“Me l’ha mandato mia cugina, figurati se è una truffa.” È proprio su questo che conta il trucco: il messaggio arriva davvero dal numero di tua cugina. Solo che a scriverlo non è più lei, perché il suo account è già nelle mani dei truffatori.
Come funziona la truffa del falso concorso su WhatsApp?
Ti arriva da un contatto vero, già derubato, e ti chiede un voto che in realtà è la chiave del tuo account. I passaggi sono sempre gli stessi:
- Il messaggio: un amico o un parente ti chiede di votare una bambina o una giovane ballerina, per aiutarla a vincere un concorso o una borsa di studio. “Ci vorrà meno di un minuto.”
- Il sito: il link apre una pagina che imita un portale di votazione, con le foto delle candidate e il numero di voti.
- La “verifica”: per votare il sito chiede il tuo numero di telefono e poi il codice che ricevi, oppure ti spiega come inquadrare un codice QR dal menu “Dispositivi collegati” di WhatsApp.
- Il furto: con quel codice i truffatori attivano il tuo WhatsApp sul loro telefono, o collegano il loro computer al tuo account.
- La catena: dal tuo account mandano lo stesso messaggio a tutti i tuoi contatti, e chiedono soldi a familiari e amici.
Succede anche in Svizzera?
Sì: l’UFCS l’ha segnalata già a maggio 2026, con messaggi in italiano e in tedesco. L’Ufficio federale della cibersicurezza (UFCS) ha descritto il messaggio arrivato da contatti in rubrica: un voto per “Sofia”, la figlia di un amico, in un concorso scolastico. Il sito chiedeva il numero di cellulare e poi il codice ricevuto via SMS, che è il codice di registrazione di WhatsApp. In un’altra versione chiedeva di inquadrare un codice QR, con istruzioni in italiano, collegando così WhatsApp Web dei criminali all’account della vittima.
Con l’account in mano i criminali hanno accesso a contatti, chat, foto e gruppi. In alcuni casi hanno diffuso false informazioni nelle chat di gruppo o mandato lo stesso messaggio a tutti i contatti della vittima.
A settembre la Polizia cantonale di Zurigo ha segnalato la variante della finta votazione di danza, con le foto delle candidate e il pulsante per votare che porta al codice QR.
cybercrimepolice.ch, Polizia cantonale di Zurigo (in tedesco)Il 12 ottobre la stessa polizia ha descritto cosa succede dopo: i truffatori scrivono nella chat che già usi con quella persona, con lo stesso numero e la stessa foto, e chiedono soldi con un pretesto. Oppure pubblicano la richiesta nello stato di WhatsApp, per raggiungere tanti contatti in una volta. Motivo, importo e modo di pagamento cambiano ogni volta.
cybercrimepolice.ch, Polizia cantonale di Zurigo (in tedesco)E in Italia?
In Italia è tornata a ottobre la “truffa della ballerina”. Il 6 ottobre il CERT-AgID ha descritto la nuova ondata: due finaliste con foto e numero di voti, una scuola di danza di Praga, e la richiesta di “verificare l’account WhatsApp” dopo aver scelto la candidata. In questa versione il codice collega un dispositivo dei truffatori al tuo account, mentre il tuo telefono continua a funzionare normalmente: per questo spesso non te ne accorgi.
Il dispositivo collegato dai truffatori può leggere le conversazioni e mandare la stessa truffa ai contatti della vittima. Il CERT-AgID consiglia di controllare periodicamente Impostazioni → Dispositivi collegati e di attivare la verifica in due passaggi.
Il 10 ottobre la Polizia Postale ha parlato di una “nuova ondata” di furti di account: con l’identità della vittima i truffatori contattano familiari e amici e chiedono denaro mettendo fretta, mentre la vittima rischia di perdere l’accesso e di non riuscire ad avvisare in tempo i suoi contatti.
“Non è sufficiente che un messaggio provenga da un contatto conosciuto per considerarlo sicuro.”
Ho dato il codice: cosa faccio adesso?
Agisci subito, nell’ordine: riprendi l’account, stacca i dispositivi che non conosci, avvisa i contatti da un altro canale, segnala.
- Controlla i dispositivi collegati: in WhatsApp apri Impostazioni → Dispositivi collegati ed esci da ogni apparecchio che non riconosci. Se hai inquadrato un codice QR, è il passo che l’UFCS indica per staccare i truffatori.
- Se WhatsApp ti ha scollegato (hai dato il codice SMS): reinstalla o riapri WhatsApp, inserisci il tuo numero e il nuovo codice a 6 cifre che ricevi. L’UFCS spiega che così il truffatore viene scollegato automaticamente.
- Se ti chiede un PIN che non hai mai impostato: l’hanno attivato i truffatori. Secondo l’UFCS devi aspettare sette giorni prima di poter rientrare senza quel PIN. Nel frattempo il passo 4 è il più importante.
- Avvisa i tuoi contatti da un altro canale: SMS, telefonata, email, un altro social. Scrivi chiaramente di ignorare qualsiasi richiesta di soldi e qualsiasi link arrivati dal tuo WhatsApp.
- Se qualcuno ha già pagato: deve contattare subito la sua banca o il servizio di pagamento usato.
- Segnala: in Svizzera alla polizia cantonale (in Ticino la Polizia cantonale; la polizia di Zurigo consiglia di fissare prima un appuntamento per telefono) e all’UFCS. In Italia alla Polizia Postale.
