Truffa della “ballerina”: allarme su WhatsApp. Così rubano gli account, come difendersi

COSENZA – Sta circolando su WhatsApp in maniera capillare, soprattutto negli ultimi giorni, la cosiddetta truffa della “ballerina”, una forma sofisticata di smishing che ha già colpito migliaia di utenti in tutta Italia. In Calabria sono numerose le segnalazioni e relative denunce arrivate alle forze dell’ordine.

La truffa della “ballerina”, il messaggio

Il messaggio arriva da un contatto salvato in rubrica e contiene la foto di una ragazza in abiti da danza, accompagnata da un testo rassicurante: “Puoi votare per mia nipote? Sta partecipando a un concorso di danza, basta un click, non costa nulla”. Ed è proprio l’apparente innocuità della richiesta e la provenienza da un numero conosciuto a far abbassare le difese della vittima.

Come funziona

Il link rimanda a una pagina web graficamente curata e simile a un portale ufficiale. Dopo aver cliccato su “Vota”, compare un pop-up che chiede di autenticarsi tramite WhatsApp per evitare voti non validi. Inserendo il numero di telefono e il codice di verifica ricevuto via sms – il codice a 6 cifre usato per attivare l’account su un nuovo dispositivo – la vittima consegna ai truffatori l’accesso al proprio profilo.

Si tratta della tecnica nota come “Ghost Pairing”, che consente ai cybercriminali di aprire una sessione WhatsApp Web su un dispositivo controllato da loro. In pochi minuti l’account viene compromesso: il legittimo proprietario perde l’accesso, mentre i truffatori possono leggere le chat, impersonare la vittima e inviare richieste di denaro ai suoi contatti. Spesso i messaggi parlano di emergenze improvvise, incidenti o difficoltà personali.

La propagazione agli altri contatti

Il sistema si auto-propaga: ogni account violato inoltra lo stesso messaggio-trappola ad amici e parenti, creando una catena di contagio digitale. Le forze dell’ordine stanno monitorando il fenomeno e raccogliendo numerose denunce. Per questo motivo rendono note alcune raccomandazioni e regole fondamentali:

– Non cliccare su link sospetti, anche se arrivano da contatti conosciuti;
– Non inserire mai codici di verifica su siti esterni o comunicarli a terzi;
– Diffidare da richieste di voto o concorsi che richiedono accesso tramite WhatsApp;
– Controllare la sezione “Dispositivi collegati” ed eliminare accessi non riconosciuti;
– Attivare la verifica in due passaggi per aggiungere un PIN di sicurezza.

In caso di sospetta compromissione, è importante avvisare subito i propri contatti e rivolgersi alla Polizia Postale o alle Forze dell’Ordine.

Il Ghost Pairing

E’ una tecnica di attacco informatico utilizzata dai cybercriminali per prendere il controllo dell’account WhatsApp di una vittima, sfruttando in modo fraudolento il sistema di collegamento tra smartphone e WhatsApp Web. Il termine “ghost” (fantasma) richiama proprio la modalità invisibile con cui avviene l’intrusione: l’utente non si accorge immediatamente che qualcun altro ha associato il proprio account a un dispositivo esterno.

In condizioni normali, per utilizzare WhatsApp Web è necessario inquadrare un QR code dal proprio telefono, autorizzando così l’accesso a un computer o tablet. Nel Ghost Pairing, invece, i truffatori riescono a ottenere il codice di verifica a sei cifre che WhatsApp invia via SMS quando si tenta di registrare l’account su un nuovo dispositivo.

Il meccanismo parte quasi sempre da un messaggio ingannevole, come nel caso della “truffa della ballerina”. La vittima riceve un link che rimanda a una pagina web falsa ma credibile. Qui viene chiesto di inserire il numero di telefono e successivamente il codice di verifica ricevuto via SMS, con una scusa plausibile (ad esempio confermare un voto o evitare accessi falsi). Inserendo quel codice, la vittima autorizza inconsapevolmente i criminali ad attivare una nuova sessione dell’account su un dispositivo da loro controllato.

Una volta completata l’operazione, i truffatori possono leggere le conversazioni, inviare messaggi fingendosi la vittima e chiedere denaro ai suoi contatti, spesso con motivazioni urgenti e credibili. In molti casi l’account viene utilizzato anche per diffondere ulteriormente la truffa.

Il Ghost Pairing è particolarmente insidioso perché sfrutta la fiducia tra contatti e la scarsa consapevolezza sui codici di verifica. Per difendersi è fondamentale non condividere mai tali codici e attivare la verifica in due passaggi su WhatsApp.