Il messaggio arriva da un amico, un collega o un familiare. Il nome è quello giusto. La foto anche. Ti chiede un piccolo favore, poi magari un codice o del denaro per un’emergenza. Ma dall’altra parte potrebbe non esserci affatto la persona che conosci.
“Ciao, mi faresti un favore?”
È una frase apparentemente innocua.
E soprattutto arriva da una persona che conosci.
Un amico.
Un parente.
Un collega.
Poi arriva la richiesta.
“Ho un problema con il conto.”
“Puoi anticiparmi questi soldi?”
“Devo fare urgentemente un bonifico.”
Oppure:
“Ti è arrivato per sbaglio un codice? Me lo rimandi?”
Ed è proprio la fiducia verso chi appare come mittente a rendere queste truffe particolarmente efficaci.
Perché il numero WhatsApp può essere realmente quello del tuo amico.
Solo che il tuo amico potrebbe non avere più il controllo del proprio account.
La Polizia di Stato ha nuovamente richiamato l’attenzione sul fenomeno nel 2026, dopo indagini riguardanti account WhatsApp acquisiti illecitamente e successivamente utilizzati per chiedere denaro ai contatti delle vittime.
Il meccanismo è semplice quanto pericoloso:
prima viene compromesso un account. Poi quell’identità digitale viene utilizzata per ingannare altre persone.
E la truffa può propagarsi rapidamente da una rubrica all’altra.
La risposta in 30 secondi
Se ricevi su WhatsApp una richiesta anomala di denaro, di un codice di verifica o di un pagamento urgente da una persona che conosci:
non fidarti soltanto del nome, della foto o del numero che compare sullo schermo.
Prima di fare qualsiasi cosa, verifica l’identità della persona utilizzando un altro canale.
Chiamala direttamente.
Contattala su un altro numero.
Se possibile, parlale personalmente.
E soprattutto:
non comunicare mai codici OTP o codici di verifica ricevuti via SMS.
Se invece scopri che il tuo account WhatsApp è stato compromesso, devi agire immediatamente:
avvisare i tuoi contatti, verificare i dispositivi collegati, tentare il recupero dell’account, mettere in sicurezza telefono ed e-mail e conservare le prove di quanto accaduto.
Se sono già partite richieste di denaro o sono stati effettuati pagamenti, la vicenda non è più soltanto un problema informatico.
Può diventare un vero procedimento penale.
Come funziona la truffa?
Esistono diverse varianti.
Una delle più conosciute parte da un messaggio del tipo:
“Ti ho inviato un codice per sbaglio. Puoi rimandarmelo?”
Il messaggio può provenire da un contatto realmente presente nella nostra rubrica.
Ed è proprio questo che abbassa le difese.
Quel contatto, però, potrebbe essere stato precedentemente compromesso.
Il codice richiesto può essere quello necessario per completare una procedura di accesso o registrazione dell’account.
Se viene comunicato al truffatore, quest’ultimo può riuscire a prendere il controllo del profilo.
Da quel momento dispone di uno strumento potentissimo:
la fiducia che gli altri contatti ripongono nel vero titolare dell’account.
Ma oggi non esiste soltanto la truffa del codice
Questo è un punto importante.
Nel 2026 la Polizia di Stato ha segnalato anche una nuova ondata di compromissioni riconducibili ad attacchi cosiddetti “zero-click” su dispositivi Apple con versioni vulnerabili o non aggiornate.
In alcuni casi l’utente può quindi subire una compromissione senza aver volontariamente consegnato un codice o cliccato sul classico link sospetto.
Per questo dire:
“A me non può succedere perché non clicco sui link”
non è più sufficiente.
Aggiornare sistema operativo e applicazioni è diventato parte della sicurezza quotidiana.
Cosa succede dopo il furto dell’account?
È qui che comincia la seconda fase della frode.
Il criminale può utilizzare l’account compromesso per scrivere ai contatti della vittima.
