WhatsApp: verifica in due passaggi e sicurezza dell'account business

Una mattina i Suoi clienti Le scrivono: "Da questo numero chiedete denaro urgentemente, è vero?" Il Suo account potrebbe essere stato violato. Quando viene compromesso il numero aziendale, il problema non riguarda solo i messaggi: se ne vanno anche la fiducia dei clienti, le conversazioni sugli ordini, i gruppi salvati e la reputazione. Per fortuna, gran parte dei metodi di attacco più diffusi può essere bloccata con alcune buone abitudini. Questo articolo non serve a suggerire come attaccare, ma a proteggersi: spiega come attivare la verifica in due passaggi, come riconoscere la truffa del codice di verifica e in quale ordine agire se l'account viene violato.

Che cos'è la verifica in due passaggi?

Quando registra il Suo numero su un nuovo dispositivo, WhatsApp invia un codice di sei cifre via SMS o chiamata. Questo codice da solo basta: se qualcuno lo ottiene, può trasferire l'account sul proprio telefono. La verifica in due passaggi aggiunge un secondo ostacolo: durante la registrazione viene richiesto anche un PIN di sei cifre scelto da Lei. Anche se l'aggressore intercetta il codice SMS, senza il PIN non può accedere al Suo account.

Questa funzione offre una protezione ma non una garanzia assoluta. Scegliere un PIN facile da indovinare o comunicarlo ad altri elimina la protezione.

Come attivarla?

1. In WhatsApp segua il percorso Impostazioni > Account > Verifica in due passaggi. Nell'app Business il percorso è simile.
2. Tocchi Attiva.
3. Scelga un PIN di sei cifre. Non usi la data di nascita, le ultime cifre del numero di telefono o sequenze come 123456.
4. Confermi il PIN.
5. Aggiunga un indirizzo e-mail di recupero. È l'indirizzo a cui arriverà il link di reimpostazione se dimentica il PIN; deve essere un indirizzo a cui ha accesso.
6. Salvi e verifichi l'e-mail.

WhatsApp di tanto in tanto chiede se ricorda il PIN. Invece di chiudere in fretta questi avvisi, salvi il PIN in un gestore di password. Se dimentica il PIN senza un'e-mail di recupero, la reimpostazione dell'account può richiedere fino a sette giorni.

Come funziona la truffa del codice di verifica?

Il truffatore cerca di registrare il Suo numero su un altro telefono; WhatsApp invia il codice via SMS. Poi cerca di convincerla con un racconto a comunicargli il codice. Per riconoscere il tentativo, basta conoscere i pretesti più comuni.

La regola è semplice: non condivida con nessuno il codice di sei cifre ricevuto da WhatsApp. Nemmeno con una persona che conosce. Se la richiesta arriva da qualcuno che conosce, la contatti con un altro canale per una verifica.

Ho ricevuto un codice che non ho richiesto

Se sul telefono arriva un SMS con il codice di verifica di WhatsApp, qualcuno sta cercando di registrare il Suo numero. Non condivida il codice. Con la verifica in due passaggi attiva, l'aggressore non può proseguire perché non conosce il PIN. Se riceve più codici, consideri questo un segnale d'allarme e controlli il PIN.

Truffa dei dispositivi collegati

I truffatori possono sfruttare anche il meccanismo dei dispositivi collegati, non solo il codice. Possono chiederLe di inquadrare un codice QR o di inserire un codice di abbinamento che le inviano, con il pretesto di una "pagina promozionale" o di una "verifica del pagamento". Se lo fa, il Suo account viene collegato al loro dispositivo e possono vedere le Sue chat.

• Inquadri il codice QR solo in un collegamento avviato da Lei: web.whatsapp.com aperto sul Suo computer o il Suo pannello.
• Non inquadri un codice QR contenuto in un'immagine inviata da altri.
• Non si fidi di chi Le chiede di inserire un "codice di abbinamento" sul telefono.
• Controlli regolarmente l'elenco Dispositivi collegati sul telefono e rimuova le sessioni che non riconosce.

Per l'uso corretto del codice QR consulti la guida al collegamento con codice QR.

Ulteriori precauzioni per l'account business

• Blocco schermo del telefono: sblocchi con impronta, volto o PIN. Su un telefono di lavoro condiviso, aggiunga anche un blocco dell'app WhatsApp.
• SIM: con il Suo operatore imposti una verifica aggiuntiva per le richieste di duplicazione della SIM e di trasferimento del numero. Non lasci il PIN della linea sul valore predefinito.
• Segreteria telefonica: alcuni attacchi deviano verso la segreteria la chiamata con il codice di verifica. Cambi il PIN della segreteria.
• App ufficiale: installi WhatsApp solo dagli store ufficiali. Le versioni modificate comportano sia il rischio di limitazioni sia vulnerabilità di sicurezza.
• Organizzazione del team: annoti per iscritto chi usa l'account. Rimuova l'accesso del collaboratore che lascia il lavoro il giorno stesso e, se necessario, cambi il PIN.
• Collegamenti sospetti: non clicchi sui link di messaggi del tipo "il Suo account sarà chiuso".

