GhostPairing è il nome dato dagli esperti di sicurezza a una truffa che sta circolando su WhatsApp in Italia nel 2026: non serve rubare la password, non serve intercettare SMS, non serve clonare la SIM. Basta convincere la vittima a collegare da sola un dispositivo estraneo al proprio account, e il truffatore ottiene un accesso completo, invisibile e permanente, senza che l’app segnali nulla di anomalo.
Il GhostPairing sfrutta un messaggio da un contatto fidato (spesso già compromesso) con un link che sembra portare a un contenuto innocuo, ma in realtà attiva l’associazione di un dispositivo sconosciuto al tuo WhatsApp. Ci si difende controllando periodicamente i “Dispositivi collegati” nelle impostazioni e non condividendo mai codici di verifica al di fuori dell’app ufficiale.
Indice
- Cos’è il GhostPairing e perché è più insidioso delle solite truffe
- Come funziona nel dettaglio, passo per passo
- I segnali a cui prestare attenzione
- Come proteggersi davvero
- Cosa fare se sospetti di essere già stato colpito
- Le varianti già segnalate in Italia
- Perché questa truffa funziona così bene
- Domande frequenti
Cos’è il GhostPairing e perché è più insidioso delle solite truffe
Le truffe su WhatsApp degli ultimi anni si sono quasi sempre basate su un ingrediente comune: il codice di verifica a 6 cifre che l’app invia via SMS quando qualcuno prova ad attivare il tuo numero su un nuovo telefono. Il truffatore chiedeva quel codice fingendosi un amico che l’aveva ricevuto “per sbaglio”, e con quello si impossessava dell’account. È un meccanismo ormai abbastanza conosciuto, al punto che molte persone hanno imparato a diffidarne.
Il GhostPairing aggira proprio questa diffidenza, perché non passa dal codice SMS. Sfrutta invece la funzione “dispositivi collegati” di WhatsApp, quella pensata per usare l’app anche da computer o tablet restando collegati allo smartphone principale. Normalmente per collegare un nuovo dispositivo bisogna scansionare un QR code con la fotocamera dello smartphone: nel GhostPairing, la vittima stessa completa questo passaggio senza accorgersene, convinta di fare tutt’altro, e il dispositivo del truffatore resta agganciato all’account come un “fantasma” invisibile ma pienamente funzionante, capace di leggere messaggi e conversazioni finché non viene scoperto e rimosso manualmente.
Come funziona nel dettaglio, passo per passo
L’attacco parte quasi sempre da un messaggio che sembra arrivare da un contatto già presente in rubrica, quindi da una fonte considerata affidabile — spesso perché quel contatto ha già lui stesso l’account compromesso, e il messaggio parte automaticamente a sua insaputa verso i suoi conoscenti. Il testo tipico è qualcosa come “guarda che foto ho trovato di te” oppure un messaggio di apparente curiosità, accompagnato da un link.
Cliccando il link, la vittima atterra su una pagina costruita per imitare graficamente un’interfaccia familiare (una schermata che ricorda Facebook o un servizio di verifica), che chiede di completare una presunta “verifica di identità” per poter vedere il contenuto promesso. In realtà quella procedura, dietro le quinte, sta avviando la richiesta di associazione di un nuovo dispositivo a WhatsApp: il codice numerico che alla vittima viene chiesto di inserire — convinta di autenticarsi su quel sito — è lo stesso codice che WhatsApp mostra quando si sta per autorizzare un dispositivo esterno. Inserendolo, la vittima autorizza da sola, con le proprie mani, l’accesso del truffatore.
Il risultato è un dispositivo “fantasma” collegato all’account: non serve conoscere la password (WhatsApp non ne ha una tradizionale), non serve intercettare SMS, non serve nemmeno che la vittima si accorga di aver fatto qualcosa di sbagliato, perché l’intera pagina truffa è pensata per sembrare un normale controllo di sicurezza.
I segnali a cui prestare attenzione
Riconoscere il tentativo prima che vada a segno è più semplice di quanto sembri, se si sa cosa guardare. Il primo campanello d’allarme è proprio la combinazione tra un messaggio inaspettato da un contatto che normalmente non condivide questo tipo di contenuti e un link esterno che promette di mostrare foto, video o segnalazioni che richiedono un passaggio di “verifica”. Nessun servizio legittimo chiede di inserire un codice numerico di WhatsApp su un sito esterno per sbloccare un contenuto: è di per sé un’anomalia sufficiente a far scattare il sospetto.
Un secondo segnale, più tecnico ma facile da controllare in pochi secondi, riguarda proprio la sezione dispositivi collegati dell’app: se compare un dispositivo o un browser che non si riconosce, con una sessione attiva che non si ricorda di aver avviato, è quasi certamente un accesso non autorizzato in corso.
Come proteggersi davvero
La prima regola, quella che da sola blocca la quasi totalità di questi tentativi, è semplice da enunciare ma va ricordata sempre: nessun codice di verifica o di associazione di WhatsApp va mai condiviso o inserito fuori dall’app ufficiale, qualunque sia la scusa usata per chiederlo, anche se il messaggio arriva da un amico o un familiare (perché potrebbe essere lui stesso vittima inconsapevole, con l’account già compromesso).
