Da agosto 2026 la polizia in Germania e in Svizzera mette in guardia da una truffa su WhatsApp che non arriva da sconosciuti. Arriva da persone che conosci, e parte dai loro account reali. Solo la polizia di Zwickau ha contato dodici casi tra metà agosto e fine settembre.
Il bersaglio sono i privati. Lo schema che ci sta dietro, però, è lo stesso che quest'anno è costato decine di milioni di euro a una grande banca europea. I due casi dicono la stessa cosa: un nome familiare sullo schermo non prova nulla.
Come funziona la truffa
- Arriva un messaggio da un contatto reale: vota Klara, la figlia di un'amica, in un concorso di fotografia o di danza. In altre varianti si parla di un sondaggio sportivo o di un giovane talento.
- Il link apre una pagina di voto convincente. Per votare inserisci il tuo numero di telefono e confermi un accesso a WhatsApp, con un codice oppure inquadrando un codice QR.
- In realtà hai confermato il collegamento tra il dispositivo dell'aggressore e il tuo account WhatsApp. I ricercatori di sicurezza lo chiamano "ghost pairing", abbinamento fantasma.
- Non te ne accorgi. WhatsApp funziona come prima. L'aggressore legge le tue chat e scrive a tuo nome.
- Ora è il tuo account a mandare il messaggio su Klara ai tuoi contatti. Alcuni ricevono anche una finta emergenza con una richiesta di denaro.
Ogni vittima diventa il mittente fidato del giro successivo. Per questo la truffa si diffonde così in fretta.
Perché i soliti consigli non bastano
Per anni il consiglio standard è stato: controlla il mittente. Numero sconosciuto, foto profilo strana, errori di ortografia: attenzione.
Qui il mittente supera ogni controllo. L'account è autentico, come la foto profilo e la cronologia delle chat che risale ad anni prima. Solo chi scrive non lo è. Nessun controllo che guardi l'account in sé può fermare questo attacco.
Come proteggerti
- Non inserire mai un codice WhatsApp e non inquadrare mai un codice QR perché te lo chiede un sito. I codici di collegamento servono solo a collegare i tuoi dispositivi, per esempio il tuo portatile.
- Controlla oggi stesso i dispositivi collegati. In WhatsApp apri Impostazioni → Dispositivi collegati ed esci da ogni dispositivo che non riconosci.
- Verifica le richieste insolite su un secondo canale. Se un contatto ti chiede denaro, un voto o un codice, chiamalo al numero che hai già.
- Concorda una parola in codice con la tua famiglia. Oggi le voci si clonano con l'IA, quindi una telefonata da sola non è più una prova.
Lo stesso schema in banca: Fideuram
Non è solo un problema dei consumatori. Il 23 febbraio 2026 il presidente di Fideuram, la banca di private banking di Intesa Sanpaolo, ha ricevuto un messaggio WhatsApp che sembrava arrivare dal consigliere delegato del gruppo, Carlo Messina. Chiedeva bonifici urgenti e riservati per un'acquisizione all'estero.
Poi è arrivata una telefonata da un avvocato che il presidente conosceva di persona. La voce sembrava quella giusta, ma era stata clonata con l'IA, e il vero avvocato non c'entrava nulla. Sono arrivati documenti falsi, tra cui una procura con quella che sembrava la firma di Messina. Circa 95 milioni di euro sono usciti dalla banca. Ne sono stati recuperati circa 53 milioni e, secondo Reuters, mancano ancora all'appello circa 36 milioni.
Un dettaglio distingue questo caso dalla truffa di Klara. Il falso Messina scriveva da un numero sconosciuto e lo giustificava con la riservatezza dell'operazione. Agli autori della truffa di Klara non serve nemmeno questa scusa, perché scrivono dall'account reale.
In entrambi i casi il nome, la voce e i documenti sembravano giusti, e nessuno di questi elementi provava chi ci fosse davvero dall'altra parte.
Dove entra in gioco Trusted Codes
Trusted Codes non impedisce il furto di un account né la clonazione di una voce. Rende entrambi inutili per la frode che segue.
Colleghi e partner commerciali connessi in Trusted Codes vedono nell'app una parola in codice condivisa di tre parole. Cambia a intervalli fissi; con i piani Business sei tu a scegliere l'intervallo, da sei ore a 30 giorni. Il segreto che la genera è custodito nella memoria protetta del dispositivo, il Portachiavi su iOS e il Keystore su Android.
Quando arriva una richiesta insolita, su WhatsApp, al telefono o per e-mail, chiedi la parola in codice attuale. L'aggressore può avere un numero nuovo, una voce clonata o perfino il vero account WhatsApp del tuo collega. Quello che non ha sono i dispositivi del tuo collega, e senza di loro non c'è parola in codice.
È la parola in codice di famiglia, resa adatta all'uso aziendale:
- Cambia, quindi una parola sentita di nascosto o sottratta con il phishing ieri oggi non vale più nulla.
- Funziona su ogni canale, e-mail compresa. Con i piani Business puoi anche sigillare un messaggio, e il destinatario può confrontarlo con l'originale firmato.
- Lascia una traccia. Con i piani Business gli amministratori vedono nel registro delle verifiche chi ha verificato chi, e quando. Le parole in sé non vengono mai salvate.
Nel caso Fideuram sarebbe bastata una domanda: "Qual è la nostra parola in codice?" Né il falso consigliere delegato né l'avvocato clonato avrebbero saputo rispondere.
Cosa fare adesso
Controlla oggi stesso i dispositivi collegati in WhatsApp. E prima che la prossima richiesta "urgente" arrivi al tuo team finanziario, decidi come la verificherai, perché quando i soldi sono partiti è troppo tardi per cominciare a pensarci.
Fonti
- Polizeidirektion Zwickau, avviso del 24 settembre 2026 (tramite verbraucherschutzforum.berlin)
- Kantonspolizei Zürich, cybercrimepolice.ch (tramite Beobachter)
- Reuters, 25 settembre 2026: AI messaging scam costs Italy's top bank Intesa millions (tramite Cybernews)
- Sky TG24, 25 settembre 2026: Truffa a Fideuram