Sembra un normale codice WhatsApp, ma è la nuova truffa che sta facendo migliaia di vittime

La truffa del codice a 6 cifre su WhatsApp torna a diffondersi nel 2025: ecco come riconoscerla e proteggersi.

In un messaggio che appare innocuo si nasconde una delle truffe informatiche più insidiose degli ultimi anni. Il testo è breve, spesso firmato da un contatto fidato: “Ciao, ti ho inviato un codice per sbaglio. Me lo rimandi?”. E nel giro di pochi secondi, un codice a 6 cifre arriva via SMS. Ma se si commette l’errore di condividerlo, l’account WhatsApp può essere rubato all’istante.

La truffa del codice a 6 cifre, nota sin dal 2020 e tornata a diffondersi con forza tra aprile e maggio 2025, è una forma di ingegneria sociale semplice ma letale, perché sfrutta la fiducia tra contatti già noti. Il messaggio, infatti, non è scritto dal nostro amico o parente, ma da un truffatore che ha già preso il controllo del suo profilo. L’obiettivo è estendere la truffa a catena, sfruttando ogni nuovo accesso ottenuto con il codice condiviso ingenuamente.

Cos’è la truffa delle 6 cifre e come funziona il furto dell’account

La truffa si basa su un meccanismo banale: il codice di 6 cifre inviato via SMS è quello che WhatsApp usa per verificare l’identità dell’utente durante una nuova registrazione del numero su un altro telefono. Se il truffatore riesce ad avere quel codice, può accedere all’account altrui, escludendo il vero proprietario e prendendone pieno controllo.

Una volta ottenuto l’accesso, l’aggressore può inviare lo stesso messaggio ad altri contatti della vittima, replicando il raggiro. Può anche inoltrare link pericolosi, indirizzando le persone verso malware o pagine web costruite per rubare dati personali. Nei casi più gravi, il numero collegato all’autenticazione può essere cambiato e l’account sequestrato, rendendo complicato il recupero. Alcuni truffatori arrivano a chiedere un riscatto per restituirlo.

Già nel 2021, la Polizia Postale aveva lanciato un primo allarme, sottolineando come il successo di questa trappola dipenda proprio dalla disattenzione e dalla fiducia mal riposta. E ora che oltre 3 miliardi di utenti usano WhatsApp, il bacino potenziale di vittime è più ampio che mai. Il raggiro, insomma, torna ciclicamente e colpisce ovunque, senza bisogno di strumenti sofisticati.

La recente scoperta di una falla che ha esposto 3,5 miliardi di numeri di telefono, nota dal 2017 e corretta solo nel 2025, ha riacceso i riflettori sulla sicurezza dell’app. Sebbene la vulnerabilità sia stata risolta, i dati trapelati potrebbero essere ancora usati per campagne di attacco mirate, rendendo ancora più urgente l’adozione di misure difensive individuali.

Come difendersi e cosa fare se si cade nella trappola

Il consiglio principale è chiaro: non rispondere mai a messaggi che chiedono di “inoltrare un codice ricevuto”, anche se arrivano da un amico o da un familiare. Nessun contatto dovrebbe inviarci codici di verifica, e nessun sistema serio chiede di inoltrarli ad altri.

Oltre alla prudenza, ci sono due strumenti fondamentali che WhatsApp mette a disposizione degli utenti:

• Verifica in due passaggi, attivabile tramite Impostazioni > Account > Verifica in due passaggi, permette di impostare un PIN a sei cifre che viene richiesto ogni volta che si tenta di registrare il numero. È la barriera più efficace contro questo tipo di furto.

• Notifiche di sicurezza, che si trovano in Impostazioni > Account > Notifiche di sicurezza, consentono all’utente di ricevere un avviso se la chiave di crittografia della chat cambia, segnale che può indicare un possibile accesso da un altro dispositivo.

Se si cade nel tranello e si perde l’account, bisogna agire rapidamente. La prima mossa è provare a riaccedere inserendo il proprio numero, nella speranza che il truffatore non abbia ancora modificato le impostazioni di verifica. In alternativa, si può procedere alla disattivazione dell’account, scrivendo a WhatsApp, e avvisare tutti i contatti per prevenire altri furti.

È fondamentale anche inviare una segnalazione alla Polizia Postale, tramite l’apposita pagina sul sito ufficiale. Solo con queste denunce, infatti, è possibile monitorare e contrastare la diffusione della truffa.

Il vero rischio della truffa delle 6 cifre non è solo la perdita dell’account, ma la compromissione della rete di contatti personali, che può finire in mano a criminali pronti a sfruttare ogni occasione per sottrarre dati sensibili.