Un amico mi ha chiesto di votare una ballerina. Perché mi hanno rubato WhatsApp?

Il messaggio arriva da una persona che conosci. Tua cognata, un collega, il tuo allenatore. Dice che sua nipote è in finale a un concorso di danza, che serve un voto, che scade stasera. C’è anche la foto di una bambina. Tu tocchi il link, perché è tua cognata.

Il sito ha l’aspetto di un portale di votazione: due finaliste, le foto, il conteggio dei voti che scorre, il riferimento a una scuola di danza. Scegli la candidata. E a quel punto il sito chiede il tuo numero di telefono, e poi un codice che ti arriva sul telefono.

Lì finisce la votazione e comincia il furto.

Perché arriva da una persona vera

Questa è la prima cosa da capire, perché è anche la ragione per cui funziona così bene: tua cognata non ti ha scritto niente.

Il suo account è già stato preso, prima del tuo. Chi lo controlla ha aperto la sua rubrica e ha mandato lo stesso messaggio a tutti. Il CERT-AGID, che è il centro di risposta agli incidenti per la pubblica amministrazione italiana, lo scrive in modo netto nella sua analisi del 6 ottobre 2026: il messaggio arriva da un contatto già noto, il cui account è stato compromesso in precedenza, e questo rende la richiesta credibile. La Polizia Postale, nell’avviso del 10 ottobre, lo dice dal lato del lettore: non è sufficiente che un messaggio provenga da un contatto conosciuto per considerarlo sicuro.

È una catena. Ogni account rubato diventa il mittente fidato per la rubrica successiva.

Sulla seconda metà del meccanismo, cioè perché una richiesta di voto funziona meglio di un allarme, ho una mia idea: chiedere un favore piccolo e gratuito non mette in guardia nessuno, mentre un avviso di sicurezza fa alzare le difese. Ma è una mia opinione e la dichiaro come tale. Non ho trovato nessuno studio che misuri questa differenza, e preferisco dirtelo piuttosto che spacciarla per un risultato di ricerca.

Due varianti, e cambia tutto

Qui c’è una cosa che va raccontata invece di essere nascosta, perché in Italia nell’ottobre 2026 due fonti istituzionali descrivono due esiti tecnicamente opposti, a quattro giorni di distanza.

Il CERT-AGID, 6 ottobre: il codice serve ad autorizzare il collegamento di un dispositivo controllato dagli attaccanti, il telefono della vittima può continuare a funzionare normalmente, e questo rende la compromissione meno evidente.

La Polizia Postale, 10 ottobre: il codice permette ai criminali di completare la procedura di registrazione di WhatsApp su un altro dispositivo, e la vittima può perdere l’accesso al proprio account.

Non c’è una contraddizione da risolvere: sono due varianti reali della stessa esca, con conseguenze diverse per te.

Prima variante, la registrazione. Chi ha il codice a 6 cifre registra il tuo account sul proprio telefono. La documentazione di WhatsApp dice che quando l’account viene registrato di nuovo, tutti i dispositivi che avevano effettuato l’accesso vengono automaticamente disconnessi: quindi la tua app smette di funzionare e tu te ne accorgi subito. C’è però una buona notizia dentro la cattiva: la stessa pagina dice che chi registra il tuo account su un nuovo dispositivo non può leggere le tue conversazioni precedenti, perché i messaggi stanno sul tuo telefono.

Seconda variante, il dispositivo collegato. Qui il tuo telefono resta tuo e continua a funzionare. In parallelo, però, un dispositivo dell’attaccante è agganciato al tuo account e legge le conversazioni mentre arrivano, e scrive a nome tuo. Non c’è nessun segnale evidente. Secondo la documentazione un dispositivo collegato resta attivo fino a trenta giorni di inattività, e si disconnette se il telefono principale non viene usato per più di quattordici giorni. Dico subito che quei due numeri stanno sulla stessa pagina ufficiale e non coincidono: non è una mia confusione, è un’incoerenza della documentazione.

Il dettaglio che smonta la truffa

Se devi ricordare una sola cosa di questo articolo, ricorda questa.

Nel collegamento legittimo di un dispositivo, il codice viaggia in una direzione precisa. Vai su WhatsApp Web o sull’app per Windows, e il codice a otto caratteri compare sullo schermo del dispositivo che vuoi collegare. Poi lo digiti sul telefono principale. Il telefono ti mostra nome e posizione del dispositivo che sta per essere collegato e ti chiede di confermare, e di solito chiede anche l’impronta o il PIN di sblocco. Il codice non arriva via SMS e non si inserisce mai su un sito.

La truffa inverte questa direzione. Ti fa inserire un codice su una pagina web, o ti chiede di comunicare un codice che hai ricevuto. In entrambi i casi stai facendo la cosa che nel funzionamento normale non succede mai.

Da qui si ricava una regola che non ha bisogno di saper riconoscere un sito falso: nessun codice di WhatsApp si digita su una pagina web, e nessun codice si comunica a qualcuno. Quale che sia la variante, quale che sia la grafica del sito.

Se è già successo

Il tempo conta, quindi l’ordine è questo e non un altro.