E il messaggio non arriva da uno sconosciuto.
Arriva apparentemente da:
“Mamma”
“Marco”
“Avv. Rossi”
“Papà”
“Luca ufficio”
È questo il vero vantaggio per il truffatore.
Non deve costruire da zero la credibilità della propria identità.
La eredita dalla vittima.
“Mi servono urgentemente 800 euro”
La seconda fase punta spesso sul senso di urgenza.
“Ho il conto bloccato.”
“Devo pagare una cosa entro mezz’ora.”
“Non riesco a fare il bonifico.”
“Appena posso te li restituisco.”
“Non chiamarmi perché sono in riunione.”
La richiesta può sembrare perfettamente compatibile con il modo di parlare della persona che conosciamo.
E magari l’importo non è neppure enorme.
È proprio questo che può rendere credibile il messaggio.
Il caso segnalato dalla Polizia di Stato
Nel settembre 2026 la Polizia di Stato ha dato notizia di un’indagine del Commissariato di Sora nata dalla denuncia-querela di una vittima.
Secondo quanto ricostruito dagli investigatori, il meccanismo sarebbe stato finalizzato all’acquisizione indebita e al successivo utilizzo di account WhatsApp appartenenti a utenti inconsapevoli.
Attraverso l’account compromesso sarebbero state inviate richieste di denaro a diversi nominativi presenti nella rubrica della vittima.
La leva utilizzata?
Una situazione emergenziale.
Alcuni destinatari sarebbero così stati indotti a effettuare bonifici.
La Polizia ha riferito di un quadro indiziario relativo, tra l’altro, a ipotesi di truffa, sostituzione di persona, accesso abusivo a sistema informatico e frode informatica, ferma naturalmente la presunzione di innocenza delle persone sottoposte a indagine fino a eventuale sentenza definitiva.
Quali reati possono entrare in gioco?
Non esiste una risposta identica per ogni truffa WhatsApp.
Dipende da come è stato acquisito l’account, da cosa è stato fatto successivamente e dall’eventuale trasferimento di denaro.
Ma le fattispecie che possono assumere rilievo comprendono, a seconda del caso concreto:
Truffa – art. 640 c.p.
È la figura classica quando attraverso artifici o raggiri una persona viene indotta in errore e compie un atto che procura al responsabile o ad altri un ingiusto profitto con danno altrui.
La falsa emergenza e la richiesta di denaro proveniente apparentemente da un amico possono inserirsi proprio in questo schema.
Sostituzione di persona – art. 494 c.p.
Utilizzare l’identità di un’altra persona per indurre altri in errore può assumere rilievo anche sotto il profilo della sostituzione di persona, quando ricorrono gli elementi richiesti dalla norma.
Il punto fondamentale è semplice:
online non diventa lecito fingersi un’altra persona soltanto perché lo si fa attraverso uno smartphone.
Accesso abusivo a un sistema informatico o telematico – art. 615-ter c.p.
Può assumere rilievo quando qualcuno si introduce abusivamente in un sistema informatico o telematico protetto da misure di sicurezza oppure vi permane contro la volontà di chi ha diritto di escluderlo.
Frode informatica – art. 640-ter c.p.
La qualificazione può venire in considerazione quando l’ingiusto profitto e il danno vengono ottenuti attraverso un intervento illecito sul funzionamento di un sistema o sui dati, informazioni o programmi ad esso pertinenti.
L’art. 640-ter prevede inoltre specifiche aggravanti, tra l’altro, quando il fatto produce un trasferimento di denaro o viene commesso con furto o indebito utilizzo dell’identità digitale.
La qualificazione giuridica concreta deve comunque essere effettuata sulla specifica dinamica del fatto.
Se ricevo la richiesta di denaro, cosa devo fare?
La prima regola è semplicissima:
fermati.
La fretta è uno degli strumenti principali del truffatore.
