Ricevi un messaggio da un contatto che conosci: "Scusa, ti ho mandato per errore un codice a 6 cifre, puoi rigirarmelo? Mi serve subito". Sembra una sciocchezza, un favore tra amici. In realtà quel codice è il codice di verifica del tuo account WhatsApp, e chi te lo chiede sta cercando di rubartelo. Se glielo invii, il tuo account passa nelle sue mani e, da lì, scriverà ai tuoi contatti fingendosi te.
Esiste un singolo interruttore che rende questo furto quasi impossibile: la verifica in due passaggi. È gratuita, si attiva in due minuti e aggiunge un PIN a 6 cifre che solo tu conosci. Anche se un truffatore mette le mani sul codice SMS, senza il tuo PIN non può completare l'accesso. Vediamo come funziona e come attivarla.
Perché il solo codice SMS non basta
Quando installi WhatsApp su un telefono, l'app verifica la tua identità inviandoti un codice a 6 cifre via SMS al tuo numero. Inserisci il codice e l'account è tuo. Il problema è che questo codice, da solo, è anche tutto ciò che serve a chi vuole rubarti l'account.
I truffatori provano a registrare il tuo numero su un loro dispositivo. WhatsApp invia il codice al tuo telefono, e a quel punto loro hanno bisogno solo di farselo dare. Lo fanno con l'inganno - fingendosi un amico in difficoltà - oppure intercettando l'SMS in altri modi, come nel caso del furto del numero che spieghiamo nella guida sul SIM swap, il furto del numero di telefono in Italia.
Con la verifica in due passaggi attiva, dopo il codice SMS WhatsApp chiede anche il tuo PIN personale a 6 cifre. Quel PIN non viene mai inviato via SMS e non esce mai dalla tua testa: il truffatore non lo conosce e l'accesso si blocca. Vale la stessa regola d'oro di sempre, quella che spieghiamo a proposito del codice OTP della banca e perché non condividerlo mai: i codici di verifica non si girano a nessuno.
Come attivare la verifica in due passaggi
La procedura è identica o quasi su Android e iPhone. Bastano pochi tocchi.
- Apri WhatsApp e vai su Impostazioni (l'icona dell'ingranaggio; su iPhone in basso a destra, su Android nel menu in alto a destra).
- Tocca Account.
- Tocca Verifica in due passaggi.
- Tocca Attiva (o "Abilita").
- Inserisci un PIN a 6 cifre a tua scelta e confermalo. Scegli un numero che ricordi ma che non sia banale (evita 123456, la tua data di nascita o il PIN del bancomat).
- Inserisci un indirizzo email di recupero. Serve a reimpostare il PIN se lo dimentichi. Usa un'email a cui hai sempre accesso e che sia anch'essa protetta.
- Conferma. La verifica in due passaggi è attiva.
Da questo momento, ogni tanto WhatsApp ti chiederà di reinserire il PIN per assicurarsi che tu te lo ricordi. Non è un malfunzionamento: è un promemoria utile, perché senza email di recupero un PIN dimenticato può bloccarti fuori per giorni.
Il PIN e l'email: due tasselli, due funzioni diverse
| Elemento | A cosa serve | Consiglio |
|---|---|---|
| PIN a 6 cifre | Blocca chi prova a registrare il tuo numero su un altro telefono | Sceglilo non banale, non condividerlo con nessuno |
| Email di recupero | Ti permette di reimpostare il PIN se lo dimentichi | Usa un'email a cui hai sempre accesso e protetta |
L'email di recupero è un dettaglio che molti saltano, ma è importante. Senza, se dimentichi il PIN devi aspettare un periodo di attesa (di solito sette giorni) prima di poter recuperare l'account. Con l'email, invece, reimposti subito. Assicurati però che anche quella casella sia protetta: se un truffatore controlla la tua email, può usarla per aggirare il PIN.
Cosa fare se l'account viene comunque rubato
Anche senza verifica in due passaggi, o se sei caduto nell'inganno del codice prima di attivarla, puoi reagire. La rapidità conta: prima agisci, prima riprendi il controllo e limiti i danni ai tuoi contatti.
- Riregistra il tuo numero. Reinstalla WhatsApp e inserisci il tuo numero: riceverai un nuovo codice via SMS. Inserendolo, riprendi l'account e il truffatore viene disconnesso. Se aveva attivato un suo PIN, dovrai attendere il periodo di sicurezza.
- Avvisa i tuoi contatti. Su altri canali (chiamata, SMS, social), avverti amici e familiari che il tuo account è stato compromesso e di non rispondere a richieste di denaro o codici arrivate a tuo nome.
- Scrivi all'assistenza WhatsApp. Invia una email a support@whatsapp.com indicando che il tuo account è stato rubato e il tuo numero in formato internazionale (+39...).
- Attiva subito la verifica in due passaggi. Appena recuperi l'account, imposta il PIN per evitare che accada di nuovo.
