La truffa del codice, come ti possono rubare il profilo WhatsApp

Non è l'ultima novità in fatto di truffe online o indirizzate contro gli utenti di WhatsApp, ma adesso sembra essersi nuovamente ripresentata con ancora maggior intensità, forse complice anche la situazione complessa del momento.

Stiamo parlando della truffa del codice a 6 cifre, studiata per rubarci il profilo di WhatsApp.

Questo tipo di attacco permette ad un Criminal Hacker di prendere completamente il controllo del nostro account, di modificarne le foto profilo, il nome che appare in chat, creare gruppi, etc… insomma un vero e proprio furto d'identità digitale.

Non solo, una volta impadronitosi del nostro profilo, può utilizzarlo come tramite per colpire altrettanti contatti. L'intento dell'attacco è quello di utilizzare un account WhatsApp "dirottato" per chiedere soldi simulando un'emergenza e per chiedere aiuto agli amici. Si tratta di un attacco grezzo, ma si è dimostrato eccezionalmente efficace. Si tratta di ingegneria sociale al suo massimo splendore: siamo, come esseri umani, codificati per dare fiducia e aiutare i nostri amici.

La buona notizia esiste una semplice impostazione per evitare questo attacco e ci richiederà meno di due minuti per metterlo in atto.

Ma come funziona nel dettaglio questa tecnica?

In teoria è tutto abbastanza semplice, non si tratta di un attacco che richiede abilità da "hacker incappucciato" davanti ad un pc in uno scantinato come vediamo spesso nei film. Il che rende tutto ancora più temibile…

Il tutto ruota attorno alla funzione "cambia numero" di WhatsApp.

I requisiti sono minimi, ma è comunque necessario precisare che portare a termine questa truffa c'è un requisito fondamentale: visto e considerato che il meccanismo si propaga "a catena", per poter essere colpiti uno dei contatti che abbiamo nei nostri gruppi deve essere già stato truffato nel medesimo modo.

Qui entra in gioco la funzionalità del "cambia numero", il Criminal Hacker inserisce il numero di cui è riuscito ad impossessarsi – potrebbe essere un collega, un amico, un compagno di calcetto – e lo sostituisce con il nostro (in qualità di nuovo numero).

Ovviamente non è tutto così semplice, WhatsApp non potrebbe mai lasciare aperta una lacuna di sicurezza così grande.

Qui entra in gioco l'astuzia dei Criminal Hacker, perché una volta che questo ha inserito il nostro numero ci arriverà sul cellulare un messaggio con un codice a 6 cifre.

Sempre tentando di impersonare un nostro contatto l'aggressore proverà a contattarci scusandosi dell'invio errato e chiedendo qualcosa del tipo "Ti ho inviato un codice per sbaglio, potresti rimandarmelo?".

È facile capire come per molti potrebbe non esserci nulla di strano in tutto ciò, d'altronde il messaggio arriva da un amico. E qui cascano nella trappola, inviando il codice al Criminal Hacker.

A quel punto il truffatore lo usa per entrare su WhatsApp con il nostro numero di telefono.

Cosa succede dopo?

Se sfortunatamente e distrattamente inviamo il codice al Criminal Hacker cosa succede dopo?

La prima cosa che avverrà sarà quella di essere immediatamente disconnessi dal nostro profilo, senza alcuna possibilità di poter rientrare fino a quando l'aggressore sarà online con la nostra identità a "fare danni".

Fortunatamente questa funzione del cambio numero è molto limitata se fatta da un altro telefono.

Da un altro dispositivo infatti l'estraneo diventa padrone del nostro profilo e delle nostre impostazioni personalizzate.

Questo non vuole dire che può leggere le nostre vecchie chat, ma può comunque inviare nuovi messaggi e vedere i nostri gruppi e i numeri di telefono di chi ne fa parte, che utilizzerà per attuare la stessa truffa.

Se siete amministratore di un gruppo può cancellare chi ne fa parte, cambiare nome o eliminare il gruppo stesso.

Una nota positiva è che comunque, anche utilizzando questo metodo non potrà vedere i contenuti delle chat, sia singole che quelle di gruppo, ma questo certo non può farci dormire sogni tranquilli.

C'è poi un'altra possibilità che entra in gioco quando si attiva la funzione di "cambia numero".

Una volta fatto infatti WhatsApp ci chiede se avvisare o meno i nostri contatti del cambio.

Se il Criminal Hacker attiva questa opzione quando fa "scattare" la sua trappola ad ogni nostro contatto arriverò un messaggio che informerà i nostri conoscenti del cambio numero.

Così facendo, ogni singola persona con cui abbiamo mai interagito su WhatsApp aggiungerà nella propria lista dei contatti un numero sconosciuto, continuando inconsciamente a propagare questa catena senza fine di aggressioni-digitali.

Come proteggersi?

Il consiglio più ovvio è quello di non inviare MAI un SMS con il codice a sei cifre a nessuno per nessun motivo. Ci sono stati altri attacchi che hanno riguardato altre piattaforme con lo stesso metodo.

Quando un codice viene inviato al vostro telefono si riferisce solo al nostro telefono!

Ma c'è comunque una soluzione che proteggerà il nostro WhatsApp, anche se siamo caduti nella trappola e abbiamo inviato il codice al Criminal Hacker.

C'è un'impostazione totalmente separata nella nostra applicazione WhatsApp che ci permette di impostare un altro PIN a sei cifre. C'è un po' di confusione perché questi sono entrambi della stessa lunghezza, ma sono completamente separati.

L'impostazione "Verifica in due passaggi" è accessibile sotto la voce Impostazioni - Account dall'interno dell'applicazione.

Con questa attiva WhatsApp ti chiederà il PIN quando cambierai telefono e numero e anche ogni tanto quando userai l'app.

Come spiega WhatsApp, "quando la verifica in due passaggi è abilitata, qualsiasi tentativo di verificare il tuo numero di telefono su WhatsApp deve essere accompagnato dal PIN a sei cifre che hai creato utilizzando questa funzione". In altre parole, l'hackeraggio non funzionerà.

Nel frattempo, se siete stati vittima di questo hack, il consiglio è di reinstallare WhatsApp e chiedere un nuovo codice di attivazione.

Questo reimposterà l'app sul tuo telefono. Potrebbe essere necessario un po' di tempo perché ciò funzioni.

Una volta ripristinato il tuo account, imposta subito un PIN.

Non Abbassiamo la guardia!