WhatsApp sotto assedio a Hong Kong: takeover +170% e perdite per 146 milioni

🛡️ Executive Summary

• Hong Kong registra 1.993 takeover WhatsApp tra gennaio e luglio 2026, il 169,7% in più rispetto allo stesso periodo del 2025.
• Gli attaccanti usano phishing, falsi siti WhatsApp, codici di registrazione e QR code per collegare dispositivi e assumere il controllo degli account.
• Le perdite raggiungono 146,3 milioni di dollari HK: diminuiscono nel complesso, ma singole vittime hanno perso oltre 10 milioni.

Hong Kong registra un’esplosione dei furti di account WhatsApp: nei primi sette mesi del 2026 la polizia ha contato 1.993 casi, contro 739 nello stesso periodo del 2025, con un incremento del 169,7%. Il numero supera già i 1.669 episodi registrati nell’intero 2025, mentre le perdite hanno raggiunto 146,3 milioni di dollari di Hong Kong, circa 18,7 milioni di dollari statunitensi. Il fenomeno arriva proprio mentre WhatsApp rafforza gli account con oltre un miliardo di passkey e una verifica in due passaggi più robusta, segnale di quanto il problema si sia spostato dalla semplice protezione della password alla capacità di impedire all’utente di consegnare involontariamente il controllo del proprio profilo.

I casi aumentano del 169,7% ma le perdite complessive diminuiscono

L’elemento più interessante dei dati di Hong Kong è la divergenza tra numero degli incidenti e valore economico delle frodi. I 1.993 takeover WhatsApp rappresentano un aumento di 1.254 casi in un anno, ma i 146,3 milioni di dollari HK sottratti alle vittime sono inferiori del 22,7% rispetto ai 189,2 milioni persi nello stesso periodo del 2025. Questo non significa che la minaccia sia diventata meno grave: alcuni episodi hanno prodotto perdite comprese tra 1 e oltre 10 milioni di dollari HK, con il caso più pesante arrivato a circa 12,2 milioni. La concentrazione del danno mostra la capacità degli attaccanti di trasformare un semplice account compromesso in uno strumento per colpire rapporti familiari e soprattutto aziendali, una dinamica già visibile nelle truffe digitali asiatiche dove impersonificazione e messaggistica sono diventate vettori centrali. La crescita dei takeover avviene inoltre all’interno di un panorama nel quale la Hong Kong Police aveva già registrato 2.547 compromissioni WhatsApp nel 2024, per perdite complessive allora pari a 73,5 milioni di dollari HK.

Il phishing ruba il codice che consegna l’account WhatsApp

La tecnica più comune non richiede necessariamente una vulnerabilità dell’applicazione. Gli aggressori inviano messaggi che imitano comunicazioni ufficiali di WhatsApp e sostengono che l’account sia stato segnalato, violi le condizioni del servizio oppure rischi la sospensione. L’urgenza serve a spingere la vittima verso un sito contraffatto, sul quale vengono richiesti numero telefonico, codice di registrazione o altre informazioni necessarie a completare il takeover. L’Anti-Deception Coordination Centre della polizia di Hong Kong descrive già questa tecnica: il falso portale induce l’utente a comunicare il codice WhatsApp a sei cifre, permettendo al criminale di registrare l’account su un altro dispositivo. È la stessa debolezza comportamentale sfruttata nelle campagne di phishing persistente che trasformano una pagina credibile in un terminale per il furto di identità e denaro: la crittografia dell’applicazione rimane intatta, ma l’identità digitale cambia proprietario.

Leggi anche: Le truffe WhatsApp sui falsi pedaggi mostrano come urgenza e siti contraffatti spingano gli utenti a consegnare dati sensibili

QR code e pairing code trasformano una funzione legittima in un vettore di takeover

Una seconda strada consiste nell’abusare del collegamento dei dispositivi. WhatsApp permette di utilizzare lo stesso account su più terminali e questa funzione può essere sfruttata convincendo la vittima a scansionare un QR code oppure a comunicare un codice di associazione. Meta ha introdotto nel 2026 avvisi specifici contro i tentativi sospetti di device linking proprio perché i criminali possono presentare il pairing come una verifica di sicurezza, una procedura di assistenza o un controllo dell’account. Una volta autorizzato il dispositivo dell’aggressore, quest’ultimo può accedere alle conversazioni sincronizzate e sfruttare il profilo senza dover violare direttamente l’infrastruttura di Meta. Il modello è stato osservato anche in operazioni molto più sofisticate, come le campagne contro diplomatici nelle quali device code, OAuth e collegamento WhatsApp venivano abusati per ottenere accesso attraverso procedure apparentemente legittime.

