Account WhatsApp rubato: cosa fare, e chi resta scoperto

Il 25 agosto 2026 la Polizia di Stato ha pubblicato un primo avviso su WhatsApp: account rubati tramite siti fraudolenti che chiedono dati personali, credenziali e codici di verifica. Tre giorni dopo, il 28 agosto, ne è arrivato un secondo, diverso dal primo: un attacco zero-click, che non richiede nessuna tua azione, e colpisce un tipo preciso di telefono. Se il tuo account è appena sparito o vuoi solo capire come evitarlo, la differenza fra i due allarmi conta più di quanto sembri.

Due avvisi, non uno

Il primo, pubblicato il 25 agosto, descrive il phishing classico: siti fraudolenti che imitano schermate vere per farsi consegnare "dati personali, credenziali e codici di verifica", come scrive la Polizia Postale nel suo comunicato. Una volta dentro l'account, i criminali lo usano per "inoltrare ulteriori richieste" di denaro ai tuoi contatti, spacciandosi per te.

Il secondo avviso è un'altra cosa, e la cronaca li ha spesso raccontati come se fossero uno solo. Parla di "attacchi cosiddetti zero-click", che "possono essere sfruttate senza che l'utente debba compiere alcuna azione": nessun link, nessun clic, nessuna password digitata per sbaglio. E qui arriva il dettaglio che una guida generica di recupero account non racconta, perché non lo sa: la Polizia specifica che "le vulnerabilità individuate riguardano versioni non aggiornate di iOS e di WhatsApp sui dispositivi Apple". Non un problema di smartphone in generale. Un problema di iPhone rimasti indietro con gli aggiornamenti.

Lo scudo nuovo, per ora, è solo per Android

Il 12 agosto, due settimane prima del secondo allarme, Meta aveva già pubblicato sul suo blog tecnico lo strumento che sta costruendo per riconoscere questi messaggi. Si chiama Scam Alert: gira interamente sul telefono, con un modello che analizza i messaggi dei contatti sconosciuti senza mandare nulla ai server di Meta, ed è per ora in una fase di test che l'azienda stessa definisce un primo sguardo, non una funzione pronta.

Il dettaglio che chiude il cerchio arriva da WABetaInfo, che segue riga per riga gli aggiornamenti beta di WhatsApp: la funzione è comparsa nella beta Android 2.26.34.1, con un rilascio descritto come molto limitato e concentrato sull'app Android. Su iOS, scrive la stessa fonte, arriverà più avanti, senza una data. Chi lo attiva riceve un avviso dentro la chat, del tipo "potrebbe essere una truffa", visibile solo a chi lo riceve: chi manda il messaggio non lo sa. Il risultato pratico riguarda chi legge l'avviso pubblicato il 28 agosto: il telefono più esposto all'attacco zero-click, l'iPhone con software non aggiornato, è anche quello che per ora non riceve l'avviso automatico pensato apposta per intercettare questo tipo di truffa.

Cosa fare, in ordine

↗ Truffa della ballerina su WhatsApp: cos'è e come difendersi

Le indicazioni della Polizia Postale sono operative, non generiche. Aggiorna subito sia il sistema del telefono sia l'app WhatsApp: è la prima difesa contro lo zero-click, che sfrutta proprio le versioni vecchie rimaste indietro. Attiva la verifica in due passaggi nelle impostazioni account. Controlla ogni tanto la sezione "Dispositivi collegati", e se compare qualcosa che non riconosci, disconnettilo da lì. E soprattutto: non condividere mai un codice di verifica ricevuto via SMS, "neppure a persone che dichiarano di essere amici o familiari". È la frase esatta dell'avviso pubblicato il 25 agosto, e non è un dettaglio da poco: è esattamente così che parte quella truffa.

Se l'account è già stato rubato, la strada di recupero ufficiale di WhatsApp resta la reinstallazione dell'app con una nuova verifica del proprio numero, che estromette chi lo sta usando al posto tuo. Su iPhone, però, non aspettarti ancora un avviso automatico prima del fatto: fino a quando Scam Alert non arriva su iOS, l'unica difesa preventiva resta tenere il telefono aggiornato.