WhatsApp, la diffusissima app di messaggistica, è stata presa nuovamente di mira. Ecco una nuova truffa molto pericolosa, che esporremo in questo articolo.
La famigerata truffa che coinvolge un codice di verifica a 6 cifre è tornata a farsi vedere sulla piattaforma di messaggistica WhatsApp, che viene utilizzata da milioni di italiani.
Questo schema, che definire subdolo è un eufemismo, consente agli hacker criminali di rubare senza particolare sforzo i profili delle ignare vittime.
Con questa manovra, il truffatore ottiene il controllo dell’account WhatsApp preso di mira, inclusi eventuali gruppi affiliati. Inoltre, ha la possibilità di modificare il nome e le foto dell’account.
Tutto poi si svolge a catena, ossia la truffa può andare a colpire tutti gli utenti che sono coinvolti nelle conversazioni condivise.
In sostanza, l’utente viene bombardato da un messaggio su WhatsApp proveniente da un contatto presente nella sua rubrica, che solitamente scrivo qualcosa del tipo “Ciao, ti ho inviato per sbaglio un codice, me lo potresti restituire?”.
Tuttavia, occorre prestare attenzione, in quanto se si accondiscende a questa richiesta avverrà istantaneamente il furto del suo profilo.
Il codice per l’autenticazione a due fattori deve essere salvaguardato a tutti i costi, senza eccezioni. È fondamentale capire che il messaggio che abbiamo ricevuto contenente il codice è stato inviato inconsapevolmente dal nostro contatto in rubrica.
Tutto ciò si è verificato perché l’utente non è consapevole di essere caduta nella rete di una truffa, attraverso la quale i criminali sfruttano il suo profilo per inviare il messaggio fraudolento ad altri contatti, creando una specie di catena di Sant’Antonio.
Il modus operandi per la messa in atto di questa truffa è relativamente semplice, poiché sfrutta tattiche di ingegneria sociale ampiamente riconosciute e una funzionalità completamente legittima di WhatsApp, ossia la funzione “cambia numero“.
Questa funzione rende più semplice la procedura di verifica tramite un codice sintetico di 6 cifre, il quale viene trasmesso tramite SMS.
Utilizzando questa particolare funzionalità, l’hacker ottiene l’accesso assumendo l’identità di un contatto all’interno della rubrica compromessa della vittima.
Ciò si ottiene sostituendo il numero di telefono corrente con quello del contatto compromesso, inserendo contemporaneamente il numero della vittima come nuovo contatto.
A seguito di questa manipolazione, la vittima riceverà via SMS sul proprio dispositivo personale un codice composto da 6 cifre, seguendo la consueta procedura.
Il truffatore, utilizzando il profilo WhatsApp del contatto che ha già compromesso, procederà poi ad inviare alla vittima un messaggio contenente la seguente richiesta: “Ciao, ti ho inviato un codice per errore. Me lo rispediresti gentilmente?”.
Sfruttando l’ingenuità e la buona fede di un numero specifico di sforzi “a strascico”, l’aggressore ottiene effettivamente l’accesso all’account della vittima e assume il controllo completo, interrompendo di fatto la sua connessione a WhatsApp.
L’hacker malintenzionato, entrando in possesso di detto account, diventa il legittimo proprietario sia del profilo che delle relative impostazioni.
Di conseguenza, gli viene concesso l’accesso per visualizzare gruppi e numeri di telefono di tutti i partecipanti, dandogli così la possibilità di diffondere la medesima truffa come se fosse un virus.