Se un amico ti scrive:
“Ho bisogno subito di 950 euro. Ti spiego dopo.”
non iniziare dal bonifico.
Inizia dalla verifica.
Telefonagli.
Ma attenzione: se il messaggio ti comunica anche un “nuovo numero”, non verificare l’identità utilizzando soltanto quel nuovo recapito.
Utilizza un contatto che conoscevi già.
Oppure un altro canale.
La Polizia di Stato raccomanda proprio di verificare l’identità di chi formula la richiesta prima di effettuare qualsiasi pagamento.
“Ma il messaggio arriva dal suo vero numero!”
Non basta.
È proprio questa la caratteristica del furto dell’account.
Il problema non è necessariamente che qualcuno abbia creato un profilo simile a quello del tuo amico.
Il problema può essere che qualcuno stia utilizzando il suo vero account.
Per questo:
numero corretto + foto corretta + nome corretto non equivalgono più automaticamente a identità verificata.
Se mi chiedono un codice arrivato via SMS?
Non comunicarlo.
I codici di verifica e gli OTP sono personali.
Non vanno inoltrati a:
- amici;
- parenti;
- colleghi;
- presunti operatori;
- persone che dichiarano di aver inserito per errore il nostro numero.
Se qualcuno ci chiede un codice ricevuto sul nostro telefono, dobbiamo domandarci:
perché un codice destinato a me dovrebbe servire a lui?
Questa semplice domanda può evitare il furto dell’account.
Mi hanno rubato WhatsApp: cosa faccio subito?
Qui la velocità conta davvero.
1. Avvisa immediatamente i tuoi contatti
Utilizza altri canali disponibili.
Telefonate.
SMS.
Social.
E-mail.
Scrivi chiaramente:
“Il mio account WhatsApp è stato compromesso. Non rispondete a richieste di denaro e non effettuate pagamenti.”
Serve a interrompere la catena.
2. Controlla i dispositivi collegati
Apri WhatsApp e verifica la sezione “Dispositivi collegati”.
Se trovi sessioni o dispositivi che non riconosci, disconnettili.
3. Avvia il recupero dell’account
Segui la procedura ufficiale prevista da WhatsApp per riottenere il controllo del profilo.
4. Cambia le credenziali degli account collegati
In particolare valuta immediatamente la sicurezza dell’e-mail associata e degli altri account che potrebbero essere coinvolti.
5. Attiva la verifica in due passaggi
È una protezione ulteriore fondamentale.
6. Aggiorna smartphone e applicazioni
Sistema operativo e WhatsApp devono essere mantenuti alle versioni più recenti.
Gli aggiornamenti non servono soltanto ad aggiungere funzioni.
Servono anche a chiudere vulnerabilità di sicurezza.
E se hanno già chiesto soldi ai miei contatti?
Conserva tutto.
Non cancellare le conversazioni.
Non eliminare le notifiche.
Fai screenshot.
Annota:
- data e ora;
- numero utilizzato;
- IBAN indicato;
- eventuali carte o conti destinatari;
- link ricevuti;
- nomi visualizzati;
- codici;
- ricevute dei bonifici;
- messaggi inviati ai contatti.
Se qualcuno ha già effettuato un pagamento, deve contattare immediatamente il proprio istituto bancario o il prestatore del servizio di pagamento per verificare se esistano margini per bloccare o richiamare l’operazione.
E occorre valutare tempestivamente la denuncia alle Forze dell’Ordine.
La vittima è chi perde l’account o chi paga?
Potenzialmente entrambi.
Chi perde il controllo dell’account subisce una compromissione della propria identità digitale e del proprio spazio informatico.
Chi riceve la falsa richiesta e versa denaro può subire un danno patrimoniale.
La stessa vicenda può quindi produrre più persone offese e più condotte penalmente rilevanti.
Sono responsabile se dal mio account rubato truffano un amico?
Il fatto che un criminale utilizzi abusivamente il tuo account non significa automaticamente che tu sia responsabile della truffa commessa da quest’ultimo.
