Un SMS che segnala un bonifico sospetto, una telefonata dal presunto servizio antifrode o un’e-mail che invita ad aggiornare l’account possono sembrare comunicazioni autentiche. Le truffe Intesa Sanpaolo sfruttano proprio questa fiducia per ottenere credenziali, codici di sicurezza o trasferimenti di denaro. Qui raccolgo i segnali più affidabili per riconoscerle, le tecniche oggi più comuni e le azioni da compiere subito se si è cliccato su un link o autorizzato un’operazione.
Riconoscere l’inganno in pochi secondi può proteggere conto e identità
- Mai comunicare codici, password o dati della carta via telefono, SMS, e-mail o WhatsApp.
- Urgenza e paura sono le leve più usate per spingere a un’azione impulsiva.
- Un mittente apparentemente autentico non è una prova sufficiente, perché può essere falsificato con lo spoofing.
- Dopo un clic sospetto bisogna contattare subito la banca attraverso un canale ufficiale.
- Per le aziende, una verifica indipendente dell’IBAN può evitare danni anche molto elevati.
Perché queste frodi sembrano messaggi della banca
Il truffatore non deve necessariamente entrare nei sistemi della banca. Gli basta convincere il cliente a consegnargli l’accesso o ad approvare personalmente un’operazione. Questa tecnica rientra nella social engineering, cioè la manipolazione psicologica basata su fiducia, urgenza e paura.
Il messaggio può parlare di un pagamento anomalo, di un conto in scadenza, di un rimborso oppure di un accesso da un nuovo dispositivo. Spesso il linguaggio è curato, il logo è copiato bene e il numero del mittente sembra credibile. Il dettaglio decisivo resta però sempre lo stesso: viene chiesto di cliccare, richiamare, installare qualcosa o comunicare un codice.
Un’autenticazione forte non elimina il rischio. Se una persona autorizza un’operazione perché crede di stare bloccando una frode, il sistema può registrare quella conferma come valida. Per questo considero la prudenza davanti a una richiesta inattesa importante quanto la protezione tecnica dell’app.
Phishing, smishing e vishing hanno lo stesso obiettivo
Le modalità cambiano, ma il risultato cercato è quasi sempre il furto di dati o l’autorizzazione di un movimento di denaro. Gli attacchi possono inoltre essere combinati: prima arriva un SMS, poi una telefonata e infine una richiesta di conferma nell’app.
Phishing via e-mail
L’e-mail porta a una pagina che imita l’area clienti e chiede codice titolare, PIN, numero di carta o altri dati. In alternativa propone un allegato o un aggiornamento dell’applicazione. La pagina falsa può essere quasi identica a quella reale, ma l’indirizzo del sito contiene spesso parole aggiunte, errori o domini insoliti.
Smishing tramite SMS
Lo smishing usa messaggi brevi come “conto bloccato”, “operazione da verificare” o “accesso sospetto”. Un elemento insidioso è lo swap alias: l’SMS fraudolento può apparire nella stessa conversazione dei messaggi autentici della banca. Anche in questo caso il mittente visualizzato non basta per stabilire l’autenticità.
Vishing e falso operatore
Il vishing è una frode telefonica. La persona al telefono conosce magari nome, numero parziale della carta o alcune informazioni pubbliche e si presenta come operatore antifrode, tecnico o dipendente della filiale. Può chiedere di trasferire il denaro su un “conto sicuro”, di dettare un codice O-Key o di installare un’app per l’assistenza remota.
La richiesta di spostare i fondi per proteggerli è un segnale quasi inequivocabile di truffa. La banca non ha bisogno che il cliente trasferisca il denaro su un conto indicato dall’interlocutore per mettere in sicurezza il patrimonio.
Falsi investimenti e contatti sui social
Alcune campagne usano il nome della banca per promuovere trading, criptovalute o rendimenti garantiti. Il contatto può arrivare da Facebook, Telegram, WhatsApp o da una pubblicità sponsorizzata. Un guadagno facile, senza rischio e con pressione a versare subito è una promessa da trattare come un campanello d’allarme, non come un’opportunità finanziaria.
I segnali che devono far interrompere la conversazione
Non mi concentro soltanto sugli errori grammaticali. Le frodi più efficaci possono essere scritte in un italiano corretto e usare elementi grafici professionali. Preferisco verificare la dinamica della richiesta, perché è molto più difficile da falsificare.
| Segnale | Cosa significa | Come reagire |
|---|---|---|
| Richiesta urgente di un codice | Il codice potrebbe autorizzare un accesso o un pagamento | Non comunicarlo e chiudere il contatto |
| Link per sbloccare il conto | Può portare a una pagina contraffatta | Non aprirlo e accedere solo dall’app ufficiale |
| Numero che sembra quello della banca | Il numero può essere falsificato con spoofing | Richiamare usando un canale scelto autonomamente |
| Richiesta di installare un’app | Potrebbe consentire il controllo remoto del dispositivo | Non installare file o applicazioni ricevuti via link |
| IBAN modificato all’ultimo momento | Può indicare una frode nei pagamenti | Verificare il destinatario con un contatto già noto |
Il metodo più sicuro è interrompere l’interazione e aprire autonomamente l’app o il sito ufficiale digitando l’indirizzo nel browser. Non bisogna usare il link ricevuto nel messaggio e non è prudente richiamare il numero indicato nella comunicazione.