- Controlla i dispositivi collegati. Nelle impostazioni, in "Dispositivi collegati", disconnetti ogni sessione che non riconosci (per esempio un WhatsApp Web aperto dal truffatore).
- Sporgi denuncia. Se il furto è servito a truffare i tuoi contatti, la denuncia è utile. La truffa è un reato previsto dall'articolo 640 del Codice Penale.
Per i comportamenti tipici dei truffatori una volta dentro l'account - richieste di soldi, finti messaggi di emergenza, codici da rigirare - ti aiuta la panoramica sulle truffe su WhatsApp e come riconoscerle.
Errori da evitare
- Non scegliere un PIN ovvio. Evita 000000, 123456, la data di nascita o lo stesso PIN del bancomat.
- Non saltare l'email di recupero. Senza, un PIN dimenticato ti blocca per giorni.
- Non condividere mai il codice a 6 cifre. Nessun amico vero te lo chiede: chi lo fa sta cercando di rubarti l'account.
- Non riutilizzare la stessa email non protetta. Se la casella di recupero è vulnerabile, il PIN serve a poco.
- Non rimandare l'attivazione. La verifica in due passaggi protegge da subito: non aspettare di essere già stato preso di mira.
Una protezione che vale anche per chi ti sta intorno
Attivare la verifica in due passaggi non protegge solo te. Un account rubato diventa un'arma contro i tuoi contatti: il truffatore scrive ad amici e parenti fingendosi te e chiede soldi con urgenza, sfruttando la fiducia che hanno in te. È lo stesso meccanismo del finto parente in difficoltà, e funziona proprio perché il messaggio arriva da un numero conosciuto.
Mettendo in sicurezza il tuo account, togli ai truffatori uno degli strumenti più efficaci che hanno. Se hai genitori o parenti anziani che usano WhatsApp, dedicare cinque minuti ad attivare la verifica in due passaggi sui loro telefoni è uno dei regali di sicurezza più utili che puoi fare. Spiega loro anche la regola di base: i codici a 6 cifre non si girano a nessuno, nemmeno a chi sembra un amico.
Per approfondire e diffondere le buone pratiche, le linee guida ufficiali sulla sicurezza digitale del CSIRT Italia ricordano l'importanza dell'autenticazione a più fattori su tutti gli account che la offrono. Se subisci o sospetti un furto d'identità o una truffa, puoi inoltre rivolgerti alla Polizia Postale.
FAQ
Un amico mi chiede di rigirargli un codice a 6 cifre arrivato per errore, lo faccio?
No, mai. Quel codice è il codice di verifica del tuo account WhatsApp e chi te lo chiede sta tentando di rubartelo. Nessun amico vero ha bisogno che tu gli giri un codice ricevuto sul tuo telefono. Se ricevi questa richiesta, l'account del tuo contatto è probabilmente già stato compromesso: avvisalo su un altro canale.
La verifica in due passaggi mi rallenta l'uso quotidiano di WhatsApp?
No. Il PIN non ti viene chiesto a ogni apertura dell'app, ma solo quando registri il numero su un nuovo telefono e, ogni tanto, come promemoria per non dimenticarlo. Nell'uso di tutti i giorni non cambia nulla: chatti e chiami come prima, ma il tuo account è molto più sicuro.
Ho dimenticato il PIN, come lo recupero?
Se hai inserito un'email di recupero quando hai attivato la verifica, WhatsApp ti invia un link per reimpostare il PIN. Per questo l'email è così importante. Senza email, devi attendere un periodo di sicurezza (di solito sette giorni) prima di poter disattivare la verifica e tornare a usare l'account.
Mi hanno già rubato l'account, riesco a riprenderlo?
Sì, nella maggior parte dei casi. Reinstalla WhatsApp e registra di nuovo il tuo numero: il nuovo codice SMS ti restituisce l'account e disconnette il truffatore. Se aveva impostato un suo PIN, dovrai attendere il periodo di sicurezza. Avvisa subito i contatti e scrivi a support@whatsapp.com.
La verifica in due passaggi protegge anche se mi rubano la SIM?
Aiuta molto. In un furto del numero (SIM swap) il truffatore riesce a ricevere il tuo codice SMS, ma con la verifica in due passaggi gli serve anche il tuo PIN, che non conosce. Resta comunque importante proteggere la SIM con un PIN e segnalare subito all'operatore qualsiasi perdita improvvisa di segnale, possibile spia di un furto del numero.
In sintesi
La verifica in due passaggi è la difesa più semplice ed efficace per il tuo account WhatsApp: un PIN a 6 cifre che blocca il furto anche quando un truffatore mette le mani sul codice SMS. Attivala da Impostazioni - Account - Verifica in due passaggi, scegli un PIN non banale e aggiungi un'email di recupero protetta. Se l'account viene comunque rubato, riregistra subito il numero, avvisa i contatti e scrivi all'assistenza. E ricorda la regola che vale sempre: i codici a 6 cifre non si girano a nessuno.