Con la truffa whatsapp del voto non ti rubano l’account. Ti fanno entrare loro dentro. E lo fai tu, senza rendertene conto
Cosa c’è da sapere
- Non è un furto di password: è un accesso autorizzato
- Il truffatore si collega come “dispositivo associato”
- Può leggere, scrivere e contattare tutta la rubrica
- Il 2FA non blocca questo tipo di attacco
- La difesa è comportamentale, non tecnica
Cos’è la truffa WhatsApp del voto (o della ballerina)
Il termine tecnico fa scena: session hijacking. Sembra qualcosa da hacker incappucciati. In realtà è molto più semplice, e proprio per questo funziona. Non ti rubano l’account. Non indovinano la password. Non intercettano SMS.
Fanno una cosa diversa: si agganciano alla tua sessione, cioè a una connessione già valida, come se fossero un tuo secondo dispositivo. Lo stesso identico meccanismo che usi quando apri WhatsApp Web dal computer. Solo che quel “computer” non è il tuo.
Come funziona davvero la truffa WhatsApp del “vota per mio nipote”
Tutto parte da un messaggio che arriva da un contatto reale. È scritto bene, usa il tuo nome, chiede un favore innocuo. Un voto, un click, pochi secondi. Clicchi il link. Arrivi su una pagina credibile. Ti chiedono una verifica.
A quel punto succede il passaggio chiave: ti viene chiesto di inserire un codice o di inquadrare un QR. Non è un codice qualsiasi. È un codice di collegamento di WhatsApp.
Quando lo inserisci (o scansioni il QR), stai facendo una cosa molto precisa: stai autorizzando un nuovo dispositivo ad accedere al tuo account. Non stai subendo un attacco. Stai concedendo un accesso.
Cosa rischi davvero con la truffa WhatsApp del voto
Una volta dentro, il truffatore non ha un accesso “limitato”. Ha accesso pieno, come se fosse te. Può:
- leggere le chat recenti
- scaricare foto, documenti, audio
- vedere tutta la rubrica
- scrivere ai tuoi contatti
- inviare messaggi nei gruppi
Ed è qui che il meccanismo diventa pericoloso. Perché non manda messaggi generici. Manda messaggi a nome tuo.
Perché questa truffa si diffonde così velocemente
Il punto non è la tecnologia. È la fiducia. Ogni account compromesso diventa un nuovo punto di partenza:
- scrive a persone reali
- usa nomi reali
- arriva in conversazioni già aperte
Non è spam. È relazione sfruttata. E questo rende la truffa estremamente credibile, anche per chi normalmente è attento.
Perché l’autenticazione a due fattori non serve
Qui molti restano spiazzati. Il 2FA (il famoso PIN di WhatsApp) serve a proteggere il tuo account quando qualcuno prova a registrarlo su un nuovo telefono.
Ma questa truffa non fa quello. Non registra un nuovo account. Non cambia dispositivo principale. Aggiunge un dispositivo secondario autorizzato. Sono due meccanismi diversi. E il 2FA protegge solo uno dei due.
Come capire se sei stato compromesso
I segnali non sempre sono evidenti, ma ce ne sono alcuni:
- amici o clienti ti scrivono: “che messaggio mi hai mandato?”
- trovi conversazioni che non ricordi
- vedi attività strana nei gruppi
In questi casi, la prima cosa da fare è semplice.
Cosa difendersi dalla truffa WhatsApp del voto
Apri WhatsApp e vai su:
Impostazioni → Dispositivi collegati
Se vedi qualcosa che non riconosci, disconnetti.
Anche se ti sembra tutto normale, nel dubbio:
disconnetti tutto e ricollega solo i tuoi dispositivi.
Poi avvisa i contatti più recenti: non cliccare su eventuali messaggi ricevuti da te.
Niente procedure complicate. Ma serve farlo subito.
La vera difesa (che nessuno racconta)
Non esiste una soluzione tecnica definitiva per questo tipo di attacco. Perché non è un attacco tecnico. È una dinamica comportamentale. E funziona molto bene perché:
- ci fidiamo
- siamo veloci
- non verifichiamo
La difesa in questi casi è una sola: fermarsi un secondo prima. Se un sito ti chiede di inserire un codice di WhatsApp, non è una verifica. È una richiesta di accesso.
In estrema sintesi
Questa truffa passerà. Ne arriverà un’altra, con un altro pretesto, un altro link, un altro “favore”. Il meccanismo resterà lo stesso. Non è il singolo caso che conta. È capire cosa sta succedendo sotto. Perché quando l’accesso lo concedi tu, non c’è protezione che tenga.
✍️ FAQ tecnica – Session hijacking su WhatsApp (Dispositivi collegati)
È il sistema ufficiale che permette di usare WhatsApp su più dispositivi (browser, desktop, tablet) senza dover duplicare l’account. Ogni dispositivo collegato diventa un endpoint autorizzato, sincronizzato con il telefono principale.
L’attaccante sfrutta il flusso legittimo di collegamento: genera un QR o un codice di pairing e induce la vittima a usarlo. Il risultato è che il dispositivo dell’attaccante viene registrato come se fosse autorizzato dall’utente.
Nel senso classico, il session hijacking consiste nel prendere controllo di una sessione attiva. Qui è una variante: non si intercetta una sessione, ma se ne crea una nuova, valida e persistente, sfruttando il canale ufficiale di pairing. È più corretto parlare di abuso del processo di creazione della sessione.
Non rompe la cifratura. Si inserisce come dispositivo autorizzato nella stessa architettura di cifratura. Per il sistema, è un endpoint legittimo, quindi riceve i messaggi già decifrabili per quel dispositivo.
No. Ed è questo che rende l’attacco efficace. Il codice o il QR sono reali, generati dal sistema ufficiale di WhatsApp. È il contesto in cui vengono presentati a essere falso.
La sessione resta attiva finché non viene revocata manualmente o finché non scade. In molti casi può durare giorni o settimane, consentendo monitoraggio continuo e invio di messaggi in tempo reale.
Perché il telefono continua a funzionare normalmente. Non c’è blocco, non c’è logout, non c’è errore visibile. L’unico segnale può essere la notifica di nuovo dispositivo collegato, spesso ignorata o non compresa.
Sì. Le campagne su larga scala utilizzano infrastrutture automatizzate che generano continuamente sessioni di pairing e pagine di phishing, rendendo il modello scalabile e replicabile.
No, se la sessione collegata resta attiva. L’accesso dell’attaccante è legato al dispositivo autorizzato, non solo all’app installata sul telefono.
Parziali. Notifiche di nuovo dispositivo, possibilità di disconnessione, verifica in due passaggi (che però non protegge questo flusso). Il punto debole resta l’interazione utente durante il pairing.
Lascia un commento