WhatsApp, Cert-Agid: torna la “truffa della ballerina” per rubare gli account
Torna la "truffa della ballerina" (Immagine da Cert-Agid)
Torna la truffa della ballerina, con falsi concorsi inviati su whatsapp per sottrarre gli account delle vittime. Si tratta di una campagna di phishing, non nuova, che usa falsi concorsi online: chi vota finisce per concedere l’accesso al proprio account Whatsapp e ne perde il controllo, perché questo finisce in mano ai truffatori. L’allerta viene dal Computer Emergency Response Team dell’Agid, l’Agenzia per l’Italia digitale, che spiega come funziona la campagna.
Vota la ballerina, ma il concorso è falso
Il messaggio arriva da un contatto conosciuto il cui account è stato precedentemente compromesso e invita a votare una giovane ballerina per aiutarla a vincere un concorso o una borsa di studio. Proprio la provenienza da una persona presente in rubrica contribuisce a rendere credibile la richiesta.
Nella nuova campagna, il collegamento conduce a un sito che sembra un portale di votazione: vengono presentate due ballerine finaliste del finto concorso, con rispettive fotografie, numero di voti e informazioni relative a una presunta scuola di danza di Praga. Dopo aver selezionato la candidata, la procedura conduce alla verifica dell’account WhatsApp. Il codice richiesto non serve però a convalidare il voto nel concorso, quindi a votare davvero una ballerina, ma viene utilizzato per autorizzare il collegamento di un dispositivo controllato dagli attaccanti all’account della vittima. Non serve insomma a partecipare al concorso ma a cedere l’account WhatsApp ai truffatori.
In questo modo, spiega Cert-Agid, “il telefono della vittima può continuare a funzionare normalmente mentre un dispositivo non autorizzato rimane associato all’account, rendendo la compromissione meno evidente. L’account può quindi essere sfruttato per leggere le conversazioni e soprattutto per propagare la stessa truffa ai contatti della vittima, mantenendo intatta la catena di fiducia su cui si basa la campagna”.
Se i truffatori si impossessano del profilo, possono poi usare l’identità della vittima per contattare familiari e amici fingendo urgenze o situazioni di emergenza e chiedendo denaro.
Raccomandazioni utili
La raccomandazione è dunque quella di non inserire numeri di telefono o codici di verifica su siti raggiunti tramite messaggi WhatsApp e verificare con il mittente, possibilmente attraverso un altro canale, richieste insolite anche quando provengono da contatti conosciuti. Importante è verificare periodicamente i dispositivi collegati al proprio account: controllare periodicamente WhatsApp → Impostazioni → Dispositivi collegati e rimuovere eventuali dispositivi sconosciuti. E attivare la verifica in due passaggi dell’account WhatsApp.
Chi avesse già completato la procedura di voto dovrebbe controllare immediatamente i dispositivi collegati e disconnettere le sessioni non riconosciute.
About The Author
