di Michele Pinassi*
“Il mondo è stato e sarà una porcheria. Perciò impariamo a muoverci
con il portafoglio fra i denti e il culo bene attaccato al muro” (Luis Sepúlveda)
SIENA. Arriva un SMS da WhatsApp con un codice a 6 cifre e un link dove cliccare per confermarlo. E poco dopo, un messaggio da parte di un conoscente/amico/parente che ci chiede gentilmente se possiamo inoltrarglielo. Perché no, visto che ce lo chiede una persona fidata? Semplicemente perché non è quella persona, a chiedercelo, ma abili truffatori che sfruttano tecniche d’ingegneria sociale per rubare dati, documenti, contatti e numeri di telefono.
Come funziona?
Non è una truffa così difficile da attuare: è sufficiente avere uno smartphone a disposizione e installare l’app di WhatsApp. Quando ci chiede il nostro numero di telefono, basterà fornire quello della vittima prescelta, a cui arriverà l’SMS contenente il codice di conferma, e chiedergli gentilmente di fornirci quel numerino a 6 cifre. Se l’inganno riesce, siamo dentro: la sua rubrica, i suoi messaggi, le sue foto/video e quant’altro ci sia nella sessione WhatsApp, finirà in mano al truffatore.
Perché serve il codice di conferma, che viene inviato via SMS? È il sistema con cui le piattaforme di messaggistica istantanea come WhatsApp, ma anche Telegram o Signal, utilizzano per verificare la legittimità di un account: teoricamente, solo il proprietario del numero può accedere agli SMS inviati a quella utenza di telefonia mobile. Quindi, chiedendo l’inserimento del codice a 6 cifre, la piattaforma consente l’accesso dell’utente e a tutti i suoi dati.
Non appena i truffatori prendono possesso del nostro account WhatsApp, l’app ci escluderà informandoci che c’è un’altra istanza attiva su un altro dispositivo: in questo caso possiamo solo tentare di riappropriarci del nostro profilo eseguendo la disinstallazione e re-installazione, con conseguente attivazione (e ricezione di un nuovo codice SMS di conferma), dell’app di WhatsApp.
Cosa si rischia?
Semplicemente, che tutte le conversazioni, foto, video, documenti, rubrica, posizioni e altro, condivisi via WhatsApp, finiscano nelle mani di questi criminali. L’uso che ne possono potenzialmente fare dipende, ovviamente, dalla tipologia di materiali: foto di documenti possono essere utilizzate per furti d’identità, ad esempio. Ma penso anche a ricette mediche, codici o indirizzi vari, ormai scambiati forse con troppa leggerezza via WhatsApp: sempre meglio, dopo averli utilizzati, cancellare questi messaggi contenenti informazioni troppo sensibili!
Inoltre, cadere nella truffa permette ai criminali di sfruttare il nostro account per perpetrare l’attacco, con le medesime modalità, verso i nostri contatti: nel malaugurato caso ci rendessimo conto di essere caduti nell’inganno, è bene avvertire tutti i nostri contatti del rischio imminente! Consiglio anche, nel caso utilizzassimo WhatsApp per condividere documenti o informazioni sensibili, di recarsi immediatamente presso le autorità e sporgere regolare denuncia, fornendo agli investigatori tutti i dati per poter avviare le attività d’indagine.
Attivare l’autenticazione a 2 fattori per difendersi
Fortunatamente abbiamo qualche strumento a disposizione per difendersi da questo tipo di attacchi o, quantomeno, rendere la vita più difficile a questi criminali. La verifica in 2 passaggi, attivabile dal menu “Impostazioni“, chiede l’inserimento di un ulteriore codice a 6 cifre, personalizzabile, a ogni richiesta d’accesso ai dati.
Questo codice è strettamente personale e non deve essere fornito a nessuno, per alcun motivo.
Concludendo, facciamo attenzione agli SMS che riceviamo e –in caso di attività sospette– verifichiamo sempre di persona cosa sta succedendo e se la richiesta è legittima.
Suggerirei anche di valutare il passaggio a Signal: oltre a garantire maggiore sicurezza e privacy delle nostre conversazioni, questa app può essere usata per gestire in sicurezza anche gli SMS. Non che impedisca simili attacchi ma, forse, quei pochi secondi necessari a leggere uno short message potrebbero farci riflettere un attimo in più (e comunque protegge da sguardi indiscreti nel caso smarrissimo o ci rubassero lo smartphone).
*www.zerozone.it
