Un messaggio apparentemente banale sta alimentando una delle ondate di truffe più insidiose degli ultimi mesi. «Mi faresti un favore enorme? Ho sforato il limite e non mi fa partire un bonifico da tot euro (la somma varia). Riusciresti ad anticiparlo tu istantaneo?». In altre varianti la richiesta si sposta sulla ricarica di una Postepay o di altre carte prepagate. Il testo arriva da un numero presente in rubrica, spesso da un familiare o da un amico, e proprio per questo risulta particolarmente credibile.
Dietro queste comunicazioni non c’è il classico phishing. Non serve cliccare su link sospetti né inserire credenziali su pagine false. In diversi casi i criminali sfruttano vulnerabilità ancora presenti su versioni non aggiornate di iOS e di WhatsApp per iPhone. Si tratta di attacchi cosiddetti “zero-click”: l’infezione può avvenire senza alcuna azione da parte della vittima. Una volta ottenuto l’accesso all’account, gli aggressori inviano messaggi ai contatti fingendosi il legittimo proprietario e chiedendo denaro con la scusa di un problema bancario o di un’emergenza familiare.
Secondo le segnalazioni raccolte da redazioni e forze dell’ordine, il fenomeno interessa già centinaia di utenti, soprattutto possessori di iPhone (modelli dal 8 al 14) rimasti su versioni obsolete di iOS. Anche in redazione sono arrivate testimonianze di persone che hanno scoperto la compromissione solo perché un contatto le ha allertate riguardo a strane richieste di denaro partite a loro nome.
Il meccanismo è efficace proprio perché agisce sulla fiducia. Chi riceve il messaggio vede il numero e il nome del mittente reali e può abbassare la guardia, trasferendo le somme richieste. Solo in un secondo momento emerge che l’account era stato parzialmente o totalmente sottratto al controllo del titolare.
Le autorità raccomandano di mantenere sempre aggiornati sia il sistema operativo sia WhatsApp, di attivare la verifica in due passaggi e di controllare periodicamente la sezione “Dispositivi collegati”.
In caso di dubbio su una richiesta di denaro, la regola rimane una sola: verificare l’identità del mittente attraverso un canale diverso (chiamata tradizionale o incontro di persona) prima di effettuare qualsiasi trasferimento.
