La truffa WhatsApp “vota la bambina” comincia con un messaggio di un amico, di una cugina, di una collega: c’è la foto di una bambina, c’è un link, c’è la richiesta di darle un voto in un concorso di danza. Sembra un favore da dieci secondi. In realtà è il primo passo per rubarti l’account WhatsApp e usarlo per chiedere soldi a tutta la tua rubrica. La Polizia Postale ha pubblicato un nuovo avviso il 10 ottobre 2026 parlando di “una nuova ondata” di furti di account, e i giornali la stanno raccontando come la “truffa della ballerina”.
Riconoscerla è facile, perché il trucco è sempre lo stesso. Qui ci concentriamo soprattutto sul dopo: come riprendersi l’account se il codice l’hai già dato, cosa fare se il truffatore ha messo un PIN che non conosci, perché non conviene segnalare subito l’account a WhatsApp e cosa può fare un amico che ha già mandato i soldi. Abbiamo letto l’avviso della Polizia e le pagine del Centro assistenza di WhatsApp: quello che trovi qui viene da lì.
Il messaggio arriva da un contatto noto, già violato, e chiede di votare una bambina in un concorso. Il sito chiede il tuo numero e poi il codice a 6 cifre che WhatsApp ti manda per SMS: con quel codice il truffatore registra il tuo account sul suo telefono e scrive ai tuoi contatti chiedendo denaro. Per riprendertelo apri WhatsApp, tocca Accedi di nuovo e inserisci il nuovo codice a 6 cifre: chi usa l’account viene disconnesso. Se ti chiede un PIN che non conosci, WhatsApp indica di aspettare 7 giorni e riprovare. Non segnalare l’account prima di averlo recuperato: WhatsApp avverte che potrebbe sospenderlo.
Indice
- Come funziona la truffa del falso concorso
- Come riconoscerla prima di cliccare
- Perché tutto ruota intorno al codice a 6 cifre
- Hai dato il codice: come riprendersi l’account
- Se il truffatore ha attivato la verifica in due passaggi
- Cosa può vedere e fare il truffatore
- Come avvisare i contatti (senza usare WhatsApp)
- Dopo il recupero: come blindare l’account
- Se un amico ha già mandato i soldi
- Segnalazione e denuncia alla Polizia Postale
- Domande frequenti
Come funziona la truffa del falso concorso
Lo schema descritto dalla Polizia Postale nell’avviso pubblicato sul Commissariato di P.S. Online è questo. Ti arriva un messaggio su WhatsApp, apparentemente da qualcuno che conosci, che ti invita a votare una bambina impegnata in un presunto concorso di danza “o in un’altra competizione online”. Il messaggio contiene una fotografia e un link. Il link porta a un sito che ti chiede di inserire il tuo numero di telefono e, subito dopo, di comunicare un codice che ricevi sul telefono.
Quel codice non serve a votare niente. È il codice con cui WhatsApp verifica il tuo numero quando qualcuno cerca di registrarlo su un nuovo dispositivo. Nel momento in cui lo scrivi nel sito, i criminali completano la registrazione del tuo account sul loro telefono e il tuo WhatsApp passa a loro. Da lì, scrive la Polizia, usano la tua identità per contattare familiari e amici “chiedendo denaro facendo leva su situazioni di apparente urgenza”. Nel frattempo tu sei rimasto fuori dall’account e non riesci nemmeno ad avvisare chi sta ricevendo quei messaggi.
Il dettaglio più insidioso è la catena. Il messaggio che ricevi tu arriva da un account già rubato, cioè da una persona vera che è caduta nella stessa trappola qualche ora prima. Per questo il mittente è affidabile, la foto profilo è quella giusta e magari ti scrive pure in una chat dove vi sentite spesso. Non è la prima volta che questo copione gira: secondo diverse testate cambia il testo (la ballerina, la figlia di un’amica, una nipote) ma il meccanismo resta identico.
