Ricevi un messaggio WhatsApp da un amico vero, qualcuno che conosci da anni. Ti chiede di cliccare su un link e votare per suo figlio in un concorso di danza, per il suo cane in un concorso fotografico, o per la sua scuola in una raccolta fondi. Niente in questo messaggio grida truffa: non ti chiede la password della banca, e arriva da un contatto di cui ti fidi, in una conversazione che hai da anni.

Ed è proprio questo il punto. I ricercatori di sicurezza di Malwarebytes hanno documentato questo schema all'inizio di agosto 2026: il messaggio non proviene da un numero contraffatto. Arriva dal vero account WhatsApp del tuo amico, che è stato violato. L'aggressore non si sta fingendo lui: è dentro il suo account, e scrive come se fosse lui, a tutti i contatti della sua rubrica, te compreso.

Come viene preso il controllo dell'account senza una password

WhatsApp permette a un account di restare collegato contemporaneamente fino a quattro dispositivi aggiuntivi — il tuo telefono, più WhatsApp Web su un browser, un'app desktop e così via — attraverso una funzione chiamata dispositivi collegati. Collegare un nuovo dispositivo normalmente significa aprire WhatsApp sul telefono, andare su Impostazioni e scansionare un codice QR mostrato sul nuovo dispositivo. Non serve alcuna password, perché il telefono è già connesso e garantisce per la nuova sessione.

La truffa dirotta proprio questo processo, invece del login vero e proprio. La vittima clicca su un link — a volte persino sul dominio reale wa.me — che la guida attraverso quella che sembra la "configurazione di WhatsApp Web", oppure le chiede di digitare un codice nella propria schermata dei dispositivi collegati. Seguire questi passaggi fa esattamente una cosa: approva il dispositivo dell'aggressore come nuova sessione collegata all'account della vittima. Da quel momento in poi, l'aggressore può leggere e inviare messaggi come se fosse il proprietario dell'account, da un dispositivo che la vittima non vedrà mai.

Per questo non fa scattare nessuno degli allarmi a cui le persone sono abituate a prestare attenzione. Non c'è alcun cambio di password, quindi nessuna email del tipo "la tua password è stata modificata". Non c'è alcun tentativo di accesso fallito, quindi nessun avviso di sicurezza. Il telefono del proprietario dell'account continua a funzionare in modo del tutto normale. L'unica traccia è una voce in più, non familiare, che se ne sta silenziosa nell'elenco dei dispositivi collegati — e quasi nessuno controlla quell'elenco, a meno di sapere che bisogna farlo.

Controlla subito i tuoi dispositivi collegati

Fallo indipendentemente dal fatto che tu abbia ricevuto o meno uno di questi messaggi, dato che richiede meno di due minuti e non costa nulla:

  • Su iPhone o Android: apri WhatsApp → tocca Impostazioni (o il menu a tre puntini su Android) → Dispositivi collegati.
  • Controlla ogni voce. Ognuna mostra un tipo di dispositivo (Chrome, Windows, Mac, un altro telefono) e l'ultima volta che è stato attivo. Se usi WhatsApp solo sul tuo telefono, questo elenco dovrebbe essere vuoto. Se invece usi WhatsApp Web su un computer di casa o di lavoro, dovresti riconoscere ogni singola voce.
  • Qualsiasi cosa tu non riconosca, rimuovila immediatamente. Tocca il dispositivo, poi "Disconnetti", oppure usa "Disconnetti da tutti i dispositivi" se non sei sicuro di quale voce sia il problema. Questo taglia istantaneamente l'accesso dell'aggressore; non richiede di cambiare la password o il numero di telefono.

Poi chiudi la porta dietro di te

Rimuovere il dispositivo estraneo blocca l'accesso immediato, ma non impedisce a qualcuno di collegarne uno nuovo allo stesso modo. Ci sono due passaggi successivi importanti:

  • Attiva la verifica in due passaggi. Impostazioni → Account → Verifica in due passaggi → Attiva. Questo aggiunge un PIN a 6 cifre richiesto per determinate azioni sensibili e rende più difficile per qualcuno riprendere il controllo anche se riuscisse a ingannarti di nuovo.
  • Non inserire mai un codice nelle impostazioni del tuo WhatsApp solo perché un messaggio te lo dice di fare. Questo è esattamente il meccanismo su cui si basa la truffa. Il collegamento legittimo di un dispositivo inizia sempre con te che apri personalmente WhatsApp Web o Desktop e scansioni un codice QR con la fotocamera del telefono — non viene mai avviato digitando un codice arrivato in una chat, in un SMS o in un link. Se una pagina ti chiede di farlo, chiudila.

Se il messaggio è arrivato da un amico, non da te

Non cliccare sul link, e non inviare denaro se la conversazione si trasforma in una richiesta in tal senso — è spesso il passo successivo una volta che l'aggressore ha ottenuto l'accesso, dato che un messaggio che chiede soldi urgenti dall'account di un vero amico è molto più convincente dello stesso messaggio inviato da uno sconosciuto. Contatta invece quell'amico attraverso un canale completamente diverso — una telefonata, un SMS, un'email, qualsiasi cosa non sia quella stessa conversazione WhatsApp, dato che potrebbe non essere davvero lui a scriverti. Digli cosa hai ricevuto e suggeriscigli di controllare il proprio elenco di dispositivi collegati. Se risulta che il suo account è stato compromesso, dovrebbe avvisare allo stesso modo anche gli altri suoi contatti, perché l'intera strategia dell'aggressore si basa sul fatto che il messaggio sembri affidabile esattamente quanto lo è in questo momento.

Niente di tutto questo richiede un antivirus, un password manager o qualsiasi strumento diverso dal menu delle impostazioni di WhatsApp stesso. Richiede solo di sapere che "dispositivi collegati" è un elenco che vale la pena controllare — e che una richiesta di favore da parte di qualcuno reale non è prova che la richiesta provenga davvero da lui.