“Mi serve un favore enorme, mi fai un bonifico?” Se questo messaggio è arrivato dentro una chat che avevi già con un amico, magari una conversazione vecchia di mesi, la prima reazione istintiva è fidarsi. Ed è esattamente questo il punto debole che i truffatori stanno sfruttando da fine agosto 2026, secondo un allarme diffuso dalla Polizia di Stato.
Risposta diretta: la nuova truffa WhatsApp non arriva da un numero sconosciuto, ma da un account di un amico o parente compromesso. Il messaggio si inserisce in una chat già esistente e chiede un bonifico urgente, con la scusa di una carta bloccata o un pagamento improvviso. Il bersaglio è la fiducia nella persona, non la tecnologia.
Perché questa truffa funziona meglio delle altre
Le truffe “del finto nipote” o del finto operatore bancario esistono da anni e, con l’esperienza, molte persone hanno imparato a riconoscerle: numero strano, tono innaturale, richiesta improvvisa da uno sconosciuto. Qui manca proprio l’elemento che di solito fa scattare il sospetto.
Il messaggio arriva dal contatto vero, con la sua foto profilo, il suo nome salvato in rubrica, magari sotto l’ultima frase che vi eravate scambiati settimane prima su tutt’altro argomento. Non c’è nessun “numero nuovo, salvami” da verificare: il numero è quello di sempre. Chi ha lavorato a contatto con le vittime di truffe digitali sa che è proprio l’assenza del segnale d’allarme abituale a rendere efficaci questi schemi — le persone non sono ingenue, semplicemente stanno guardando nel posto sbagliato.
Come funziona nella pratica
Il meccanismo si articola in due fasi distinte, e vale la pena separarle perché richiedono difese diverse.
Nella prima fase i criminali si impossessano dell’account WhatsApp della vittima. Le modalità osservate sono più di una: siti esterni fasulli che imitano pagine di verifica e raccolgono credenziali o codici OTP a sei cifre, oppure, nei casi più sofisticati segnalati dalla Polizia di Stato il 29 agosto 2026, veri e propri attacchi “zero-click” che sfruttano vulnerabilità su versioni non aggiornate di iOS e di WhatsApp sui dispositivi Apple, senza che la persona debba cliccare o fare nulla di consapevole.
Nella seconda fase, con l’account sotto controllo, i truffatori scrivono ai contatti della rubrica fingendosi il proprietario. Il testo tipico chiede un bonifico o una ricarica per un’emergenza — una carta bloccata, un pagamento urgente da coprire, un imprevisto — e in alcuni casi, per aumentare la pressione, arrivano anche risposte automatiche o messaggi successivi che confermano la falsa storia se chi riceve fa domande.
Un dettaglio che in pochi sottovalutano ma che vale la pena notare: la vittima originaria, quella a cui hanno rubato l’account, spesso non si accorge di nulla finché qualcuno non le scrive per verificare. I messaggi in uscita non compaiono sul suo telefono nello stesso modo, o comunque non sempre in tempo reale, e questo allunga la finestra in cui la truffa può colpire più persone della rubrica prima che scatti l’allarme.
I segnali a cui prestare attenzione
Non esiste un solo segnale infallibile, ma alcuni elementi ricorrono quasi sempre in questi casi:
- La richiesta di denaro arriva con urgenza marcata, spesso accompagnata da una scusa plausibile ma vaga (“problema con la carta”, “devo pagare entro oggi”).
- Il tono del messaggio, letto con calma, non suona come la persona scrive di solito — frasi troppo formali, o al contrario troppo generiche.
- Viene chiesto un bonifico diretto o una ricarica, evitando sistematicamente una telefonata o una videochiamata per “spiegare meglio”.
- Se provate a chiamare il contatto, la linea cade, non risponde, oppure risponde scrivendo che “non può parlare adesso”.
Questo ultimo punto, nella pratica, è il test più efficace: chi ha davvero l’account sotto controllo raramente accetta una chiamata vocale, perché smaschererebbe subito l’inganno.
Cosa fare prima di inviare qualsiasi cifra
Il consiglio della Polizia di Stato è semplice da enunciare, meno scontato da applicare quando la richiesta arriva da qualcuno che conosci: verificare l’identità di chi chiede il denaro tramite un canale diverso da WhatsApp, prima di muovere anche un solo euro. Una telefonata al numero che avete già in rubrica, o meglio ancora un messaggio su un altro canale (SMS, una chiamata su un’altra app, persino chiedere a un amico comune) basta quasi sempre a chiarire la situazione in pochi secondi.
Chi gestisce assistenza clienti in ambito bancario racconta spesso lo stesso schema: la vittima ha avuto un dubbio, ma lo ha messo a tacere perché “sembrava davvero lui”. Il dubbio, in questi casi, va sempre ascoltato prima del bonifico, non dopo.