La seconda misura pratica è un controllo periodico, da fare idealmente una volta al mese: aprire WhatsApp, andare su Impostazioni, poi Dispositivi collegati, e verificare che compaiano solo apparecchi realmente in uso. Qualsiasi voce sconosciuta va disconnessa immediatamente toccandola e selezionando “Disconnetti”. La terza misura, quella con l’effetto protettivo più duraturo, è attivare la verifica in due passaggi dalle impostazioni di WhatsApp: aggiunge un PIN numerico personale che va inserito ogni volta che l’app richiede una nuova verifica del numero, rendendo molto più complicato per chi non lo conosce completare un’associazione fraudolenta anche se in qualche modo è riuscito a ottenere il codice di sistema.
Cosa fare se sospetti di essere già stato colpito
Se nella sezione dispositivi collegati compare un accesso sospetto, il primo passo è disconnetterlo subito da lì. Il secondo passo, altrettanto importante, è avvisare i propri contatti più stretti che l’account potrebbe aver inviato messaggi non autentici nelle ore o nei giorni precedenti, così che nessuno cada a sua volta nella stessa trappola cliccando un link che sembra arrivare proprio da te. Vale anche la pena cambiare le impostazioni di privacy temporaneamente più restrittive e attivare, se non era già attiva, la verifica in due passaggi per evitare che il tentativo si ripeta a breve.
Le varianti già segnalate in Italia
Il Centro tutela consumatori utenti (Ctcu) e diverse testate che seguono la cronaca delle truffe digitali hanno documentato nel 2026 più varianti dello stesso schema di base, con l’esca iniziale che cambia ma il meccanismo di fondo — far completare alla vittima l’associazione del dispositivo — che resta identico. Una versione molto diffusa è quella soprannominata “truffa della ballerina”, in cui il link promette un video imbarazzante o compromettente della persona stessa, fatto apposta per spingere a cliccare d’istinto per curiosità o preoccupazione, prima ancora di ragionare sulla legittimità del messaggio. Un’altra variante segnalata dalla Polizia Postale sfrutta invece la finta impersonificazione di un ente o di un’istituzione, con un messaggio su WhatsApp seguito a distanza di minuti da una telefonata che sembra ufficiale, pensata per rassicurare la vittima e farle abbassare la guardia proprio nel momento in cui viene chiesto di completare la “verifica”.
Il denominatore comune di tutte queste varianti resta lo stesso: un elemento di urgenza o curiosità unito a una richiesta di inserire un codice fuori dal contesto ufficiale dell’app. Riconoscere questo schema di fondo, più che memorizzare ogni singola variante con il suo nome, è la difesa più solida nel tempo, perché i truffatori cambiano regolarmente il pretesto ma raramente il meccanismo tecnico sottostante.
Perché questa truffa funziona così bene
Il punto di forza del GhostPairing, dal punto di vista di chi lo mette in atto, è che sposta il momento critico dell’inganno lontano dall’app di messaggistica: la vittima non pensa di stare autorizzando nulla su WhatsApp, crede di essere su un sito esterno a fare una verifica banale. Questo abbassa drasticamente il livello di attenzione rispetto a una richiesta esplicita “dammi il codice che hai ricevuto su WhatsApp”, che ormai molte persone riconoscono come sospetta. È lo stesso principio dietro altre truffe recenti collegate ai social, incluse quelle che partono da profili falsi su piattaforme come Facebook, un problema abbastanza diffuso che Meta ha iniziato ad affrontare di recente anche con strumenti come il nuovo badge Facebook Verified pensato proprio per distinguere le persone reali dagli account fake usati per questo tipo di raggiri.
Domande frequenti
Il GhostPairing funziona anche se ho l’ultima versione di WhatsApp aggiornata?
Sì, perché non sfrutta una falla tecnica dell’app ma un errore umano: è la vittima stessa, ingannata dalla finta pagina di verifica, ad autorizzare il dispositivo estraneo. Aggiornare l’app non basta da solo a proteggersi.
Come faccio a sapere se un contatto che mi scrive è stato davvero compromesso?
Se il messaggio è insolito nel tono o nel contenuto rispetto a come quella persona scrive di solito, o propone un link con una richiesta di “verifica” per vedere qualcosa, conviene contattarla con un’altra modalità (una telefonata, un messaggio su un altro canale) prima di cliccare qualsiasi link.
Basta la verifica in due passaggi per essere protetti al 100%?
Riduce enormemente il rischio ma la vera difesa resta comportamentale: non condividere mai codici WhatsApp su siti esterni e controllare periodicamente i dispositivi collegati restano le misure più efficaci in assoluto.
Posso denunciare questo tipo di truffa?
Sì, è possibile segnalarla alla Polizia Postale tramite il portale ufficiale del Commissariato di P.S. Online, allegando screenshot del messaggio e del link ricevuto.
Il GhostPairing riguarda solo WhatsApp o anche altre app di messaggistica?
Il meccanismo, basato sull’associazione di dispositivi tramite QR code o codice numerico, è specifico del modo in cui WhatsApp gestisce i dispositivi collegati. Altre app con sistemi di autenticazione diversi non sono esposte esattamente allo stesso schema, ma restano comunque vulnerabili a varianti simili di ingegneria sociale.
Per approfondire come riconoscere altri tentativi simili, vedi anche la nostra guida su come funziona il falso rimborso PostePay su WhatsApp e la guida generale su come riconoscere il phishing.