Se l'account è stato violato

1. Mantenga la calma e riverifichi il Suo numero dal Suo telefono. Installi WhatsApp, inserisca il numero e il codice ricevuto. In questo modo l'aggressore viene disconnesso dalla sessione.
2. Se viene richiesto il PIN della verifica in due passaggi, lo inserisca. Se l'aggressore ha impostato un PIN, segua le procedure di reimpostazione dell'app; potrebbe essere necessario attendere sette giorni.
3. Attivi subito la verifica in due passaggi oppure cambi il PIN.
4. Rimuova dall'elenco Dispositivi collegati le sessioni che non riconosce.
5. Informi familiari e clienti con un altro canale: "Il mio account è stato violato; non tenga conto di richieste di denaro o di link ricevuti da questo numero."
6. Se necessario, si rivolga al supporto di WhatsApp dall'app o dalla pagina di assistenza e conservi le prove.
7. Cambi anche le password degli altri account presenti sul telefono.

Nessuno può garantire che questi passaggi riportino sempre l'account allo stato precedente, ma agire rapidamente aumenta le probabilità di successo.

Note per chi usa WapFlow

L'account collegato a WapFlow compare come una sessione nell'elenco dei Dispositivi collegati del Suo telefono. Per questo motivo presti attenzione a quanto segue:

• Colleghi l'account solo dal Suo pannello e avviandolo Lei stesso. Per il collegamento non invii a nessuno l'immagine del codice QR o il codice di abbinamento.
• Scelga per l'accesso al pannello una password robusta che non usi altrove.
• Se concede l'accesso al pannello al team, stabilisca chi lavora con quale account. Per la gestione di più account consulti l'articolo sulla gestione multi-account.
• Se nell'elenco dei dispositivi collegati del telefono trova una sessione che non riconosce, la rimuova.

Il blocco dell'account per messaggi non richiesti è un tema diverso; motivi e procedure di ricorso sono spiegati nell'articolo sulle cause di limitazione dell'account.

Una regola semplice per il team

La formazione sulla sicurezza non richiede presentazioni lunghe. Insegnare ai collaboratori una sola regola blocca gran parte degli attacchi. Può fissarla nel gruppo del team:

Il codice di sei cifre di WhatsApp, il codice QR e il codice di abbinamento non si condividono con nessuno. Se qualcuno li chiede, chiunque sia, avvisiamo prima la direzione.

Inoltre, con ogni nuovo collaboratore verifichi insieme che la verifica in due passaggi sia attiva e, quando lascia il lavoro, confermi per iscritto che le sessioni sul telefono di lavoro sono state chiuse. Nelle piccole attività queste mansioni le svolge di solito il titolare; con la crescita del team, assegnare un responsabile evita il "pensavo ci pensasse qualcun altro".

Informi anche i clienti. Aggiungere al messaggio o alla descrizione del profilo la nota "Non Le chiederemo mai codici di verifica o dati di pagamento" aiuta i clienti a riconoscere la truffa e mantiene la fiducia di fronte ai messaggi falsi.

Lista di controllo della sicurezza

Domande frequenti

Ho dimenticato il PIN della verifica in due passaggi, cosa devo fare?

Se ha aggiunto un'e-mail di recupero, può ricevere un link di reimpostazione. Senza e-mail, dopo un certo periodo di attesa è possibile registrarsi senza PIN; i tempi sono stabiliti da WhatsApp.

Devo cambiare il PIN?

Lo cambi quando sospetta che qualcun altro possa conoscerlo o quando un collaboratore lascia il lavoro. Il cambio periodico non è obbligatorio.

Come capisco se qualcuno legge il mio account?

Controlli se nell'elenco dei dispositivi collegati compare una sessione che non riconosce oppure se i messaggi che invia risultano "letti" senza che Lei li abbia visti.

La verifica in due passaggi è separata per l'account Business e per quello normale?

Sì. Ogni app è collegata al proprio numero e l'impostazione va attivata separatamente. Se usa entrambe, attivi la verifica su entrambe e non usi lo stesso PIN per le due.

La verifica in due passaggi impedisce la limitazione dell'account?

No. La protezione della sicurezza e il rispetto delle condizioni d'uso sono aspetti diversi.

Dopo aver rafforzato la sicurezza, per organizzare la comunicazione con i clienti può provare WapFlow: collegando l'account solo dal Suo pannello, potrà gestire da un unico posto rubrica, campagne e risposte automatiche.