C’è un nuovo allarme che riguarda Whatsapp, e si chiama GhostPairing. Sfrutta la stessa regola del collegamento fra dispositivi, quella che ci permette di usare l’app da browser. L’utente che subisce l’attacco riceve un messaggio – che spesso proviene da contatti che ha in rubrica, già compromessi dal GhostPairing - e sfrutta leve psicologiche come la curiosità o il senso di urgenza. “Ciao ti mando le foto che abbiamo scattato insieme”, un testo semplice e accattivante con un link su cui cliccare o un qrcode da scansionare per visualizzare il contenuto d’interesse. 
 

Il collegamento però rimanda ad un sito fake, che assomiglia ad una pagina di servizio Meta, in cui all’utente viene chiesto di inserire il suo numero di telefono per verifica. Siamo abituati alle procedure di “autenticazione a doppio fattore”, con la richiesta di inserire codici o il proprio numero di telefono per poter accedere a dei servizi. Se però si è vittime di un attacco di GhostPairing, questa procedura consente al dispositivo “criminale” di entrare nell’account Whatsapp della vittima, come un “ospite” silenzioso e invisibile.
La particolarità di questo attacco sta proprio nella sua “legittimità formale”: tutto avviene seguendo procedure autentiche di WhatsApp, rendendo difficile distinguere il corretto uso dall’abuso.

Le modalità operative dell’attacco sono appunto due: alla vittima viene mostrato un codice QR da scansionare, oppure l’invio di un codice numerico che l’utente deve inserire nell’app. In questa seconda ipotesi, l’inganno è particolarmente subdolo: il prompt che compare su WhatsApp viene scambiato per una normale procedura di conferma, mentre in realtà autorizza l’accesso di un browser controllato dall’attaccante. Questo è il GhostPairing, l’abbinamento fantasma.

Una volta completata la procedura, anche la protezione della crittografia end-to-end diventa inutile: “lo spione digitale” non intercetta i messaggi, ma li legge direttamente dall’account della vittima. Questa procedura di attacco informatico consente di consultare conversazioni nuove e sincronizzate, scaricare immagini, video e messaggi vocali. E permette di inviare contenuti a nome della vittima senza che questa se ne accorga, con l’intento di “attaccare” altri account: inviare un messaggio di GhostPairing ai contatti presenti nella rubrica - della vittima inconsapevole - consente di propagare la truffa, moltiplicando l’impatto dell’attacco prima che qualcuno si accorga dell’anomalia.

Il GhostPairing è un attacco invisibile: non cambia la qualità del servizio di chat, WhatsApp continua a funzionare normalmente sullo smartphone dell’utente e nulla può far pensare ad una compromissione. L’account non viene bloccato e non c’è un accesso simultaneo alla chat, fenomeno più facile da individuare. Senza segnali evidenti di compromissione l’attacco può protrarsi nel tempo, consentendo ai criminali di raccogliere informazioni personali, materiali multimediali e dati utili per ulteriori frodi, campagne di ingegneria sociale o tentativi di estorsione.

Non è la tecnologia a cedere, ma l’attenzione dell’utente a cui viene semplicemente chiesto di compiere passaggi noti, familiari e rassicuranti. È un esempio emblematico di come l’inganno cognitivo sia diventato centrale nelle strategie criminali online.

Per capire se si è stati vittima di un attacco di GhostPairing basta consultare la sezione “Dispositivi collegati” dell’app, per capire se ci sono dispositivi non riconosciuti e cancellarli immediatamente. L’attivazione della verifica in due passaggi aggiunge un ulteriore livello di protezione, impedendo ai malintenzionati di consolidare il controllo sull’account. In caso di sospetta compromissione, è fondamentale avvisare subito i propri contatti, così da interrompere la catena di diffusione del raggiro.

Diffidenza è la parola d’ordine. Richieste insolite, soprattutto quando includono link o codici da inserire, devono metterci in allarme: WhatsApp non chiede mai di confermare accessi tramite siti esterni. Il GhostPairing non introduce una nuova vulnerabilità tecnica, ma evidenzia un rischio strutturale legato all’uso disinvolto delle funzioni digitali. In un ecosistema in cui le applicazioni puntano su semplicità e velocità, fermarsi a leggere con attenzione notifiche e richieste diventa un gesto necessario, di autodifesa. Pochi secondi di attenzione possono evitare di trasformare Whatsapp -  uno strumento pensato per connettere le persone - in una porta spalancata per intrusioni invisibili.