Phishing russo su WhatsApp e Signal: come difendersi
✓ Scheda corretta il 13 ottobre 2026 dopo un nuovo confronto con la fonte. Come teniamo aggiornate le schede
Cosa sta succedendo
Il Dipartimento di Stato americano offre fino a 10 milioni di dollari a chi aiuta a identificare i membri di due gruppi di hacker, UNC5792 e UNC4221, legati all’FSB e ai servizi militari russi. Non usano un virus: si fingono addetti dell’assistenza di Signal e si fanno consegnare la chiave di recupero del backup, ottenendo le conversazioni salvate. Le autorità Usa precisano che le app e la loro crittografia non sono state violate: a essere ingannata è la persona. I bersagli tipici sono funzionari, diplomatici e militari di Stati Uniti e NATO, giornalisti che seguono Russia e Ucraina, ONG e ricercatori; migliaia di account risultano compromessi. Lo stesso inganno può essere tentato anche con altre persone.
Esempio concreto
Immagina di ricevere un messaggio diretto dentro Signal da un profilo che si presenta come l’assistenza ufficiale dell’app. Il messaggio dice che c’è una verifica in due passaggi obbligatoria da completare subito e ti chiede di comunicare la chiave di recupero del backup, oppure ti manda un link per verificare o ripristinare l’account. Sembra una procedura tecnica normale e il tono è cortese e urgente. In realtà, se consegni quella chiave, chi ti scrive ottiene l’accesso alle conversazioni che avevi salvato. Nessun programma viene installato sul tuo telefono e l’app non viene violata: a essere ingannata sei tu. L’assistenza vera, ricorda la fonte, scrive solo da indirizzi email ufficiali dell’azienda e non chiede mai codici di verifica dentro l’app.
Cosa fare se hai un iPhone (Apple)
1. Se ricevi un messaggio dentro Signal o WhatsApp da chi dice di essere l’assistenza, fermati: secondo la fonte l’assistenza vera di Signal scrive solo da indirizzi email ufficiali dell’azienda, e né Signal né WhatsApp ti chiedono in chat codici o chiavi di recupero. 2. Non comunicare a nessuno la chiave di recupero del backup di Signal, cioè la lunga sequenza di caratteri che serve a ripristinare le conversazioni: conservala solo per te, scritta su carta o in un posto sicuro. 3. Non aprire i link che chiedono di verificare, recuperare o ripristinare l’account: secondo la fonte il supporto vero non ne invia mai. 4. Attiva la Verifica in Due Passaggi su WhatsApp: apri WhatsApp > Tu (o Impostazioni, secondo la versione) in basso > Account > Verifica in due passaggi > Attiva la verifica in due passaggi. Ti verrà chiesto un PIN o una password in più ogni volta che reinstalli l’app, e non va detto a nessuno. 5. Tieni il telefono protetto: vai su Impostazioni > Face ID e Codice (o Touch ID e Codice) e assicurati di avere un codice di almeno 6 cifre attivo. 6. Se hai dubbi su un messaggio ricevuto, non rispondere e chiedi conferma a una persona di fiducia o cerca i contatti ufficiali dell’app partendo dal sito dell’azienda, non dal messaggio.
Cosa fare se hai un Android
1. Tratta con sospetto qualsiasi messaggio in chat che si presenta come assistenza di Signal o WhatsApp: secondo la fonte l’assistenza vera di Signal usa solo indirizzi email ufficiali dell’azienda, e né Signal né WhatsApp ti chiedono in chat codici o chiavi di recupero. 2. Non dettare, scrivere o fotografare per nessuno la chiave di recupero del backup di Signal: è il codice che permette di ripristinare le vecchie conversazioni, e chi la ottiene può leggerle. 3. Non toccare i link che chiedono di verificare, recuperare o ripristinare un account di messaggistica, anche se il messaggio parla di una procedura obbligatoria o urgente. 4. Attiva la Verifica in Due Passaggi su WhatsApp: apri WhatsApp > tre puntini in alto a destra > Impostazioni > Account > Verifica in due passaggi > Attiva la verifica in due passaggi. Scegli un PIN o una password che ricordi ma che non sia ovvio e non comunicarlo a nessuno. 5. Se un messaggio ti mette fretta, prenditi tempo: nessuna verifica seria scade in pochi minuti. 6. Verifica i contatti ufficiali dell’app partendo dal sito dell’azienda, non dai recapiti scritti nel messaggio che hai ricevuto.
Cosa NON fare
- Non consegnare mai la chiave di recupero del backup di Signal a chi te la chiede in chat: è proprio quello che cercano gli hacker descritti nell’avviso
- Non fidarti di chi si presenta come assistenza dentro l’app: la fonte ricorda che il supporto vero di Signal scrive solo da indirizzi email ufficiali dell’azienda
- Non aprire link ricevuti in chat che chiedono di verificare, recuperare o ripristinare l’account, nemmeno se arrivano da un contatto conosciuto
- Non pensare che il problema sia l’app: le autorità americane precisano che le piattaforme e la loro crittografia non sono state violate, l’inganno punta sulla persona
- Non condividere il codice di verifica a 6 cifre che WhatsApp ti manda via SMS con nessuno, nemmeno con chi dice di essere l’assistenza WhatsApp
Domande frequenti su questa truffa
Le risposte alle domande che ci arrivano più spesso.
Come faccio a capire se un messaggio dell'assistenza di Signal o WhatsApp è falso?
Cosa vogliono ottenere gli hacker russi con questa truffa?
Devo dare la chiave di recupero del backup a chi me la chiede?
Cosa devo fare se ricevo un link per verificare o ripristinare il mio account?
Come attivo la Verifica in Due Passaggi su WhatsApp?
Un messaggio mi mette fretta dicendo che la verifica scade subito: è normale?
Come scegliamo le fonti e come nasce ogni scheda: il nostro metodo.
🔗 Fonte: BleepingComputer, testata specializzata — articolo originale →
