ti spieghiamo come più sotto). Con essa, anche se qualcuno ottiene un codice, gli servirà anche un PIN che conosci solo tu.
4. Blocca e segnala la chat dall'app. Se il messaggio è arrivato da un numero sconosciuto, puoi segnalarlo anche nella directory dei numeri spam.
5. Avvisa gli altri: se l'account di un amico è stato usurpato, dillo nel vostro gruppo comune perché nessun altro ci caschi.

Come attivo la verifica in due passaggi?

È la misura che protegge di più da questa frode e si attiva in un minuto:

• WhatsApp: Impostazioni Account Verifica in due passaggi Attiva. Scegli un PIN di sei cifre che non usi da nessun'altra parte e aggiungi un indirizzo email per poterlo reimpostare se lo dimentichi.
• Telegram: Impostazioni Privacy e sicurezza Verifica in due passaggi. Crea una password e aggiungi un'email di recupero.

Non condividere nemmeno quel PIN o quella password. I menu possono cambiare leggermente a seconda della versione dell'app, ma l'opzione compare sempre con quel nome. Approfittane per controllare i dispositivi collegati (su WhatsApp: Impostazioni Dispositivi collegati; su Telegram: Impostazioni Dispositivi) e chiudere qualsiasi sessione che non riconosci.

E se ho già inviato il codice?

Agisci in fretta. Prima lo fai, più è facile recuperarlo:

1. Registra di nuovo il tuo numero sul tuo telefono. Apri WhatsApp, inserisci il tuo numero e verificalo con il nuovo codice che riceverai via SMS. Così la sessione del truffatore viene chiusa.
2. Se ti chiede un PIN che non conosci, il truffatore ha attivato la sua verifica in due passaggi. Non potrà impedirti per sempre di recuperare l'account: dopo un periodo di attesa di alcuni giorni, WhatsApp consente di registrarlo di nuovo senza quel PIN. Nel frattempo scrivi all'assistenza dall'app (Impostazioni Aiuto) spiegando che il tuo account è stato rubato.
3. Su Telegram, accedi con il tuo numero, vai su Impostazioni Dispositivi e tocca "Termina tutte le altre sessioni". Poi attiva la tua password di verifica in due passaggi.
4. Avvisa i tuoi contatti in un altro modo (SMS, chiamata, social o tramite familiari): "Mi hanno rubato WhatsApp, ignorate qualsiasi mio messaggio che chieda soldi o codici".
5. Se il codice era della tua banca o di un'app di pagamento, chiama subito il numero ufficiale della tua banca (quello sul retro della carta o sul suo sito) per bloccare le operazioni.
6. Conserva le prove: screenshot dei messaggi, il numero da cui ti hanno scritto e l'ora.

Dove lo denuncio e a chi chiedo aiuto?

• Polizia: in Spagna, la Policía Nacional (091) o la Guardia Civil (062); altrove, la polizia del tuo Paese (in Italia, ad esempio, la Polizia Postale o i Carabinieri). Presenta denuncia con gli screenshot, soprattutto se hanno usurpato la tua identità o qualcuno ha perso denaro. Aver inviato il codice non ti rende colpevole: sei vittima di un inganno.
• Assistenza in cybersicurezza: in Spagna, la linea 017 dell'INCIBE è gratuita e riservata e ti guida passo dopo passo a recuperare l'account e proteggere i dispositivi; l'Ufficio di Sicurezza dell'Internauta (OSI) dell'INCIBE pubblica anche guide per configurare WhatsApp e Telegram in modo sicuro. Altrove, rivolgiti all'agenzia nazionale per la cybersicurezza.
• 112: solo in caso di emergenza o minaccia immediata.

Se a qualcuno dei tuoi contatti hanno chiesto soldi a tuo nome, leggi anche come funziona la truffa del figlio in difficoltà su WhatsApp: è il seguito abituale di questo furto.

Domande frequenti

Mi è arrivato un codice che non ho chiesto, ma non l'ho dato a nessuno. Sono in pericolo? No. Senza il codice non possono entrare. Significa che qualcuno ha provato il tuo numero; ignora l'SMS, non rispondere a chi te lo chiede e attiva la verifica in due passaggi.

Me l'ha chiesto un amico vero, come può essere una truffa? Perché probabilmente chi scrive non è il tuo amico, ma chi gli ha rubato l'account. Chiamalo prima di fare qualsiasi cosa.

Possono leggere le mie vecchie conversazioni? In generale, registrando l'account su un nuovo telefono le vecchie chat non vengono scaricate se non hanno accesso al tuo backup. Possono però scrivere a tuo nome e vedere i nuovi messaggi che arrivano mentre controllano l'account.

Serve a qualcosa cambiare numero? Non è necessario. Basta recuperare l'account e attivare la verifica in due passaggi.

In sintesi

Un codice che arriva via SMS è tuo e di nessun altro: non degli amici, non dell'"assistenza tecnica", non dei concorsi. Se te lo chiedono, non inviarlo, verifica tramite un altro canale e attiva la verifica in due passaggi. Se l'hai già inviato, registra di nuovo il tuo numero, avvisa i tuoi contatti e denuncia. E se il tentativo è arrivato da un numero sconosciuto, segnalalo nella directory dei numeri spam di NoCall perché altri lo riconoscano in tempo.