Dopo il takeover il vero bersaglio diventa la rubrica della vittima

Il valore economico di un account compromesso non coincide con il profilo stesso, ma con la fiducia accumulata nei confronti dei suoi contatti. Dopo il takeover, il criminale può presentarsi come figlio, genitore, amico, collega, superiore o partner commerciale e formulare una richiesta economica utilizzando un’identità già conosciuta dal destinatario. La frode elimina così una delle principali barriere del phishing tradizionale: convincere la vittima ad affidarsi a uno sconosciuto. Il messaggio arriva infatti da un numero reale, con un nome reale e spesso all’interno di una conversazione precedente. È lo stesso meccanismo che rende particolarmente pericolosa la compromissione WhatsApp seguita da richieste urgenti di denaro ai contatti della vittima, anche se il vettore iniziale può essere completamente diverso. Il takeover deve quindi essere considerato l’inizio della frode, non il suo risultato finale.

L’intelligenza artificiale abbassa il costo dei falsi siti

La polizia di Hong Kong collega parte dell’aumento anche alla crescente facilità con cui gli aggressori riescono a produrre siti contraffatti, adattare linguaggio e grafica e moltiplicare rapidamente le infrastrutture di phishing. L’AI non introduce una tecnica nuova: rende più economica una tecnica vecchia. Template credibili, testi grammaticalmente corretti, localizzazioni linguistiche e variazioni delle pagine possono essere generati con maggiore velocità, riducendo il lavoro necessario per lanciare campagne parallele. È una dinamica compatibile con quanto già osservato nelle campagne di phishing AI che utilizzano centinaia di domini e interfacce convincenti per sottrarre account e dispositivi. Parallelamente WhatsApp sta sviluppando difese che cercano di intervenire prima della compromissione: Scam Alert analizza localmente i messaggi provenienti da sconosciuti per individuare strutture conversazionali compatibili con una frode, spostando una parte della protezione dalla verifica dell’identità alla valutazione del comportamento.

Passkey e verifica in due passaggi riducono il rischio ma non eliminano il social engineering

Le protezioni dell’account diventano quindi decisive. WhatsApp raccomanda di non comunicare mai il codice di registrazione e permette di rafforzare l’accesso attraverso verifica in due passaggi e passkey. In caso di compromissione, la nuova registrazione del numero con il codice ricevuto via SMS o chiamata forza la disconnessione degli altri dispositivi registrati; parallelamente è necessario controllare l’elenco dei dispositivi collegati e rimuovere quelli sconosciuti. Queste misure aumentano il costo dell’attacco, ma non risolvono automaticamente il problema del social engineering: un utente può avere un’autenticazione robusta e contemporaneamente essere persuaso ad autorizzare un dispositivo ostile. Il superamento del miliardo di utenti WhatsApp con passkey dimostra quanto Meta stia spostando l’autenticazione verso credenziali resistenti al phishing, ma la sicurezza continua a dipendere anche dalle decisioni prese nel momento in cui compare una richiesta inattesa.

Continua con:

• WhatsApp introduce Scam Alert per riconoscere le conversazioni compatibili con una truffa prima che l’utente consegni dati o denaro
• Signal automatizza la verifica delle chiavi ma il phishing continua a poter abusare di QR code e dispositivi collegati

Il problema non è rompere WhatsApp ma convincere l’utente ad aprire la porta

I quasi 2.000 account WhatsApp sottratti in sette mesi a Hong Kong mostrano il limite di una lettura esclusivamente tecnica della sicurezza della messaggistica. Non è necessario decifrare le conversazioni o violare i server della piattaforma quando è possibile convincere l’utente a consegnare il codice che registra l’account oppure ad autorizzare il dispositivo dell’aggressore. La crittografia protegge il canale, non può stabilire autonomamente se la persona che sta utilizzando legittimamente una funzione sia stata manipolata. Per questo WhatsApp invita a verificare regolarmente i dispositivi collegati e a disconnettere immediatamente quelli non riconosciuti. L’aumento del 169,7% registrato a Hong Kong dimostra che il takeover degli account è diventato un modello industriale: phishing, QR code e impersonificazione trasformano un’identità digitale rubata in una rete di nuove potenziali vittime, esattamente il rischio contro il quale WhatsApp sta rafforzando contemporaneamente autenticazione, rilevamento delle truffe e controllo delle richieste sospette.