BARI – “Ho comprato delle cose online e devo fare un bonifico istantaneo al venditore, ma oggi la mia carta ha superato il limite. Riusciresti ad anticiparlo tu? Domani te li ridò subito, promesso”. Pochi minuti dopo, un’altra richiesta, ancora più precisa: “Ho sforato il limite e non mi fa partire un bonifico da 866 euro”.
A leggerli così, sembrano i messaggi di una persona conosciuta che si trova semplicemente in difficoltà e chiede un favore. Il problema è che a scriverli non era affatto il titolare dell’account.
La scoperta è arrivata in modo quasi casuale, quando uno dei contatti presenti nella rubrica ha ricevuto quei messaggi e, invece di procedere con il bonifico, ha deciso di telefonare direttamente al presunto mittente. Una scelta che ha fatto immediatamente emergere qualcosa di strano.
Il primo controllo ha riguardato proprio la conversazione. Quei messaggi, infatti, non comparivano nella cronologia della chat del proprietario dell’account. Il contatto, però, era certo di averli ricevuti e ha inviato uno screenshot della conversazione tramite e-mail. È stato quello il momento in cui è emersa la realtà: qualcuno aveva preso il controllo dell’account WhatsApp e lo stava utilizzando per fingersi il legittimo proprietario e chiedere denaro alle persone della sua rubrica.
Una truffa costruita sfruttando uno degli elementi che rende più credibili i raggiri online: la fiducia. Il messaggio non arriva da un numero sconosciuto, ma dall’account di una persona che si conosce. Non c’è un’offerta incredibile, non ci sono minacce e non viene proposto un investimento miracoloso. C’è semplicemente una richiesta apparentemente urgente, accompagnata dalla promessa di restituire i soldi il giorno successivo.
In questo caso, però, c’era qualcosa di ancora più inquietante. Il proprietario dell’account non aveva cliccato su link sospetti, non aveva comunicato codici ricevuti via SMS e non aveva fornito volontariamente le proprie credenziali a nessuno nelle ore precedenti. Come era stato quindi possibile che qualcuno riuscisse a utilizzare il suo profilo?
La risposta è arrivata dopo il contatto con la Polizia Postale di Bari. L’episodio si inserisce infatti in una nuova ondata di compromissioni degli account WhatsApp che sta interessando in particolare i dispositivi Apple con versioni non aggiornate di iOS e dell’applicazione. In alcuni casi si tratta di attacchi definiti “zero-click”: intrusioni che possono sfruttare vulnerabilità del dispositivo senza richiedere alla vittima di cliccare su un link o compiere una particolare azione.
È proprio questo l’aspetto che rende la situazione particolarmente insidiosa. Per anni gli utenti sono stati abituati a considerare il clic su un link sospetto come il principale campanello d’allarme. In questo caso, invece, il problema può verificarsi anche senza quella che normalmente viene definita “disattenzione” dell’utente.
Una volta ottenuto l’accesso, il criminale può utilizzare l’account per contattare amici, parenti e conoscenti, sfruttando il nome e l’identità digitale della vittima. La richiesta di denaro diventa così molto più credibile rispetto a quella proveniente da un numero sconosciuto. E il destinatario può essere portato a pensare che dall’altra parte ci sia realmente un amico che ha bisogno di un aiuto immediato.
Il caso dei 866 euro è emblematico proprio per questo motivo. L’importo non viene presentato come una richiesta generica, ma viene giustificato con una situazione concreta: un acquisto online, il limite della carta raggiunto e l’impossibilità di effettuare un bonifico. Una storia semplice, costruita per non lasciare troppo spazio alla riflessione e spingere il destinatario ad agire rapidamente.
Fortunatamente, in questa circostanza la truffa si è fermata prima del trasferimento di denaro. Il destinatario ha avuto l’accortezza di verificare telefonicamente la richiesta, evitando di fidarsi esclusivamente del messaggio ricevuto.
Prima di effettuare un pagamento è fondamentale verificare direttamente l’identità del richiedente utilizzando un altro canale: una telefonata, un altro numero, una videochiamata o, se possibile, un contatto di persona.
Dopo la scoperta dell’intrusione, è stato necessario avvisare tempestivamente alcuni contatti personali, proprio per impedire che qualcun altro potesse cadere nella stessa trappola. Quando un account viene compromesso, infatti, il problema non riguarda più soltanto il proprietario, ogni persona presente nella rubrica può diventare un potenziale bersaglio.
La Polizia di Stato ha raccomandato di mantenere sempre aggiornati sia il sistema operativo del telefono sia WhatsApp, oltre a controllare periodicamente la sezione “Dispositivi collegati” dell’applicazione per individuare eventuali sessioni non riconosciute.
