L'SMS di «avviso frode bancaria» è una truffa?

Come appare

Esempi reali, anonimizzati.

      Intesa Sanpaolo Avviso: Ha autorizzato un acquisto di 493,27 € presso MediaWorld a Milano? Risponda SÌ per confermare o NO per bloccare. Per il servizio antifrode chiami: 800-XXX-XXXX.
    

      UniCredit: Il suo conto è stato temporaneamente limitato per attività sospetta. Verifichi la sua identità per ripristinare l'accesso: unicredit-secure-id[.]com
    

Lo stesso schema è usato contro Intesa Sanpaolo, UniCredit, BPER, Banco BPM, Poste Italiane, Fineco, Revolut, N26, UBS, Credit Suisse, e qualsiasi altra grande banca. La truffa funziona allo stesso modo in ogni paese.

Come si svolge la truffa

È una trappola in due passi.

Questa è la parte che inganna anche le persone caute. L'SMS in sé non ruba nulla. Il vero attacco è la telefonata che segue.

Riceve l'SMS: «Ha autorizzato questo addebito di 499 €? Risponda NO.»
Risponde NO, perché non ha fatto quell'acquisto.
In pochi minuti una persona dal tono professionale chiama. L'identificativo mostra il numero reale della sua banca (falsificato). Dice: «Abbiamo visto la sua risposta NO, mi lasci aiutarla a mettere in sicurezza il conto.»
Le chiedono di leggere ad alta voce un codice OTP appena arrivato per SMS, «per verificare l'identità». Il codice viene dalla sua banca vera, attivato dal truffatore che si sta loggando nel suo conto.
Lei lo legge. Svuotano il conto, spesso creando un nuovo beneficiario o trasferendo a un «conto sicuro» che il truffatore sostiene essere il suo.

Segnali d'allarme

Come riconoscerlo.

Le chiedono di leggere un codice ad alta voce. Nessuna banca vera le chiederà mai di condividere un codice OTP per telefono, SMS o email. Il codice serve a lei per digitarlo nell'app della banca, mai per leggerlo a una persona.
Le chiedono di «spostare il suo denaro su un conto sicuro». Nessuna banca vera fa questo. Se il suo conto è a rischio, la banca lo blocca e le dice di andare in filiale o usare l'app, non trasferire denaro a un nuovo conto.
Il link non è il dominio reale della sua banca. Il vero Intesa Sanpaolo è intesasanpaolo.com. Il vero UniCredit è unicredit.it. I link di truffa sembrano intesa-secure-login.com, unicredit-id.help, o usano un redirect.
Urgenza e minacce. «Il suo conto sarà chiuso permanentemente», «sono coinvolte le forze dell'ordine», «agisca nei prossimi 30 minuti». Le banche vere le danno giorni o settimane.
Sanno quel tanto che basta a sembrare veri. Il suo nome, le ultime quattro cifre della carta, forse un esercente recente. Questi dati vengono dalle fughe. Non significa che abbiano già accesso al conto.
Le scoraggiano dal riagganciare. «Resti in linea per la sua sicurezza.» Una banca vera vuole che riagganci e richiami il numero sul retro della carta. Un truffatore non sopravvive a un richiamo.

Cosa fare

Faccia questo invece.

Riagganci. Chiami il numero sul retro della sua carta fisica. O apra l'app ufficiale della banca e usi la chat interna. Questa singola regola annienta l'intera truffa.
Controlli il suo conto nell'app ufficiale lei stesso. Se c'è davvero un addebito fraudolento, lo vedrà. Se non c'è, l'avviso era falso.
Inoltri l'SMS al suo operatore mobile per segnalare lo spam. Cancelli poi l'SMS.
Se ha già risposto o chiamato ma non ha condiviso codice o password, probabilmente sta bene. Chiami comunque la banca vera per segnalare il tentativo.
Se ha condiviso un codice o trasferito denaro, chiami subito la linea antifrode della sua banca. Il tempo conta. Le prime 24 ore sono quelle in cui il denaro può a volte essere recuperato. Sporga poi denuncia alla Polizia Postale.

Cosa non fare

Mai fare questo.

Non legga mai un codice OTP ad alta voce. Non a un «rappresentante della banca», non alla polizia, a nessuno. Il codice serve a digitarlo lei stesso nell'app della sua banca.
Non chiami mai il numero di telefono dentro l'SMS. Anche se sembra legittimo. Usi il numero sul retro della carta.
Non trasferisca mai denaro a un «conto sicuro». Nessuna banca vera lo chiede mai. Se glielo dicono, è una truffa, con certezza del 100 %.
Non clicchi mai sul link. Nemmeno per «controllare cosa è». La pagina di login falsa è tutto lo scopo.

Domande rapide

FAQ.

E se il chiamante conosceva il mio nome e le ultime 4 della carta?

Quei dati sono ovunque dopo anni di fughe. Conoscere nome, indirizzo, ultime 4 della carta e perfino la banca non significa che chiami un vero impiegato di banca. I truffatori comprano queste liste a poco. Il test non è cosa sanno ma cosa le chiedono. Una banca vera non chiede mai un codice, password, numero completo della carta o di trasferire denaro.

L'identificativo mostrava il numero reale della mia banca. Come?

L'identificativo è banale da falsificare. Qualsiasi servizio VoIP economico può mettere qualsiasi numero sul suo schermo. Il numero che vede quando qualcuno la chiama è inutile come prova. L'unico numero di cui può fidarsi è uno che ha composto lei stesso, dal retro della carta o dall'app ufficiale della banca.

Ho già dato loro un codice. Cosa faccio?

Chiami subito la linea antifrode della sua banca usando il numero sul retro della carta. Faccia bloccare il conto e annullare eventuali bonifici in sospeso. Cambi la password dell'home banking e attivi un autenticatore tramite app (non SMS) se la sua banca lo supporta. Sporga denuncia alla Polizia Postale.

Ha ricevuto un altro messaggio?

Verifica il tuo testo esatto. Ci vogliono 5 secondi.

Gratuito, senza registrazione, niente viene salvato. Funziona per SMS, email, WhatsApp, link e screenshot in 10 lingue.

Verifica il mio messaggio →

Altre guide alle truffe

L'SMS di avviso frode bancaria è una truffa?