Come riconoscerla prima di cliccare
La regola della Polizia Postale è secca: “non è sufficiente che un messaggio provenga da un contatto conosciuto per considerarlo sicuro”. Se un messaggio ti chiede di votare qualcuno, di partecipare a un concorso o di fare una “verifica” passando da un link esterno, il sospetto deve scattare anche se a scriverti è tua sorella. In più, un vero concorso di danza per bambini non ha alcun bisogno del tuo numero di cellulare, e men che meno di un codice che arriva via SMS.
Il segnale definitivo è proprio quello: un sito che ti chiede un codice ricevuto sul telefono. WhatsApp, nel suo Centro assistenza, lo dice senza giri di parole: non condividere mai il codice di registrazione con nessuno, “nemmeno con amici o familiari”. Lo stesso vale per i codici di qualsiasi altro servizio. Se ti viene il dubbio, la cosa più semplice è chiamare la persona che ti ha scritto, con una telefonata normale, e chiederle se ha davvero mandato quel link.
C’è poi un indizio che arriva dal tuo stesso telefono. Se ricevi un SMS di WhatsApp con un codice di registrazione che non hai chiesto, vuol dire che qualcuno sta provando a registrare il tuo numero altrove. WhatsApp spiega che ti manda una notifica quando qualcuno cerca di registrare un account con il tuo numero: in quel momento il codice va solo ignorato, non inoltrato a nessuno.
Perché tutto ruota intorno al codice a 6 cifre
Su questo sito abbiamo già raccontato un’altra truffa che porta via l’account, il GhostPairing, e conviene non confonderle perché si risolvono in modo diverso. Il GhostPairing ti fa collegare un dispositivo in più al tuo account (come succede con WhatsApp Web): tu resti dentro, il truffatore legge in parallelo. Il falso concorso invece usa il codice di registrazione per spostare l’intero account su un altro telefono, e tu vieni buttato fuori.
| Falso concorso (“vota la bambina”) | GhostPairing | |
|---|---|---|
| Cosa ti chiedono | Numero di telefono e codice a 6 cifre ricevuto via SMS | Un codice di associazione o la scansione di un QR per “verificare” |
| Cosa succede | L’account viene registrato sul telefono del truffatore | Il truffatore diventa un dispositivo collegato al tuo account |
| Tu cosa noti | WhatsApp si disconnette o ti avvisa che il numero è stato registrato su un nuovo dispositivo | Spesso niente: l’app continua a funzionare |
| Come si chiude | Registrando di nuovo il numero con un nuovo codice a 6 cifre | Impostazioni > Dispositivi collegati > Disconnetti |
C’è un aspetto controintuitivo da tenere a mente, ed è scritto nero su bianco da WhatsApp: cambiare la password non butta fuori nessuno. Password, verifica in due passaggi e le altre protezioni servono a difendere un account a cui hai ancora accesso. Se un’altra persona ne ha preso il controllo, “l’unico modo per rimuoverla è registrare nuovamente il tuo account con il codice a 6 cifre inviato al tuo numero di telefono”.
Hai dato il codice: come riprendersi l’account
La buona notizia è che il numero di telefono resta tuo. La SIM ce l’hai tu, quindi il codice di registrazione arriva a te, e con quel codice puoi riprenderti l’account. La procedura che WhatsApp descrive nella pagina “Come recuperare un account compromesso” è la stessa su Android e su iPhone, e va fatta il prima possibile:
- Apri WhatsApp sul tuo telefono. Se vedi l’avviso “Il tuo numero di telefono è stato registrato su WhatsApp su un nuovo dispositivo”, tocca Accedi di nuovo e poi Continua.
- Se te lo chiede, inserisci il numero in formato internazionale completo (per l’Italia con il prefisso +39) e tocca Avanti, poi OK.
- Inserisci il codice a 6 cifre che ricevi per SMS o con una chiamata. Questa volta lo scrivi tu, dentro l’app, e non lo dai a nessuno.
- Se compare la richiesta del PIN o della password della verifica in due passaggi e non la conosci, vai alla sezione successiva.
- A recupero fatto, controlla i dispositivi collegati e attiva le protezioni descritte più sotto.