Come proteggere il proprio account, non solo riconoscere la truffa
Difendersi da questa truffa significa anche impedire che il proprio account diventi lo strumento per colpire altri. Qui la parte tecnica conta quanto quella comportamentale.
Aggiornare WhatsApp e il sistema operativo del telefono è il primo passo, e non è un consiglio generico da manuale: gli attacchi zero-click descritti dalla Polizia di Stato sfruttano proprio versioni datate di iOS. Su iPhone: Impostazioni → Generali → Aggiornamento Software; su WhatsApp: verificare gli aggiornamenti disponibili su App Store o Google Play.
Attivare la verifica in due passaggi nelle impostazioni dell’app aggiunge un PIN che nessuno può aggirare col solo codice SMS — è forse la misura più sottovalutata, perché richiede trenta secondi mentre la maggior parte degli utenti non l’ha mai attivata. Controllare periodicamente la sezione “Dispositivi collegati” (Impostazioni → Dispositivi collegati) permette di scoprire subito se qualcuno sta usando WhatsApp Web o Desktop dal proprio account senza autorizzazione.
E soprattutto: nessun codice di verifica, nessun PIN, nessuna password va condiviso con chicchessia, nemmeno se chi lo chiede sembra un amico in difficoltà o un operatore di WhatsApp stesso — WhatsApp non chiede mai questi dati via chat o telefonata.
Se sospettate che il vostro account sia stato rubato
Se notate che WhatsApp vi ha disconnesso senza motivo, o che qualcuno vi segnala messaggi che non avete scritto, la sequenza da seguire è questa: provate a reinstallare WhatsApp e a riverificare il numero (questo passaggio spesso disconnette l’aggressore), attivate subito la verifica in due passaggi appena rientrati nell’account, e avvisate i contatti più stretti tramite un altro canale — SMS, telefonata, un altro social — che il vostro WhatsApp potrebbe essere compromesso e di ignorare eventuali richieste di denaro.
Per la denuncia formale, il canale ufficiale è il Commissariato di P.S. online (commissariatodips.it), lo stesso indicato dalla Polizia di Stato nel proprio avviso. Se avete già effettuato un bonifico, contattate immediatamente la vostra banca: la possibilità di bloccare o recuperare il trasferimento dipende dalla rapidità con cui si agisce, e qui il margine si misura in ore, non in giorni — un dettaglio su cui le fonti sono meno precise, perché le procedure variano da istituto a istituto e vale la pena verificarle direttamente con la propria banca.
Domande frequenti
La truffa arriva sempre da un account rubato, o esistono altre varianti? Il caso segnalato dalla Polizia di Stato riguarda account WhatsApp effettivamente compromessi, ma esistono varianti simili con numeri clonati o cloni dell’app stessa. Il denominatore comune resta uno: la richiesta di denaro urgente che sfrutta un contatto fidato, reale o apparente.
Se rispondo al messaggio senza inviare soldi, rischio qualcosa? No, rispondere o fare domande non comporta rischi diretti. Il pericolo è nell’invio di denaro o nella condivisione di codici e password. Restare in chat per verificare, anzi, è spesso il modo più rapido per smascherare l’inganno.
Come faccio a sapere se il mio account WhatsApp è stato violato? Controllate “Dispositivi collegati” nelle impostazioni: se compaiono sessioni che non riconoscete, l’account è compromesso. Anche una disconnessione improvvisa e ingiustificata è un segnale da non ignorare.
Ho già inviato il bonifico: cosa posso fare adesso? Contattate subito la vostra banca per verificare se il trasferimento può essere bloccato o richiamato, e presentate denuncia al Commissariato di P.S. online o alla polizia postale territoriale. Più tempo passa, minori sono le possibilità di recupero.
La verifica in due passaggi basta a proteggermi del tutto? Riduce di molto il rischio legato a furto di credenziali o OTP, ma non protegge da vulnerabilità zero-click sul dispositivo. Per questo va sempre affiancata a un telefono e un’app aggiornati.
Un’ultima considerazione
La parte più difficile da accettare, in queste truffe, non è tecnica: è che il sistema di fiducia su cui si basa ogni conversazione tra amici — riconoscere la voce, il nome, la cronologia condivisa — può essere temporaneamente scavalcato da chi ha accesso all’account giusto. Non è un motivo per diffidare di ogni messaggio che arriva, ma per riservare a chi chiede soldi, sempre, la stessa domanda: “ti chiamo un attimo?”.
Fonti: Polizia di Stato, Il Fatto Quotidiano
Scarica la nostra app e ricevi notizie, curiosità, misteri, scoperte e tecnologia direttamente sul tuo smartphone.
Scarica per Android
Mi occupo di fornire agli utenti delle news sempre aggiornate, dal gossip al mondo tech, passando per la cronaca e le notizie di salute. I contenuti sono, in alcuni casi, scritti da più autori contemporaneamente vengono pubblicati su Veb.it a firma della redazione.
