Whatsapp è un colabrodo: cinque errori che ti fregano il profilo in 30 secondi
Il 94% dei messicani e il 93% degli argentini che navigano lo fanno dentro una sola app. Dentro WhatsApp. Dentro la stessa app dove un SMS di sei cifre può trasformarsi in un prelievo sul conto corrente di papà, mamma o collega. La truffa non parte da un bug di codice: parte da noi.
La vera vulnerabilità si chiama pigrizia
David González, ricercatore ESET, ha una frase brutale: «Il fattore umano resta l'anello più debole». Traduzione: il cracker non scavalca il cifrato end-to-end, convince la vittima a consegnargli le chiavi. E lo fa con la stessa tecnica di sempre: una promessa di soldi facili, un link accorciato, un finto tecnico che «deve solo verificare il codice». Se la doppia autenticazione è spenta, il game over dura il tempo di un caffè.
Il primo errore è non attivare la conferma in due passaggi. È un interruttore nascosto in Impostazioni> Account, costa tre tap e invece resta spento nella stragrande maggioranza dei telefoni. Risultato: il codice SMS diventa il passaporto dell'impostore. Una volta dentro, l'attaccante scrive ai parenti: «Mi hanno bloccato la carta, mi servono 200 euro per il taxi». La media di successo? Sette casi su dieci, secondo le statistiche interne di ESET.
Foto pubblica, truffa privata
La seconda fesseria è lasciare la foto del profilo visibile a «tutti». Con una semplice captura, il clone è servito: stessa immagine, stesso nome, numero appena creato. Il messaggio è: «Ho cambiato telefono, ricaricami che poi ti restituisco». Chi controlla davvero i nove numeri dopo il prefisso? Basta restringere la visibilità a «I miei contatti» e il gioco si complica.
Poi c'è il backup. WhatsApp riversa chat, audio e documenti su Google Drive o iCloud, ma il file non eredita il cifrato dell'app. Se il tuo account mail è compromesso, il criminale scarica l'intera storia dei tuoi messaggi: foto, password ricevute, coordinate bancarie. La soluzione è una password aggiuntiva, sempre dentro le impostazioni, sempre ignorata.
Il link della disperazione
Il quarto regalo è cliccare su «Hai vinto un iPhone 15». Gli url accorciati nascondono domini fantasma che imitano banche o supermercati. Quando la vittima inserisce nome, cognome e CVV, il malware registra tutto. In pochi giorni si svuota il conto. Gli errori ortografici sono l'unico avviso di sicurezza che non costa nulla, ma basta una «f» al posto della «ph» per far perdere l'allerta.
Ultima scoraggiante abitudine: lasciare le anteprime delle notifiche sulla schermata bloccata. Il codice di verifica appare in chiaro, leggibile a un vicino di metro o a un ex compagno d'ufficio. Disattivare l'anteprima richiede meno di dieci secondi, ma quei secondi nessuno li trova.
Chiudere la porta dopo il furto
Se il danno è fatto, c'è comunque una corsa a recuperare. Reinstallare subito l'app, segnalare il numero rubato a [email protected] e avvisare banca e parenti. Con la doppia autenticazione attiva, il cracker dovrà attendere sette giorni per rientrare: tempo prezioso per mettere in guardia la rete di contatti. Controllare infine i dispositivi connessi a WhatsApp Web e chiudere tutte le sessioni sospette.
Il costo di questa sicurezza? Zero euro, solo click. Il prezzo di ignorarla? In media 1.300 euro a truffa, secondo l'osservatorio reclami di México. Non serve aggiornare il sistema operativo né comprare antivirus costosi: basta smettere di fidarsi del prossimo SMS che inizia con «Ciao, sono io».