Quando registri di nuovo l’account con il codice a 6 cifre, spiega WhatsApp, tutti i dispositivi che avevano effettuato l’accesso vengono disconnessi automaticamente. Il truffatore perde l’account in quel momento. Se hai perso anche la SIM o il telefono, la strada passa prima dall’operatore: WhatsApp precisa che non è possibile recuperare un account senza una SIM con lo stesso numero, quindi serve un duplicato della scheda (abbiamo raccontato i passaggi per bloccare la SIM nella guida su cosa fare con un iPhone rubato o smarrito).
Una cosa da non fare, almeno all’inizio, è segnalare l’account a WhatsApp come compromesso. Sembra la mossa più ovvia e invece il Centro assistenza avverte che, se segnali l’account che stai cercando di recuperare, WhatsApp potrebbe sospenderlo per violazione dei Termini di servizio, e potresti perdere l’accesso all’account o ai dati. Il consiglio ufficiale è provare prima a recuperarlo. Sapere chi è entrato, quando e da dove, invece, è inutile chiederlo: WhatsApp scrive che non può fornire queste informazioni.
Se il truffatore ha attivato la verifica in due passaggi
Il caso peggiore è questo: inserisci il codice, l’app ti chiede il PIN della verifica in due passaggi e tu quel PIN non l’hai mai impostato. Vuol dire che l’ha messo il truffatore, proprio per complicarti il recupero. WhatsApp lo prevede esplicitamente e indica una sola strada: “Se non hai il PIN, aspetta 7 giorni e riprova”.
Sette giorni sono tanti, ma c’è un passaggio della stessa pagina che spesso sfugge e che cambia parecchio le cose. Che tu conosca o meno il PIN, chiunque stia usando il tuo account viene disconnesso automaticamente appena inserisci il codice a 6 cifre ricevuto via SMS. Quindi anche se non puoi rientrare subito, il truffatore viene buttato fuori e non può continuare a scrivere ai tuoi contatti a tuo nome. Per rientrare lui avrebbe bisogno di un nuovo codice, che arriva solo sul tuo telefono: ecco perché nei giorni di attesa nessun codice va passato a nessuno, per nessun motivo.
Da sapere anche che WhatsApp sta trasformando il vecchio PIN a 6 cifre della verifica in due passaggi in una vera password (lo segnala la sua pagina di gestione della funzione), quindi la schermata potrebbe chiederti una “password” invece di un “PIN”. Nella pagina dedicata a chi l’ha dimenticata, WhatsApp descrive anche l’opzione Verifica con un’altra modalità (e-mail, SMS o chiamata vocale) e, se nemmeno così riesci a completare la verifica, la reimpostazione dell’account, che “sarà disponibile dopo alcuni giorni” e non si può annullare. Attenzione alle conseguenze: se dall’ultimo accesso sono passati meno di 30 giorni, la reimpostazione cancella i messaggi ricevuti da allora; oltre i 30 giorni cancella messaggi e profilo.
| Situazione | Cosa fare secondo WhatsApp |
|---|---|
| L’app non chiede PIN o password | Dopo il codice a 6 cifre sei di nuovo dentro e gli altri dispositivi sono disconnessi |
| Chiede il PIN e lo conosci (l’avevi impostato tu) | Lo inserisci e rientri; il truffatore è già stato disconnesso |
| Chiede un PIN che non conosci | Il truffatore viene comunque disconnesso; aspetti 7 giorni e riprovi |
| Hai perso anche la SIM | Blocchi la SIM e chiedi all’operatore una nuova scheda con lo stesso numero, poi registri di nuovo l’account |
Cosa può vedere e fare il truffatore
Qui WhatsApp offre una rassicurazione concreta. I contenuti sono crittografati end-to-end e i messaggi restano memorizzati sul tuo dispositivo, per cui chi registra il tuo account su un nuovo telefono “non può leggere le tue conversazioni precedenti”. Le vecchie chat, le foto che ti sei scambiato, i vocali di mesi fa non finiscono nelle sue mani.