1. Riprenditi l'account prima di fare qualunque altra cosa. Apri WhatsApp, tocca "Accedi di nuovo", conferma, inserisci il numero in formato internazionale e poi il codice a 6 cifre che ti arriva per SMS o per chiamata. La documentazione è esplicita su un punto che sembra controintuitivo: che tu conosca o no il PIN della verifica in due passaggi, chiunque stia usando il tuo account verrà automaticamente disconnesso dopo che avrai inserito quel codice.
2. Non segnalare l'account prima di averlo recuperato. WhatsApp lo scrive nero su bianco: se segnali l'account compromesso che stai cercando di recuperare, potrebbe venire sospeso per violazione dei termini di servizio e potresti perdere l'accesso o i dati. Prima si recupera, poi si segnala.
3. Controlla i dispositivi collegati e stacca tutto quello che non riconosci. Secondo la documentazione il percorso su iPhone è Impostazioni di WhatsApp, oppure l'immagine del profilo, poi "Dispositivi collegati", poi il dispositivo, poi "Disconnetti". Su Android si parte dal menu in alto a destra e si arriva a "Dispositivi collegati". Avvertenza onesta: le due pagine ufficiali italiane chiamano il pulsante in due modi diversi, "DISCONNETTI" in una e "Esci" nell'altra, e io non ho potuto provare la sequenza su un telefono. Queste sono le istruzioni della documentazione, non una verifica sul campo, e le etichette cambiano tra versioni dell'app.
4. Attiva la verifica in due passaggi, se non ce l'hai. Serve a rendere più difficile la re-registrazione: chi vuole spostare il tuo account deve avere anche quel codice, e se non lo ha deve aspettare sette giorni. Lo raccomandano tutte le fonti istituzionali italiane.
5. Avvisa i tuoi contatti, e fallo con una telefonata ai più esposti. Non con un messaggio su WhatsApp, che potrebbe arrivare da un account che non controlli ancora.
6. Controlla anche le chat archiviate. Il CERT-AGID ha documentato che i messaggi fraudolenti possono partire da conversazioni archiviate o poco usate, quelle in cui non guardi mai, e per questo la vittima non se ne accorge.

Due cose che non fa la verifica in due passaggi, e sono il contrario di quello che si legge spesso. La prima: non caccia chi è già dentro. La pagina di supporto lo dice con chiarezza, e conviene rileggerlo due volte: password, verifica in due passaggi e altre funzioni di sicurezza sono progettate per proteggere un account a cui hai ancora accesso; se un’altra persona ne ha preso il controllo, l’unico modo per rimuoverla è registrare di nuovo l’account con il codice a 6 cifre. La seconda: non ho trovato documentato che la verifica in due passaggi impedisca il collegamento di un nuovo dispositivo. Il flusso ufficiale di collegamento chiede il telefono principale e la biometria o il PIN di sblocco dello schermo, non quel codice. Resta comunque da attivare, ma è giusto sapere cosa copre e cosa no.

Se l’attaccante ha attivato lui la verifica in due passaggi mentre era dentro, succede la cosa più fastidiosa di tutte: ti tocca aspettare sette giorni e riprovare. WhatsApp lo dichiara come procedura, e aggiunge una frase che vale come avvertimento generale: non può fornire informazioni su chi ha effettuato l’accesso all’account, né su quando né da dove.

Le difese che ci sono, e quanto valgono

Qualche cosa WhatsApp la fa da sola. Dal 2023 esiste una funzione che può chiedere conferma dal vecchio dispositivo quando si prova a spostare un account su uno nuovo, e la stessa pagina annuncia controlli automatici lato server contro il malware sul telefono. Nel flusso di collegamento, se il sistema rileva un dispositivo non riconosciuto chiede una conferma esplicita, con le opzioni “Non collegare” e “Collega dispositivo”. Ed è prevista una notifica quando qualcuno prova a registrare un account con il tuo numero.

Ad agosto 2026 WhatsApp ha annunciato le passkey: accesso con impronta, viso o codice di sblocco, e la verifica in due passaggi che passa dal codice a 6 cifre a una password più lunga. Qui devo fermarmi e dire che non lo so: la documentazione descrive la passkey come un modo più rapido di accedere, non come un blocco della re-registrazione via SMS o del collegamento di un dispositivo. Non ho trovato nessuna fonte che dica che una passkey ferma questa truffa, e non ho trovato nessuna fonte che dica il contrario. Quindi non te la vendo come soluzione.

Una parola sul nome. Non esiste un nome ufficiale di questa truffa: la Polizia Postale l’ha chiamata “vota ballerina” a gennaio, “voto alla ballerina” a febbraio, e in ottobre parla solo di falsi concorsi online. Il CERT-AGID dice “truffa della ballerina”. Il termine “ghost pairing” che si legge in qualche articolo non viene da un’autorità né da WhatsApp: è giornalistico. E l’esca cambia: nelle varianti documentate ci sono anche concorsi per cani, eventi scolastici, competizioni generiche. Il concorso di danza non è la firma della truffa, è solo la versione più fortunata.

Per capire cosa c’è sotto

La verifica in due passaggi torna in quasi tutti questi casi e vale la pena sapere cosa fa davvero: ne ho scritto in La verifica in due passaggi, spiegata semplice, e in Quale secondo fattore scegliere ci sono le differenze tra SMS, app e chiavette. Il meccanismo generale dei messaggi che sembrano venire da qualcuno che conosci sta in Che cos’è il phishing e come funziona.