Truffe su WhatsApp, SMS ed e-mail: come riconoscerle e cosa fare

Una truffa via messaggio unisce quasi sempre tre cose: fretta, una richiesta di soldi o di un codice e un mittente che non puoi verificare. Se un messaggio dice che è urgente, arriva da un numero nuovo di una persona che conosci o chiede un bonifico, un codice a sei cifre o un clic su un link, fermati e controlla per un'altra strada, chiamando il numero che hai già salvato. Se hai già pagato o hai dato il codice, avvisa subito la banca, recupera l'account WhatsApp con il tuo numero, metti in guardia i contatti e sporgi denuncia.

Come riconoscere una truffa via messaggio

Enti di continenti diversi, come la Febraban, la federazione delle banche brasiliane, e l'INCIBE, l'istituto nazionale di cybersicurezza spagnolo, descrivono gli stessi segnali d'allarme:

• Urgenza o minaccia: il conto verrà bloccato, il pacco tornerà indietro, il parente deve pagare una bolletta subito. La fretta serve a non farti ragionare.
• Una richiesta di soldi inattesa, quasi sempre con un pagamento istantaneo difficile da annullare, come Pix in Brasile o Bizum in Spagna.
• La richiesta di un codice: il codice di verifica di WhatsApp, un codice ricevuto via SMS o una password. Secondo la Febraban, una banca seria non chiede password per telefono, SMS, WhatsApp o social network.
• Un numero sconosciuto che dice di essere una persona vicina, con la storia del telefono rotto, rubato o cambiato.
• Un link per aggiornare i dati, pagare una tassa o sbloccare qualcosa, a volte con errori di ortografia o un indirizzo simile a quello vero.
• La richiesta di segretezza: non dirlo a nessuno, risolviamo tra noi.

Le truffe più comuni su WhatsApp

Il finto parente, spesso chiamato truffa del ciao mamma: qualcuno scrive da un numero sconosciuto, a volte con la tua foto o quella di un familiare copiata dai social, dicendo di aver cambiato telefono dopo un furto o uno smarrimento. Presto arriva la richiesta di un bonifico urgente. L'INCIBE descrive la stessa tattica in Spagna, con SMS che iniziano con hola mamá, spostano la conversazione su WhatsApp e finiscono con la richiesta di un pagamento Bizum o di un bonifico.

Il furto dell'account con il codice a sei cifre: il truffatore si spaccia per un addetto di un negozio, di una banca o di un sito dove hai un account e dice che ti manderà un codice di conferma o promozionale. Quel codice è quello che WhatsApp invia via SMS quando qualcuno prova a registrare il tuo numero su un altro telefono: chi lo passa consegna l'account. Da quel momento il criminale scrive ai tuoi contatti fingendo di essere te e chiede soldi. Secondo il Centro assistenza di WhatsApp, non può leggere le tue chat precedenti, salvate sul tuo dispositivo, ma può parlare a nome tuo.

SMS falsi (smishing): finto pacco e finta banca

Secondo l'INCIBE, l'SMS sembra spesso più affidabile dell'e-mail. I modelli più diffusi sono il pacco bloccato per mancanza del numero civico o per una tassa da pagare, l'avviso di accesso da un nuovo dispositivo, la carta bloccata e l'addebito sospetto da confermare. Tutti contengono un link a una pagina falsa che imita quella dell'azienda, o a un'app dannosa. E il nome del mittente può essere falsificato per sembrare quello della tua vera banca.

E-mail false (phishing): addebiti e conto bloccato

Via e-mail, le esche sono addebiti che non riconosci, avvisi di conto bloccato, premi e rimborsi fiscali. Prima di cliccare, controlla alcuni punti della lista anti-phishing della Febraban:

• L'indirizzo del mittente è davvero quello dell'azienda, o lo è solo il nome visualizzato?
• Ci sono errori di ortografia, un logo fatto male o una formattazione strana?
• Ti chiede dati personali, una password o il numero della carta?
• Il link porta a un indirizzo diverso dal sito ufficiale, o l'allegato ha un tipo di file insolito?

Nel dubbio, apri l'app ufficiale o digita tu l'indirizzo del sito e controlla se l'addebito esiste davvero.

Come evitare le truffe su WhatsApp e negli altri messaggi

1. Attiva la verifica in due passaggi

   In WhatsApp, vai su Impostazioni, Account e Verifica in due passaggi. Una volta attiva, chi ottiene il tuo codice a sei cifre ha bisogno di una seconda prova. Il Centro assistenza spiega che il vecchio PIN a sei cifre diventa una password di almeno 8 caratteri, con almeno una lettera e un numero. Aggiungi anche un indirizzo e-mail per poter recuperare l'account.

