La maggior parte di noi ha un campanello d'allarme mentale per «il mio account è stato violato»: un'email di reset della password che non abbiamo richiesto, un SMS su un accesso da una città sconosciuta, un account che si blocca improvvisamente. Questo campanello d'allarme aveva senso quando la minaccia principale era qualcuno che indovinava o forzava la tua password con un attacco brute-force. Ma non serve praticamente a nulla contro i metodi di accesso emersi negli incidenti recenti, progettati apposta per non farlo scattare.

Due esempi delle ultime settimane illustrano bene questo schema. Malwarebytes ha documentato una truffa su WhatsApp (pubblicata il 3 agosto 2026) in cui le vittime vengono guidate attraverso quella che sembra la «configurazione di WhatsApp Web» — a volte persino sul dominio reale wa.me — fino a inserire un codice che collega il dispositivo dell'attaccante al loro account. Non si digita mai una password, quindi non parte nessuna email di reset e non scatta nessun avviso di accesso fallito. Il dispositivo dell'attaccante diventa semplicemente un'altra voce silenziosa nell'elenco dei dispositivi collegati dell'account, con pieno accesso in lettura e invio, che viene poi usato per ripetere la stessa truffa sui contatti della vittima. Separatamente, Microsoft ha lanciato l'allarme su una campagna che chiama «CaptiveCrunch», che intercetta i viaggiatori sui portali captive del Wi-Fi di hotel e conferenze, reindirizzandoli verso false pagine di login che raccolgono non solo password ma anche codici dispositivo e token OAuth — credenziali che garantiscono l'accesso senza mai generare quel tipo di avviso di «nuovo accesso» che un cambio di password genererebbe.

Il filo conduttore: entrambi gli attacchi prendono di mira i meccanismi di sessione e autorizzazione — dispositivi collegati, concessioni OAuth, codici dispositivo — anziché la password in sé. Il sistema di avvisi integrato del tuo account è stato progettato per sorvegliare la porta principale. Questi metodi entrano da una porta laterale che non viene monitorata.

Cosa fare concretamente

Non puoi aspettare una notifica che non arriverà mai. Piuttosto, considera il controllo dei tuoi dispositivi collegati e delle app autorizzate come una routine da eseguire tu stesso, allo stesso modo in cui controlleresti le batterie del rilevatore di fumo. Ecco un percorso concreto, in ordine:

1. Controlla i dispositivi collegati/attivi sulle app di messaggistica

  • WhatsApp: Impostazioni → Dispositivi collegati. Se trovi qualcosa che non riconosci, toccalo e seleziona «Disconnetti».
  • Telegram: Impostazioni → Dispositivi. Stessa logica: termina qualsiasi sessione che non corrisponda a un dispositivo che hai fisicamente in mano in questo momento.
  • Signal: Impostazioni → Dispositivi collegati, stesso controllo.

2. Controlla le sessioni attive e l'accesso delle app di terze parti sui tuoi account principali

  • Google: myaccount.google.com/security → «I tuoi dispositivi» e «App di terze parti con accesso all'account». Revoca tutto ciò che non riconosci, e presta particolare attenzione alle app a cui hai concesso l'accesso mesi o anni fa e poi dimenticato — un'autorizzazione vecchia è utilizzabile da un attaccante quanto una recente.
  • Microsoft: account.microsoft.com/security → «Attività di accesso» e «Autorizzazioni app».
  • Apple ID: Impostazioni → [il tuo nome] → controlla l'elenco dei dispositivi in fondo alla pagina.
  • Facebook/Instagram: Impostazioni → «Dove hai eseguito l'accesso» / «Sessioni attive», più «App e siti web» per l'accesso di terze parti collegate.

3. Diffida di qualsiasi procedura che ti chiede di inserire un codice anziché una password

Le procedure legittime di «collega questo dispositivo» usano effettivamente dei codici — di per sé non è un campanello d'allarme. Ciò che dovrebbe fermarti è il fattore scatenante: se una richiesta di inserimento codice compare a causa di un messaggio da un contatto («vota per me», «guarda qui»), di un portale captive Wi-Fi pubblico, o di qualsiasi link che non hai avviato tu stesso, trattala come ostile fino a prova contraria. Chiudila e vai direttamente all'app o all'account invece di proseguire dal link.

4. Verifica se la tua email è comparsa in una violazione di dati nota

Have I Been Pwned (haveibeenpwned.com), gestito dal ricercatore di sicurezza Troy Hunt, è un servizio gratuito e consolidato per verificare se il tuo indirizzo email compare in violazioni di dati note — è abbastanza affidabile da essere usato anche dai governi nazionali per i propri domini (il centro nazionale per la cybersicurezza del Nepal è diventato, secondo notizie di questa settimana, il 47° governo ad aderire). Non intercetterà una compromissione tramite dispositivo collegato, ma è un controllo veloce e gratuito che vale la pena fare sui tuoi indirizzi email principali, ed è la prima mossa giusta se sospetti un problema con un account e non sai da dove iniziare.

5. Su reti non affidabili — Wi-Fi di hotel, Wi-Fi di conferenze, Wi-Fi aeroportuali — evita di accedere a qualsiasi servizio sensibile direttamente dalla pagina del portale captive

Se la pagina di accesso al Wi-Fi di un hotel o di una sede ti chiede un aggiornamento software, mostra una finestra di «controllo di sicurezza» o richiede un login Microsoft/Google prima di concederti l'accesso a internet, sii diffidente — connettiti prima, poi esegui i tuoi accessi effettivi tramite la connessione dati del telefono o una VPN, invece che attraverso qualunque pagina ti proponga la rete.

Segnalo in agenda

Un'unica sessione di pulizia risolve il problema di oggi, ma non quello del prossimo trimestre. Scegli un promemoria ricorrente — una cadenza trimestrale è ragionevole, oppure collegalo a qualcosa che fai già regolarmente, come un cambio di stagione o una bolletta ricorrente — e ripercorri i passaggi 1 e 2 sopra descritti per i tuoi due o tre account più importanti: l'email principale, l'app di messaggistica che usi di più e qualsiasi account collegato alle tue finanze. Richiede meno di quindici minuti una volta che sai dove trovare i menu, ed è l'unico modo affidabile per individuare un accesso progettato apposta per non farti scattare alcun allarme.