Ma è fondamentale poter ricostruire ciò che è accaduto.
Per questo, quando scopri la compromissione, è opportuno:
agire immediatamente, documentare l’accaduto e avvisare i contatti.
La tempestività aiuta sia a limitare i danni sia a ricostruire correttamente la vicenda.
Posso recuperare i soldi?
Dipende.
Conta soprattutto la rapidità.
Se il bonifico è appena stato disposto, occorre contattare immediatamente la banca.
Se il denaro è già transitato su più rapporti finanziari, il recupero può diventare molto più complesso.
Nel caso di Sora descritto dalla Polizia, gli investigatori hanno riferito che le somme sarebbero state successivamente trasferite verso ulteriori rapporti finanziari.
È una dinamica che rende evidente perché le prime ore possono essere decisive.
L’errore che fanno quasi tutti
Concentrarsi soltanto sul messaggio.
“Sembrava proprio lui.”
“Scriveva come lui.”
“Aveva la sua fotografia.”
“Era il suo numero.”
Il problema è proprio questo.
Nelle frodi basate sulla compromissione di un account, il truffatore non cerca necessariamente di convincerti che un estraneo è tuo amico.
Può utilizzare direttamente l’identità digitale del tuo amico.
La domanda quindi non deve essere:
“Riconosco questo account?”
Ma:
“Ho verificato che in questo momento dietro quell’account ci sia davvero quella persona?”
Il consiglio de Il Legale
Quando un messaggio combina tre elementi —
fiducia + urgenza + denaro
— fermati.
Una telefonata di trenta secondi può evitare un bonifico da migliaia di euro.
E se ti chiedono un codice arrivato sul tuo telefono:
non inviarlo.
Mai.
Neppure se a chiedertelo sembra essere una persona che conosci.
In sintesi
- Un account WhatsApp può essere compromesso e utilizzato per contattare amici e familiari della vittima.
- Il messaggio può provenire apparentemente dal vero account della persona conosciuta.
- Le richieste sfruttano spesso una falsa emergenza e chiedono denaro o bonifici.
- Non comunicare mai OTP o codici di verifica.
- Non cliccare automaticamente sui link ricevuti.
- Prima di pagare, verifica l’identità attraverso un altro canale.
- Controlla periodicamente Dispositivi collegati.
- Attiva la verifica in due passaggi.
- Mantieni aggiornati WhatsApp e il sistema operativo.
- Se perdi il controllo dell’account, avvisa immediatamente tutti i contatti.
- Avvia subito la procedura di recupero.
- Conserva messaggi, screenshot, numeri, IBAN e ricevute.
- Se è stato effettuato un pagamento, contatta immediatamente la banca.
- Valuta tempestivamente denuncia e assistenza legale.
- A seconda della condotta possono venire in rilievo diverse fattispecie penali, tra cui truffa, sostituzione di persona, accesso abusivo e frode informatica.
Hai ricevuto una richiesta sospetta o hanno utilizzato il tuo account per chiedere denaro?
Non aspettare che il problema si propaghi alla tua rubrica.
Metti in sicurezza l’account, avvisa i contatti e conserva subito le prove digitali.
Il Legale può assisterti nella ricostruzione dell’accaduto, nella tutela della vittima e nella predisposizione della denuncia-querela quando ne ricorrono i presupposti.
Perché online una frase innocente come:
“Ciao, mi faresti un favore?”
può essere soltanto l’inizio.
Riferimenti
Polizia di Stato – Commissariato di Sora, comunicato del 5 settembre 2026 sulla truffa attraverso account WhatsApp.
Polizia di Stato – avvisi di agosto 2026 sulla nuova ondata di compromissioni WhatsApp “zero-click”.
Polizia Postale – indicazioni sulla sottrazione degli account WhatsApp e sulla truffa del codice di verifica.
Artt. 494, 615-ter, 640 e 640-ter c.p.
