Attenzione alla truffa della ballerina su WhatsApp: come funziona e come difendersi

In queste settimane ci state scrivendo in tanti per chiederci informazioni su un messaggio strano arrivato su WhatsApp: qualcuno vi chiede di votare una ragazza che partecipa a un concorso di danza o che sta cercando una borsa di studio. Un gesto piccolo, apparentemente innocuo. Un click per aiutare. Eppure, dietro quel messaggio si nasconde una truffa che può portare al controllo completo del vostro account WhatsApp, con conseguenze che vanno dalle richieste di denaro ai vostri contatti fino a veri e propri ricatti.

Si chiama “truffa della ballerina” ed è collegata a una tecnica informatica chiamata ghostpairing. Vediamo insieme come funziona, passo per passo, e soprattutto cosa fare se si è già caduti nella trappola.

Come arriva il messaggio

Il messaggio arriva su WhatsApp, spesso da un numero che è già in rubrica: un amico, un parente, un conoscente. Questo è il primo elemento che abbassa le difese: siamo abituati a fidarci di chi conosciamo, e leggere un messaggio proveniente da un contatto fidato ci mette in uno stato d’animo ben diverso rispetto a un messaggio di uno sconosciuto.

Il testo è semplice e diretto. Qualcosa del tipo: “Ciao, puoi votare la figlia di una mia amica? Sta partecipando a un concorso di danza e ha bisogno di voti. Ci vuole un minuto.” Spesso è accompagnato da una foto della ragazza e da un link su cui cliccare.

Quello che non sappiamo è che il mittente del messaggio non è davvero il nostro amico o parente: il suo account WhatsApp è già stato compromesso in precedenza con la stessa tecnica, e i truffatori lo stanno usando per diffondere la truffa ad altri.

Cosa succede quando si clicca sul link

Cliccando sul link si viene portati su un sito che sembra credibile: potrebbe assomigliare a una piattaforma di votazioni, a un social network, a un portale scolastico. Il sito chiede di inserire il proprio numero di telefono per “registrarsi e votare”.

Subito dopo arriva un SMS sul proprio telefono con un codice numerico. Il sito chiede di inserire anche quello. Ed è esattamente qui che avviene la truffa.

Quel codice non è una semplice verifica di identità per un concorso. È il codice che WhatsApp invia quando si vuole collegare l’account a un nuovo dispositivo, ad esempio per usare WhatsApp sul computer o su un tablet. Inserendolo sul sito dei truffatori, si sta di fatto consegnando loro l’accesso al proprio account, senza che WhatsApp venga violato in alcun modo e senza che nessun virus entri nel telefono.

Cos’è il ghostpairing e perché è così insidioso

WhatsApp permette di usare lo stesso account su più dispositivi contemporaneamente. È una funzione utile e legittima: chi usa WhatsApp Web sul computer, ad esempio, ha già eseguito questa operazione. Si chiama “pairing”, cioè abbinamento.

Il ghostpairing è la versione criminale di questa funzione. La parola “ghost”, che in inglese significa fantasma, indica che l’abbinamento avviene all’insaputa della vittima. Il telefono del truffatore viene collegato all’account WhatsApp della vittima come se fosse un dispositivo autorizzato. Da quel momento in poi, il truffatore può leggere tutti i messaggi, vedere tutte le foto e i video nelle chat, e soprattutto scrivere ai contatti fingendo di essere la vittima.

La pericolosità di questa truffa sta proprio nella sua semplicità: non serve scaricare nessun virus, non viene bucato nessun sistema. La vittima compie essa stessa, inconsapevolmente, l’operazione che apre la porta ai truffatori. È una tecnica di manipolazione psicologica, non un attacco informatico nel senso tradizionale del termine.

Cosa fanno i truffatori una volta dentro

Una volta ottenuto l’accesso all’account, i truffatori possono agire in diversi modi.

Il più comune è contattare tutti i contatti della vittima chiedendo denaro con scuse urgenti: “Ho un’emergenza, puoi mandarmi 200 euro su PayPal? Ti restituisco tutto domani.” Il messaggio arriva dal numero della vittima, magari con il suo nome e la sua foto profilo, e molte persone cadono nella trappola perché non hanno motivo di dubitare.

In altri casi i truffatori utilizzano foto o video presenti nelle chat private per ricattare la vittima, minacciando di diffonderli se non viene pagata una somma di denaro.

Infine, con i numeri di telefono raccolti, possono tentare ulteriori truffe ai danni dei contatti, perpetuando la catena.

Come capire se si è già vittima del ghostpairing

Fortunatamente, verificare se qualcuno ha collegato il proprio account WhatsApp a un dispositivo non autorizzato è semplice e richiede meno di un minuto.

Bisogna aprire WhatsApp, toccare i tre puntini in alto a destra (su Android) oppure andare su “Impostazioni” (su iPhone), e poi cercare la voce “Dispositivi collegati”. Si apre un elenco di tutti i dispositivi che hanno accesso all’account. Se si riconosce tutto quello che c’è scritto, va bene. Se invece compare un dispositivo sconosciuto, bisogna toccarlo e scegliere “Disconnetti” o “Esci”. Il dispositivo del truffatore verrà immediatamente scollegato e perderà l’accesso all’account.

Dopo aver fatto questo, è bene avvisare i propri contatti che nelle ultime ore o nei ultimi giorni potrebbero aver ricevuto messaggi sospetti a proprio nome, e di non cliccare su nessun link e di non inviare denaro.

Come proteggersi in futuro

La regola fondamentale è una sola, e vale sempre: il codice di verifica di WhatsApp non va mai inserito su siti esterni all’applicazione. Mai, per nessun motivo. WhatsApp non chiede mai quel codice tramite siti di terze parti. Se un sito lo chiede, è una truffa senza eccezioni.

Vale anche la pena attivare la verifica in due passaggi, che aggiunge un ulteriore livello di protezione all’account. Per farlo: aprire WhatsApp, andare su “Impostazioni”, poi “Account”, poi “Verifica in due passaggi” e seguire le istruzioni. Verrà richiesto di scegliere un PIN di sei cifre da ricordare. Da quel momento in poi, anche se qualcuno dovesse ottenere il codice di verifica, non potrebbe comunque accedere all’account senza quel PIN.

Infine, quando si riceve un messaggio del genere, anche da un contatto fidato, è bene fermarsi un momento a ragionare. Nessun concorso di danza serio chiede di inserire il proprio numero di telefono e un codice ricevuto via SMS per votare un partecipante. Se qualcosa sembra strano, quasi certamente lo è.

Se avete già inviato il codice

Se avete già inserito il codice sul sito dei truffatori, agite subito: andate nella sezione “Dispositivi collegati” di WhatsApp e disconnettete tutto quello che non riconoscete. Cambiate il PIN dell’account se l’avete già impostato, oppure impostatelo adesso. Avvisate i vostri contatti il prima possibile.

Se avete già ricevuto richieste di denaro a vostro nome, o se siete vittima di ricatti, segnalate tutto alla Polizia Postale, che si occupa proprio di questo tipo di reati. Potete farlo online sul sito commissariatodips.it oppure recandovi di persona presso l’ufficio più vicino.

Mi raccomando, come sempre state attentionline.it

Ciao, potresti votare per Francesca? È la figlia dei miei amici, il primo premio è un corso gratuito di danza, ed è molto importante per lei! https://xxx.click/home/voteehin