- Proteggi l’account appena lo riprendi: verifica in due passaggi con PIN (vedi sotto).
Le istruzioni di WhatsApp sono nel suo Centro assistenza: come recuperare un account compromesso e informazioni sui dispositivi collegati.
Un amico mi chiede soldi su WhatsApp: come capisco se è lui?
Non dalla chat: lo stesso numero e la stessa foto non provano niente. Chiamalo con una normale telefonata al numero che hai in rubrica, non con la chiamata di WhatsApp. I truffatori hanno il suo WhatsApp, non la sua SIM: la telefonata arriva a lui. Se non risponde, senti un altro familiare. Prima di quella verifica, nessun bonifico e nessun pagamento TWINT o Postepay, per nessun importo.
I segnali tipici:
- richiesta di soldi improvvisa, con un motivo urgente e un po’ vago;
- fretta (“devo pagare entro oggi”, “ti ridò tutto domani”);
- scuse per non telefonare (“non posso parlare”, “ho il microfono rotto”);
- link da aprire o codici da girare, anche se sembrano innocui;
- richiesta nello stato di WhatsApp invece che in privato;
- un messaggio da un numero nuovo che dice “ho cambiato numero”: stessa regola, telefonata al numero vecchio che hai in rubrica.
Come proteggo il mio WhatsApp prima che succeda?
Con tre impostazioni da cinque minuti e una regola: il codice di WhatsApp non si dà a nessuno.
- Attiva la verifica in due passaggi: in WhatsApp, Impostazioni → Account → Verifica in due passaggi. Scegli un PIN che non usi altrove e aggiungi un indirizzo email di recupero. Se qualcuno prova ad attivare il tuo numero su un altro telefono, oltre al codice SMS gli servirà anche il PIN. È il consiglio di UFCS, CERT-AgID e Polizia Postale. Le istruzioni di WhatsApp.
- Controlla ogni tanto i dispositivi collegati e scollega quelli che non riconosci. Usa quel menu solo per collegare tu il tuo computer, mai per inquadrare un codice QR trovato su un sito.
- Cambia il PIN della segreteria telefonica del tuo cellulare. Il codice di WhatsApp può arrivare anche con una chiamata vocale: l’UFCS ha descritto truffatori che lo richiedevano di notte, quando risponde la segreteria, per poi ascoltarlo entrando con il PIN predefinito, spesso le ultime quattro cifre del numero. Il tuo operatore ti dice come cambiarlo.
In quei casi i truffatori, presi gli account, attivavano a loro volta la verifica in due passaggi per tenere fuori la vittima. L’UFCS raccomanda di cambiare subito tutte le password predefinite e di trattare i PIN come password.
Per capire come funziona la verifica in due passaggi su tutti i tuoi account, non solo su WhatsApp, c’è la guida alla verifica in due passaggi.
Il Metodo 3V applicato al falso concorso
Tre domande, prima di toccare il link e prima di mandare soldi. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nel falso concorso e nella richiesta di soldi | |
|---|---|---|
| Verifica | Chi mi scrive è davvero chi dice di essere? | Il numero giusto non basta: l’account può essere rubato. Telefona alla persona al numero in rubrica. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Un voto che chiede il codice di WhatsApp non ha senso. Un amico che chiede soldi in chat e non vuole parlare al telefono, neanche. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Il voto chiude a breve”, “devo pagare entro stasera”: la fretta serve a non farti telefonare prima. |
Domande frequenti
Mi hanno rubato WhatsApp: cosa faccio?
Controlla Impostazioni → Dispositivi collegati ed esci da quelli che non conosci. Se sei stato scollegato, riattiva WhatsApp con il tuo numero e il nuovo codice SMS: secondo l'UFCS il truffatore viene scollegato. Avvisa subito i contatti da un altro canale di ignorare richieste di soldi, poi segnala alla polizia cantonale e all'UFCS in Svizzera, alla Polizia Postale in Italia.
Un amico mi chiede il codice di verifica di WhatsApp: cosa faccio?
Non darlo. Quel codice serve solo ad attivare il tuo numero su un telefono, quindi chi lo chiede vuole il tuo account. Molto probabilmente l'account del tuo amico è già stato rubato. Telefonagli al numero che hai in rubrica, con una normale chiamata, e avvisalo.
Come recupero un account WhatsApp rubato se mi chiede un PIN?
Se ti chiede un PIN che non hai mai impostato, l'hanno attivato i truffatori. L'UFCS spiega che bisogna aspettare sette giorni prima di poter rientrare senza quel PIN. Nel frattempo avvisa i tuoi contatti da un altro canale e segnala il furto. Quando rientri, attiva subito la verifica in due passaggi con un PIN tuo.
Se ho la verifica in due passaggi sono al sicuro?
È una protezione importante: per attivare il tuo numero su un altro telefono, oltre al codice SMS serve anche il tuo PIN. Non ferma però il trucco del codice QR, che collega un dispositivo al tuo account. Per questo resta la regola: niente codici e niente QR presi da siti o messaggi, e un controllo ogni tanto dei dispositivi collegati.
Se la verifica in due passaggi non l’hai ancora attivata, parti da SMS, app o chiave: quale scegliere. L’ondata è in corso adesso in Svizzera e in Italia: cinque minuti oggi, sul tuo telefono e su quello dei tuoi genitori, valgono più di una settimana passata a riprendere un account.