Un altro errore frequente consiste nel pensare che una notifica push equivalga a un ordine della banca. La notifica conferma soltanto che è stata generata una richiesta. Prima di approvare bisogna leggere con attenzione importo, beneficiario e tipo di operazione.
Cosa fare dopo un clic o un’operazione sospetta
La velocità conta, ma il panico porta spesso a nuovi errori. Se hai inserito credenziali, dati della carta o codici, contatta immediatamente la banca tramite l’app ufficiale, la filiale o il numero reperito su un documento autentico o sul retro della carta.
- Chiedi il blocco degli accessi, della carta o delle funzioni dispositive coinvolte.
- Comunica con precisione l’orario del messaggio, della chiamata e dell’eventuale operazione.
- Richiedi il controllo dei movimenti e il disconoscimento delle operazioni che non hai autorizzato consapevolmente.
- Conserva SMS, e-mail, numeri di telefono, schermate e ricevute senza modificarli.
- Presenta denuncia alle autorità competenti e trasmetti alla banca la documentazione richiesta.
Se hai installato un’app di controllo remoto, disconnetti il dispositivo dalla rete e chiedi assistenza tecnica qualificata. Cambiare la password dal dispositivo potenzialmente compromesso potrebbe non bastare. È meglio usare un altro dispositivo sicuro e controllare anche l’account e-mail collegato, perché una casella violata può facilitare ulteriori frodi.
Il rimborso non è automatico e ogni caso viene valutato sulla base delle circostanze, delle operazioni e dei comportamenti tenuti dal cliente. La segnalazione immediata aiuta comunque a limitare il danno e documentare la contestazione.
Come ridurre il rischio per privati e aziende
Per un conto personale, le misure più utili sono semplici. Mantieni aggiornati sistema operativo e app, usa un blocco schermo robusto, evita reti Wi-Fi pubbliche per operazioni sensibili e attiva le notifiche dei movimenti. Impostare limiti di spesa coerenti con l’uso reale riduce l’esposizione, anche se non sostituisce l’attenzione. Per le carte può essere utile gestire i limiti e le aree geografiche di utilizzo quando il servizio è disponibile. Il 3D Secure aggiunge una conferma ai pagamenti online, ma non protegge da chi convince il titolare ad approvare una transazione fraudolenta.
Leggi anche: Incident response - come gestire un attacco informatico
La regola dei due canali per i pagamenti aziendali
Nelle imprese, la frode può partire da una casella e-mail compromessa. Il criminale osserva una conversazione reale e inserisce un nuovo IBAN fingendo che sia stato aggiornato dal fornitore. Per questo una modifica delle coordinate bancarie va verificata con una telefonata a un numero già presente negli archivi, non con quello contenuto nell’e-mail.
Una procedura efficace prevede anche la separazione dei ruoli, soglie di autorizzazione e un secondo controllo per bonifici urgenti o insoliti. Sono passaggi poco comodi, ma un minuto di verifica può evitare una perdita molto superiore al costo operativo della doppia approvazione.
Non condividere fotografie della carta, codici OTP o documenti d’identità nelle chat. Anche quando il contatto sembra provenire da un dipendente, la banca non chiede password e codici di sicurezza per e-mail, SMS, WhatsApp o telefono.
Le convinzioni sbagliate che aiutano i truffatori
“Il numero è quello giusto, quindi posso fidarmi” è una conclusione pericolosa. Lo spoofing può modificare il numero visualizzato e rendere la chiamata apparentemente autentica. La verifica deve partire da un canale aperto autonomamente dal cliente.
“Ho approvato la notifica, quindi il pagamento era sicuro” è un altro equivoco. La conferma indica che l’operazione è stata autorizzata dal dispositivo, non che il beneficiario sia affidabile. Prima di confermare bisogna fermarsi e controllare i dettagli senza seguire le istruzioni del presunto operatore.
Infine, non bisogna vergognarsi di aver risposto. I truffatori costruiscono scenari credibili e spesso usano informazioni raccolte online. Segnalare subito l’accaduto protegge il proprio conto e può aiutare a bloccare la stessa campagna prima che colpisca altri clienti.
Una piccola routine rende più difficile la frode
La difesa più concreta consiste nel trasformare la prudenza in una procedura automatica. Davanti a un messaggio inatteso, non clicco, non richiamo e non autorizzo: interrompo il contatto, apro il canale ufficiale e verifico l’operazione da lì.
Se la richiesta riguarda un bonifico, controllo sempre il beneficiario; se riguarda l’accesso, non consegno mai credenziali; se parla di un investimento, verifico l’intermediario e diffido da rendimenti garantiti. Questa sequenza richiede pochi secondi, ma riduce drasticamente la possibilità che urgenza e pressione decidano al posto nostro.
