Prima l'SMS, poi la telefonata: e a chiamarci è il numero vero della banca

Di phishing bancario su questo sito scriviamo dal 2012, e per anni lo schema è rimasto sostanzialmente lo stesso: arrivava una mail, portava a un sito clone, e il danno si consumava lì, nel momento in cui digitavamo le credenziali in un modulo che non apparteneva alla nostra banca. Quella truffa esiste ancora, ovviamente, ma non è più quella che svuota i conti correnti; la frode che oggi funziona meglio di tutte ha una caratteristica che la rende particolarmente difficile da fermare, perché non ruba nulla di nascosto — ci convince a fare noi, con le nostre mani e con tutte le autorizzazioni in regola, l'operazione che ci rovina.

La Banca d'Italia, nel Rapporto sulle operazioni di pagamento fraudolente relativo al secondo semestre del 2025, indica che sui bonifici la cosiddetta «manipolazione del pagatore» è ormai la tipologia di frode più diffusa, ed è anche quella contro cui i controlli di sicurezza si dimostrano meno efficaci. Il motivo è dunque intuitivo quanto scomodo: tutti i presidi costruiti negli ultimi anni — l'autenticazione a due fattori, la notifica push, il codice usa e getta — servono a verificare che a disporre l'operazione sia davvero il titolare del conto. Se il titolare la dispone davvero, perché qualcuno lo ha persuaso a farlo, quei presidi funzionano perfettamente e non servono a niente.

Come si svolge, passo per passo

Comincia, in genere, con un SMS, e questo è il punto in cui la truffa somiglia ancora a quelle che abbiamo documentato parlando degli attacchi coordinati ai clienti di Intesa San Paolo. Il messaggio annuncia che è stato richiesto un pagamento di una certa cifra e invita, se non lo riconosciamo, a chiamare un numero. Il dettaglio che conta, peraltro, è che quell'SMS si infila nella stessa conversazione in cui il telefono conserva i messaggi veri della banca, perché il mittente alfanumerico è falsificabile; e quindi lo leggiamo in mezzo agli avvisi autentici, il che gli conferisce una credibilità che non avrebbe mai da solo.

Poi, a distanza di qualche minuto, arriva la telefonata. E qui succede la cosa che rende questo raggiro diverso da tutti gli altri: sul display non compare un numero sconosciuto, ma il numero vero del servizio clienti della banca, quello stampato sul retro della carta, quello che magari abbiamo salvato in rubrica e che quindi si presenta direttamente con il nome dell'istituto. La tecnica si chiama spoofing e consiste nel falsificare il numero chiamante; chi risponde non ha, in quel momento, nessuno strumento per accorgersene.

Dall'altra parte c'è ovviamente una persona preparata, che conosce il copione, che chiama l'interlocutore per nome, che cita l'SMS appena ricevuto come prova di legittimità e che si presenta come operatore dell'ufficio antifrode. Il suo obiettivo non è farsi dare le credenziali — sarebbe un passaggio inutile — ma convincerci a spostare noi stessi il denaro su un conto che descrive come «conto di sicurezza» o «conto transitorio», con l'argomento che in questo modo lo mettiamo al riparo dall'operazione sospetta. Altroconsumo ha documentato alla fine di settembre di quest'anno un caso concluso con la perdita di 4.900 euro, e la dinamica è esattamente questa.

Perché ci caschiamo, e non è questione di ingenuità

Vale decisamente la pena di dirlo chiaramente, perché chi subisce questa truffa tende poi a vergognarsene: non ci si casca per disattenzione. Ci si casca perché la sequenza è costruita in modo che ogni elemento confermi il precedente. L'SMS rende credibile la telefonata, il numero sul display rende credibile l'operatore, l'operatore spiega l'SMS; e il tutto avviene sotto la pressione di un pagamento che ci è stato detto essere in corso in quel preciso momento. È lo stesso meccanismo del «conto bloccato» che avevamo visto nel tentativo a nome Lottomatica e PayPal, portato però su un canale in cui non abbiamo il tempo di fermarci a guardare l'indirizzo di un collegamento.

Qualcosa, per fortuna, si sta muovendo. L'AGCOM ha introdotto un filtro contro lo spoofing telefonico che blocca le chiamate provenienti dall'estero e che espongono un numero italiano falsificato, e i dati diffusi nell'ottobre di quest'anno parlano di 191 milioni di chiamate bloccate. Sempre la Banca d'Italia segnala che il tasso di frode sui bonifici istantanei è sceso da 45 a 28 euro ogni centomila euro transati, grazie alle misure di prevenzione e alla verifica del beneficiario introdotta di recente. Sono segnali buoni, ma nessuno dei due risolve il problema alla radice, perché il filtro non copre tutti i casi e la verifica del beneficiario non impedisce a nessuno di autorizzare consapevolmente un bonifico verso un conto che gli è stato indicato al telefono.

La regola, che è una sola

Non esiste alcuna circostanza nella quale la nostra banca ci telefoni chiedendoci di spostare del denaro. Nessuna: non per metterlo in sicurezza, non per bloccare un'operazione, non per annullare un pagamento. Se un'operazione sospetta esiste davvero, la banca la blocca da sola, perché ha il potere di farlo senza il nostro intervento.

Di conseguenza il comportamento giusto resta comunque sempre lo stesso, ed è banale a dirsi quanto è difficile da eseguire mentre qualcuno ci sta parlando con tono allarmato: si chiude la chiamata. Poi, se resta il dubbio, si richiama la banca — ma componendo il numero che leggiamo dentro l'app o sul retro della carta, mai quello arrivato per SMS e mai richiamando la chiamata ricevuta, perché il numero in entrata era falso e il registro chiamate conserva il falso. Chi ha già effettuato il bonifico faccia la segnalazione alla banca immediatamente, nello stesso giorno: in certi casi, se l'operazione non è ancora stata eseguita del tutto, c'è ancora qualcosa da fare.