Il messaggio che trasforma il tuo WhatsApp in un fantasma: come funziona il GhostPairing Attack
“Ehi, guarda questa foto, sei tu?” Il messaggio arriva su WhatsApp, poco sotto c’è un link che rimanda a una pagina Facebook, per vedere l’immagine basta cliccare. Ti fidi, perché il contatto che ti ha inviato il messaggio lo conosci, è salvato in rubrica. Eppure chi apre il collegamento cade nella trappola: è così che i criminali entrano nel tuo profilo WhatsApp.
La truffa è stata battezzata dagli esperti di sicurezza informatica GhostPairing Attack, l’obiettivo dei truffatori è ottenere accesso completo all’account della vittima, senza violare password, intercettare SMS o clonare la SIM.
Il messaggio-esca: tutto inizia da un contatto fidato
Lo schema è semplice, ed è proprio questo a renderlo efficace. La vittima riceve un breve messaggio WhatsApp da una persona che conosce: “Ho trovato una tua foto!” si legge Il testo è informale, credibile, privo di errori. In fondo compare un link che, all’interno di WhatsApp, genera un’anteprima in stile Facebook. È il primo elemento chiave: il contesto visivo rassicura e abbassa le difese.
Cliccando, l’utente viene reindirizzato a una pagina web che imita l’aspetto di Facebook: logo, colori familiari, un pulsante che invita a “verificare” o “continuare” per visualizzare il contenuto.
In realtà, quella pagina non ha nulla a che fare con Facebook. Il suo vero scopo è un altro: guidare l’utente a completare la procedura ufficiale di collegamento di un nuovo dispositivo WhatsApp, autorizzando di fatto il browser dell’attaccante come dispositivo associato.
WhatsApp consente infatti di usare l’account su più dispositivi (WhatsApp Web o desktop) tramite due metodi legittimi: la scansione di un QR code e l’associazione tramite numero di telefono e codice numerico di pairing. Gli aggressori sfruttano il secondo metodo, perché è più semplice da completare su un solo smartphone e assomiglia molto a una normale verifica di sicurezza.
Come funziona il GhostPairing Attack
Quando l'utente completa l'acceso inserisce il proprio numero di telefono nella pagina falsa, senza sapere che quel dato viene inoltrato ai sistemi ufficiali di WhatsApp per avviare il collegamento di un nuovo dispositivo. WhatsApp genera quindi un codice temporaneo di verifica, che il sito truffaldino mostra alla vittima con un messaggio rassicurante, invitandola a inserirlo nell’app per poter vedere la presunta foto.
Convinta di completare una procedura normale, l’utente inserisce il codice. A quel punto l’accesso è concesso: per WhatsApp il proprietario dell’account ha approvato un nuovo dispositivo, mentre in realtà il browser dell’attaccante è ora collegato all’account e può leggerne i contenuti.
Un “fantasma” nell’account: perché è così pericoloso
Questo non è un furto di account nel senso tradizionale. Il telefono della vittima nella maggior parte dei casi continua a funzionare normalmente. Eppure l’attaccante può, leggere conversazioni sincronizzate, ricevere messaggi in tempo reale, visualizzare e scaricare foto, video e messaggi vocali, raccogliere informazioni sensibili (indirizzi, codici, link, dettagli personali), scrivere e inoltrare messaggi a contatti e gruppi fingendosi la vittima.
Se l’utente non controlla manualmente la sezione Impostazioni → Dispositivi collegati, l’accesso può rimanere attivo per settimane o mesi. Da qui il nome “GhostPairing”: un dispositivo fantasma che osserva tutto, senza farsi notare.
Un attacco a effetto domino
Uno degli aspetti più efficaci della campagna è la sua capacità di auto-diffondersi. Una volta compromesso un account, l’attaccante può inviare lo stesso messaggio-esca a contatti, gruppi familiari, chat di lavoro o di scuola.
Il meccanismo si basa sulla fiducia reale tra le persone, non sullo spam casuale. Ogni nuova vittima diventa a sua volta un nuovo punto di partenza, in un effetto valanga difficile da fermare.
Come difendersi dalla truffa
Per ridurre il rischio è importante controllare periodicamente quali dispositivi risultano collegati al proprio account WhatsApp, accedendo alle impostazioni e verificando che non ci siano sessioni sconosciute da disconnettere. È fondamentale anche mantenere un atteggiamento diffidente verso qualsiasi richiesta di inserire codici numerici o di scansionare QR code provenienti da siti esterni.
Attivare la verifica in due passaggi rappresenta un’ulteriore misura di protezione, perché pur non bloccando questo specifico tipo di truffa, rende più difficile l’uso fraudolento dell’account in altri scenari. La regola d'oro è non aprire mai i link ricevuti per sms, anche se provengono da amici e parenti, e verificare sempre con il contatto che ha inviato il messaggio per capire di cosa si tratta. Basta una chiamata per accorgersi di essere diventati l'esca di una truffa.