Quello che il truffatore può fare, invece, è presentarsi come te. WhatsApp avverte che chi si impossessa dell’account “potrebbe assumere la tua identità nelle chat e nei gruppi”, e infatti è lì che parte la richiesta di soldi, spesso con la scusa di un’urgenza, di un pagamento bloccato o di un telefono rotto. E siccome l’account è registrato sul suo telefono, i messaggi che i tuoi contatti ti scrivono in quelle ore arrivano a lui: è così che riesce a rispondere in modo credibile a chi chiede spiegazioni.
Come avvisare i contatti (senza usare WhatsApp)
La Polizia Postale insiste su questo punto: in caso di furto dell’account vanno avvisati “quanto prima familiari e conoscenti attraverso altri canali”, invitandoli a non rispondere a richieste di denaro o a messaggi sospetti che arrivano dal tuo numero. Lo stesso consiglio compare nel Centro assistenza di WhatsApp. “Altri canali” vuol dire telefonate, SMS, e-mail, i tuoi profili social, oppure il WhatsApp di un familiare che può scrivere nei gruppi in cui siete entrambi.
Non serve un comunicato. Basta un messaggio corto e chiaro, da mandare prima di tutto alle persone più anziane della rubrica e ai gruppi di famiglia, che sono i bersagli preferiti delle richieste di soldi. Per esempio: “Mi hanno rubato l’account WhatsApp. Se ricevete messaggi da me che chiedono soldi, codici o di votare qualcuno, non rispondete e non cliccate: non sono io. Vi avviso io quando l’ho recuperato”. Quando sei di nuovo dentro, conviene ripeterlo anche da WhatsApp, nei gruppi in cui il truffatore potrebbe aver scritto.
Se invece il messaggio “vota la bambina” lo hai ricevuto senza cascarci, il favore migliore che puoi fare è avvisare chi te l’ha mandato con una telefonata: con ogni probabilità non sa ancora di aver perso l’account, e i suoi contatti stanno ricevendo lo stesso link.
Dopo il recupero: come blindare l’account
Una volta rientrato, la prima cosa da fare è attivare la verifica in due passaggi, il consiglio che ritorna sia nell’avviso della Polizia sia nelle pagine di WhatsApp. Con questa funzione, quando qualcuno prova a registrare il tuo numero su un altro telefono, oltre al codice SMS serve anche una password che conosci solo tu. Anche se un domani ti scappasse un codice, il truffatore si fermerebbe lì. Su Android e iPhone il percorso cambia di poco:
- Su Android tocca l’icona del menu (i tre puntini), poi Impostazioni > Account > Verifica in due passaggi; su iPhone tocca Tu > Account > Verifica in due passaggi.
- Seleziona Attiva la verifica in due passaggi, crea una password sicura e confermala.
- Indica un indirizzo e-mail a cui hai accesso e tocca Avanti: è quello che ti permette di recuperare l’accesso se dimentichi la password.
- Scegli se autorizzare il dispositivo che stai usando.
Vale la pena aggiungere anche l’indirizzo e-mail all’account (Impostazioni > Account > Indirizzo e-mail): WhatsApp spiega che con un’e-mail verificata puoi recuperare l’account anche senza una connessione per SMS o chiamate. Chi vuole fare un passo in più può impostare una passkey, che lega l’accesso all’impronta, al volto o al blocco schermo del telefono; ne abbiamo parlato in generale nella guida alle passkey su Google, Apple e Microsoft.
Ultimo controllo, da fare subito e poi ogni tanto: Impostazioni > Dispositivi collegati. Se compare un browser o un computer che non riconosci, toccalo e scegli Disconnetti. Dopo un furto di account è il modo per essere sicuri che non sia rimasta aperta una porta secondaria.
