WhatsApp: occhio alla "truffa della ballerina": cos'è e come ci si difende

Prima di spiegare nei dettagli come funziona questa truffa, fai questa prova sul tuo smartphone: apri WhatsApp, tocca i tre puntini in alto a destra (oppure "Impostazioni" in basso a destra se hai un iPhone) e poi tocca la voce "Dispositivi collegati". Se ti trovi di fronte i nomi di smartphone, pc o tablet che non riconosci (ad esempio un dispositivo con Windows se sai che usi solo Apple) o che comunque non hai aggiunto tu volontariamente, è probabile che tu sia vittima di "Ghost Pairing".

Di cosa si tratta? In questo articolo te lo spiego. Io sono Luca Cartapatti, giornalista di Altroconsumo ed esperto di nuove tecnologie: ma prima della spiegazione tocca su ognuno dei dispositivi sospetti e rimuovili immediatamente con la funzione "Disconnetti / Esci", o se preferisci cerca la voce "Disconnetti da tutti i dispositivi" e conferma l'operazione. Ora che il tuo account di WhatsApp e il tuo dispositivo sono tornati sotto il tuo diretto controllo, vediamo che cos'è la truffa della ballerina (o secondo una versione molto simile di "Vota la figlia della mia amica"), che cosa c'entra con quell'elenco di dispositivi sospetti collegati al tuo account WhatsApp, che cos'è il Ghost Pairing e perché è così pericoloso.

Come funziona la truffa della ballerina

Negli ultimi mesi sta circolando su WhatsApp un messaggio che sembra arrivare da un contatto reale: un’amica, un collega, un parente. Il testo è semplice e punta tutto su una richiesta apparentemente innocua: votare una ragazza che partecipa a un concorso di danza. A volte il nome cambia, ma lo schema resta lo stesso. In una versione quasi identica si parla di “votare la figlia della mia amica”. Non c’è nessun virus visibile, nessun allegato sospetto. Proprio per questo la truffa è subdola: non si basa su competenze informatiche sofisticate, ma gioca totalmente sulle emozioni e l'empatia degli esseri umani.

Il messaggio che ti spinge a cliccare

Nella pratica si riceve la foto di una ragazza, con un link esterno e l’invito a darle il proprio voto; la ragazza che bisogna votare starebbe una ballerina che partecipa a un concorso di danza e, proprio grazie al nostro voto, potrebbe vincere una borsa di studio. Cliccando sul link, si viene rimandati su un sito che a prima vista sembra credibile: grafica curata, foto, pulsanti per votare ben visibili. Ma per esprimere il proprio voto, viene chiesto di inserire il proprio numero di telefono e un codice che l'utente riceve via SMS o WhatsApp. È qui che scatta il meccanismo.

La leva emotiva: fiducia e fretta

La richiesta arriva da qualcuno che conosci, in genere da un tuo contatto di WhatsApp, ed è emotivamente convincente: non vuoi fare brutta figura, non vuoi sembrare diffidente. Inoltre, spesso il messaggio sottolinea che la possibilità di votare scade a breve. La combinazione di fiducia e urgenza riduce la soglia di attenzione. Non è un malware che si installa da solo sul telefono: sei tu, inconsapevolmente, a consegnare le chiavi del tuo account.

Cosa succede davvero: l’anticamera del Ghost Pairing

Il codice che ti viene chiesto ovviamente non serve a votare. Serve ai truffatori per collegare il tuo WhatsApp a un loro dispositivo tramite la funzione ufficiale di collegamento multi-dispositivo. In altre parole: stanno tentando un “pairing” a tua insaputa. Ed è qui che entra in gioco il cosiddetto Ghost Pairing.

Cosa sono pairing e “Ghost Pairing”

Il pairing è una funzione legittima di WhatsApp che consente di usare l’account su più dispositivi (ad esempio su un computer tramite WhatsApp Web o Desktop). Per attivarlo, basta inquadrare un QR code o inserire un codice di verifica.

Il Ghost Pairing è l’uso fraudolento di questa funzione. Il truffatore avvia la procedura di collegamento dal proprio computer e ti induce a fornirgli il codice necessario per completarla. Se ci riesce, il suo dispositivo entra nell’elenco dei “Dispositivi collegati” del tuo account. Da quel momento può leggere le tue conversazioni, inviare messaggi a tuo nome ai tuoi contatti (e quindi mandare avanti la truffa della ballerina), ma anche recuperare dati personali utili per altri raggiri. Il tutto senza che tu te ne accorga subito.

Come difendersi dal Ghost Pairing

La buona notizia è che proteggersi è possibile, con alcune regole semplici ma fondamentali. Come? Ecco 4 regole da tenere sempre a mente.

1. Non inserire mai codici di verifica ricevuti via SMS o WhatsApp su siti esterni, anche se sembrano legati a un concorso.
2. Controlla periodicamente la sezione “Dispositivi collegati”.
3. Attiva la verifica in due passaggi nelle impostazioni di WhatsApp (Account → Verifica in due passaggi).
4. Diffida dei messaggi che chiedono voti, sostegno urgente o azioni rapide tramite link.

Se hai già cliccato e inserito un codice, il consiglio è quello di scollegare subito i dispositivi sospetti (come abbiamo visto all'inizio di questo articolo). Dopodiché attiva o modifica il PIN della verifica in due passaggi: questo rende la vita più difficile ai truffatori. Infine avvisa i tuoi contatti che potrebbero ricevere messaggi anomali da parte tua.

Non solo “ballerina”: le altre truffe su WhatsApp

La truffa della ballerina si inserisce in un panorama più ampio di raggiri digitali. Ne abbiamo parlato anche in questo approfondimento su phishing, smishing e SIM swap. In tutti i casi il copione è simile: un messaggio che crea allarme o urgenza, un link, una richiesta di dati o codici personali. Cambia la storia, ma l’obiettivo è sempre lo stesso: prendere il controllo di un account o sottrarre informazioni.

Proprio per aiutare i consumatori a reagire, abbiamo creato una piattaforma per segnalare le truffe online nell’ambito del progetto Digitalizzati, finanziato dal Ministero delle Imprese e del Made in Italy che ha proprio il compito di promuovere un utilizzo consapevole delle tecnologie, e allo stesso tempo rafforzare la capacità dei cittadini di difendersi proprio dalle frodi online. E ricordati sempre che segnalare un tentativo di truffa serve a proteggere anche gli altri cittadini.