2. Non condividere mai il codice

   È WhatsApp stessa a dire che il codice di verifica non va dato a nessuno, nemmeno ad amici o familiari. Se ricevi un codice che non hai chiesto, qualcuno sta provando a registrare il tuo numero: ignoralo.

3. Verifica su un altro canale

   Una richiesta di soldi vale solo dopo aver chiamato il numero già presente in rubrica, mai quello che ti ha scritto. L'INCIBE consiglia di concordare in famiglia una parola d'ordine per questi casi.

4. Non cliccare: vai alla fonte

   Consegna, banca o negozio: apri l'app o digita l'indirizzo del sito ufficiale. Installa le app solo dallo store ufficiale del telefono.

5. Nascondi ciò che usano i truffatori

   Rendi la foto profilo visibile solo ai tuoi contatti e attiva, nelle impostazioni della privacy di WhatsApp, l'opzione che silenzia le chiamate dai numeri sconosciuti.

Ci sono cascato: cosa fare, passo per passo

1. Avvisa subito la banca

   Se hai inviato soldi, contatta la banca dall'app o per telefono e chiedi il blocco e la restituzione. Prima agisci, più è probabile che il denaro sia ancora sul conto che lo ha ricevuto.

2. Recupera l'account WhatsApp

   Sul telefono con la tua SIM, apri WhatsApp e registra di nuovo il numero con il codice a sei cifre ricevuto via SMS o chiamata. Così il truffatore e tutti i dispositivi collegati vengono disconnessi. Se ha attivato la verifica in due passaggi, WhatsApp indica di aspettare sette giorni e riprovare.

3. Avvisa contatti e gruppi

   Fai sapere tramite un altro canale che qualcuno sta usando il tuo nome. WhatsApp consiglia di provare a recuperare l'account prima di segnalarlo, perché la segnalazione può portare al blocco dell'account stesso.

4. Conserva le prove

   Fai screenshot, annota i numeri usati e il conto che ha ricevuto i soldi e conserva la ricevuta del pagamento.

5. Sporgi denuncia

   Presenta denuncia alla polizia con le prove. In Spagna la Guardia Civil accetta online le denunce per truffe via internet; in Brasile la polizia civile di ogni Stato ha un commissariato online.

6. Cambia le password

   Se hai inserito una password in un sito falso, cambiala e attiva la verifica in due passaggi.

Pagato con un bonifico istantaneo? Come provare a recuperare i soldi

I pagamenti istantanei sono difficili da annullare, quindi conta soprattutto la velocità. In Spagna l'INCIBE consiglia di contattare la banca il prima possibile, con una copia della denuncia, per tentare di annullare l'operazione, e di rivolgersi al Banco de España se non basta. In Brasile il Pix ha uno strumento proprio, il Meccanismo speciale di restituzione (MED) della Banca centrale, valido anche quando la vittima ha autorizzato il trasferimento perché ingannata, e richiedibile fino a 80 giorni dopo il pagamento dall'app o dal servizio clienti della banca. In entrambi i casi, il rimborso dipende dal fatto che i soldi siano ancora sul conto che li ha ricevuti.

Come segnalare una truffa su WhatsApp

Nella chat con il truffatore, apri il menu delle opzioni e usa Blocca e Segnala. La persona segnalata non riceve avvisi, e WhatsApp riceve fino a cinque degli ultimi messaggi di quella chat per esaminarli. Se il truffatore usa altri numeri, bisogna bloccarli e segnalarli uno per uno. La segnalazione nell'app non sostituisce la denuncia.

Dove chiedere aiuto e denunciare

• Spagna: la linea di aiuto in cybersicurezza dell'INCIBE risponde gratis al 017, tutti i giorni dalle 8 alle 23, e anche su WhatsApp (900 116 117) e Telegram (@INCIBE017). La denuncia si presenta alla polizia; la Guardia Civil accetta online le denunce per truffe e addebiti fraudolenti commessi con mezzi informatici, con firma elettronica.
• Brasile: denuncia (boletim de ocorrência) in commissariato o nel commissariato online della polizia civile dello Stato; la banca, per il MED del Pix; e un reclamo alla Banca centrale se la banca non risolve.
• Altrove: se è stato commesso un reato o non ti senti al sicuro, WhatsApp consiglia di rivolgerti alla polizia o alle autorità locali.