Se un amico ha già mandato i soldi
Succede, e più spesso di quanto si pensi, perché la richiesta arriva da un numero conosciuto e con un tono familiare. Se un tuo contatto ha già fatto un bonifico al truffatore, il tempo è l’unica variabile su cui si può ancora agire. Con un bonifico istantaneo il regolamento europeo sui pagamenti (Regolamento UE 2024/886) prevede che il denaro sia messo a disposizione del beneficiario entro dieci secondi: quando ci si accorge della truffa, i soldi sono già arrivati. Per questo la cosa da fare è chiamare subito la propria banca, spiegare che si tratta di una truffa e chiedere di attivarsi per richiamare i fondi, e poi sporgere denuncia.
Sul rimborso conviene essere onesti: se il bonifico l’ha disposto la persona stessa, anche se ingannata, per la legge è un’operazione autorizzata, e la banca risponde solo se ha mancato qualche obbligo. È la distinzione che abbiamo approfondito nell’articolo sulla truffa del finto poliziotto e su chi rimborsa il bonifico, con i passaggi per il reclamo e l’Arbitro Bancario Finanziario.
C’è però un campanello che può fermare il pagamento prima che parta. Dal 9 ottobre 2025 le banche dell’area euro devono offrire la verifica del beneficiario: prima di autorizzare il bonifico, l’app controlla se il nome inserito corrisponde all’intestatario dell’IBAN e, se non corrisponde, avvisa che i soldi potrebbero finire su un conto non detenuto dalla persona indicata. Se “tuo figlio” ti chiede un bonifico urgente su un IBAN che risulta intestato a uno sconosciuto, quell’avviso è la prova che qualcosa non torna. In ogni caso, una telefonata alla persona che chiede i soldi resta il controllo più rapido. Per un quadro più ampio delle tecniche usate contro i conti correnti c’è la nostra guida alle truffe bancarie tra vishing e quishing.
Segnalazione e denuncia alla Polizia Postale
L’avviso della Polizia Postale chiude con l’invito a “segnalare l’accaduto attraverso i canali ufficiali” e a seguire le procedure per il recupero dell’account. I canali sono due e non vanno confusi. Il modulo Segnala online del Commissariato di P.S. Online serve a portare all’attenzione della Polizia un fatto presumibilmente illecito, per esempio il link del falso concorso che hai ricevuto. Non è una denuncia e non sostituisce il pronto intervento.
Per la denuncia vera e propria, che serve soprattutto se ci sono stati soldi persi, la strada principale resta l’ufficio di Polizia. Il portale Denunce online della Polizia di Stato, accessibile con SPID o CIE, permette una pre-denuncia per reati come truffa, frode informatica e accesso abusivo a sistema informatico, da formalizzare entro 48 ore in un ufficio di Polizia su appuntamento; secondo la pagina del Commissariato, però, è attivo solo in fase sperimentale in alcune questure e uffici del Lazio. Quando vai a denunciare porta gli screenshot del messaggio ricevuto, il link, l’orario in cui hai perso l’account e, se qualcuno ha pagato, le ricevute dei bonifici.
Domande frequenti
Ho aperto il link ma non ho inserito il codice: il mio account è a rischio?
Secondo l’avviso della Polizia Postale, a consentire il furto è la combinazione di numero di telefono e codice ricevuto sul dispositivo. Se non hai scritto il codice nel sito, il truffatore non ha potuto completare la registrazione. Se nelle ore successive ricevi SMS con codici WhatsApp che non hai chiesto, ignorali, e approfitta dell’occasione per attivare la verifica in due passaggi.
Devo segnalare l’account a WhatsApp?
Non prima di averlo recuperato. Il Centro assistenza avverte che, se segnali l’account compromesso che stai cercando di recuperare, potrebbe essere sospeso per violazione dei Termini di servizio, con il rischio di perdere account e dati. Prima recupera con il codice a 6 cifre, poi eventualmente blocca e segnala i contatti sospetti.
È la stessa cosa della truffa del codice per “verificare” qualcosa?
È la stessa famiglia. Il pretesto cambia (un voto, un premio, un pacco, una verifica dell’account), ma ogni volta l’obiettivo è farti consegnare un codice che arriva sul tuo telefono. Le regole generali per riconoscere questi messaggi sono nelle nostre guide al phishing e allo smishing via SMS.
