Nel solo mese di ottobre 2026 l'UFCS ha ricevuto oltre 50 segnalazioni di account WhatsApp rubati con falsi sondaggi inviati da contatti conosciuti. Come funziona la truffa, perché riguarda anche i numeri aziendali e quali impostazioni verificare oggi.
«Ciao, vota per la figlia del mio amico, si chiama Sofia, ci vorrà meno di un minuto.» Un messaggio così, inviato da un contatto della rubrica, è l'inizio di una truffa che l'Ufficio federale della cibersicurezza (UFCS) descrive nella retrospettiva della settimana 43, pubblicata il 27 ottobre 2026. Solo in ottobre l'UFCS ha ricevuto oltre 50 segnalazioni di account WhatsApp rubati o manomessi in questo modo, molti dei quali con successo.
Il metodo non è nuovo: l'UFCS lo aveva già descritto nella retrospettiva della settimana 21 di maggio 2026. L'aumento attuale dei casi mostra però che funziona. Per le PMI ticinesi, che usano spesso WhatsApp per parlare con clienti, fornitori e squadre in cantiere, il problema non è solo privato.
Come funziona la truffa
Il messaggio arriva sempre da un contatto conosciuto, il cui account è già stato compromesso. Il link porta a un sito contraffatto in modo professionale, che simula un concorso scolastico o di danza. Per aggirare i filtri di sicurezza, i truffatori usano molti domini diversi che cambiano di continuo. Per la presunta votazione ci sono due varianti.
Il codice SMS
Il sito chiede il numero di cellulare e poi il codice ricevuto via SMS. In realtà è il codice ufficiale di registrazione di WhatsApp, a sei cifre. Chi lo inserisce permette ai truffatori di attivare il proprio account WhatsApp su un altro telefono.
Il codice QR
In alternativa il sito mostra un codice QR da scansionare con la funzione «Dispositivi collegati» di WhatsApp. È una funzione legittima, quella di WhatsApp Web: la scansione collega l'account al sistema dei criminali. Secondo l'UFCS, in alcuni casi la vittima non si accorge nemmeno che l'account è compromesso.
Le conseguenze: effetto a catena e accesso ai dati
Con l'account in mano, i truffatori leggono cronologie delle chat, gruppi, foto condivise e informazioni riservate, e inviano lo stesso messaggio a tutti i contatti della vittima. È questo effetto a catena a spiegare la diffusione attuale.
Per un'azienda le conseguenze sono più ampie che per un privato:
- un numero usato con i clienti diventa un canale credibile per truffe successive, ad esempio richieste di pagamento o di dati a nome dell'azienda;
- le chat contengono spesso dati personali di clienti e collaboratori, documenti, foto di lavori e indirizzi;
- se un telefono di servizio è condiviso o non è assegnato a una persona precisa, il furto può restare inosservato a lungo.
Se l'accesso a queste chat comporta verosimilmente un rischio elevato per le persone interessate, la legge sulla protezione dei dati (LPD, art. 24) prevede che il titolare notifichi quanto prima la violazione della sicurezza dei dati all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
Cosa impostare oggi sui telefoni aziendali
Le raccomandazioni dell'UFCS valgono per ogni telefono con WhatsApp o WhatsApp Business usato per lavoro:
- Attivare la verifica in due passaggi con un PIN personale: Impostazioni > Account > Verifica in due passaggi. Secondo l'UFCS questa semplice misura rende il furto molto più difficile. La procedura è descritta anche nel centro assistenza di WhatsApp.
- Non comunicare mai il codice a sei cifre di WhatsApp a terzi e non inserirlo su siti web.
- Usare «Dispositivi collegati» solo per i propri dispositivi di fiducia, ad esempio il portatile di lavoro, e non scansionare codici QR di siti sconosciuti. Conviene controllare periodicamente l'elenco dei dispositivi collegati.
- Diffidare di richieste di voto o di concorsi via messaggistica, anche da mittenti conosciuti, e verificare con un altro canale, ad esempio una telefonata.
Sul piano organizzativo, in una PMI conviene inoltre sapere quali numeri aziendali usano WhatsApp, chi è responsabile di ciascun telefono, dove è annotato il PIN e chi avvisa clienti e collaboratori se un account viene compromesso. Sono le stesse lacune organizzative emerse nello studio «PMI Cybersicurezza 2026». Per gli altri accessi aziendali vale la classificazione dell'UFCS presentata nell'articolo sui cinque livelli di autenticazione.
Se l'account è già stato rubato
- Avvisare subito i contatti con un altro canale e chiedere di non cliccare sui link ricevuti a proprio nome.
- Variante QR: se si ha ancora accesso all'app, andare su Impostazioni > Dispositivi collegati, toccare le voci sconosciute e scegliere «Esci».
- Variante SMS: se si è stati disconnessi, registrarsi di nuovo con il proprio numero; con il nuovo codice SMS a sei cifre i truffatori vengono disconnessi. Se nel frattempo hanno attivato un proprio PIN per la verifica in due passaggi, bisogna attendere sette giorni prima di poter accedere senza quel PIN; in quel periodo l'account resta bloccato anche per loro. WhatsApp descrive la procedura nella pagina sul recupero di un account compromesso.
- Valutare quali dati di clienti o collaboratori erano nelle chat e se occorre una notifica all'IFPDT.
Il nostro approccio
ElaraTeq Sagl sviluppa e gestisce siti e applicazioni per PMI ed enti in Ticino e aiuta a mettere ordine negli accessi aziendali: inventario degli account, autenticazione a più fattori, regole interne su dati e strumenti, come descritto anche nell'articolo sull'uso dell'IA al lavoro. Per una verifica potete contattarci.
Fonti
- UFCS, Settimana 43: Nuova ondata di account WhatsApp hackerati tramite falsi sondaggi, 27 ottobre 2026
- UFCS, Settimana 21: Falsi concorsi - quando gli hacker compromettono gli account WhatsApp con un sondaggio truccato, 26 maggio 2026
- Fedlex, Legge federale sulla protezione dei dati (LPD), RS 235.1, art. 24
- WhatsApp, centro assistenza: Come gestire le impostazioni della verifica in due passaggi; Informazioni sui dispositivi collegati; Come recuperare un account compromesso
