Sul display c’è il numero della banca, ma a chiamare può essere un truffatore

Lo spoofing fa comparire sul telefono il numero vero della banca, o infila un SMS nella stessa conversazione dei messaggi ufficiali. Come riconoscere la truffa, cosa fare nei primi minuti, quando spetta il rimborso secondo le regole europee sui pagamenti e a chi rivolgersi se la banca dice di no.

La telefonata arriva nel pomeriggio. Sul display compare il numero del servizio clienti della banca, lo stesso stampato sul retro della carta. Una voce cortese si presenta come l’ufficio antifrode, dice che è in corso un bonifico sospetto e che per bloccarlo serve una conferma: un codice che sta per arrivare via SMS, oppure un bonifico “di sicurezza” verso un conto temporaneo. Tutto sembra tornare, anche l’SMS, che si accoda ai messaggi veri ricevuti negli anni. È lo spoofing, la falsificazione del numero chiamante o del mittente, e secondo la Banca d’Italia è ciò che rende il phishing e le sue varianti telefoniche “ancora più insidiosi”.

Come funziona la truffa

I nomi tecnici sono tre. Il vishing è il phishing fatto per telefono; lo smishing è lo stesso inganno via SMS; lo spoofing è la tecnica che camuffa l’origine della chiamata o del messaggio, così che il numero mostrato sia quello della banca. I tre pezzi si combinano quasi sempre: prima un SMS che annuncia un accesso anomalo e invita a chiamare o a cliccare, poi la telefonata dell’“operatore” che guida passo passo, infine la richiesta di leggere il codice di conferma o di spostare il denaro. Il truffatore non deve forzare nulla: usa le credenziali e i codici che la vittima gli consegna, oppure la convince a fare il bonifico con le proprie mani.

I segnali che tradiscono il falso operatore

La regola della Banca d’Italia è semplice: la banca non chiede mai, né per telefono né per e-mail, i dati usati per i pagamenti online o per l’home banking. Chi chiede un PIN, una password, il codice ricevuto via SMS o la lettura del token sta truffando, qualunque numero compaia sul display. Gli altri segnali sono l’urgenza (“dobbiamo bloccare subito”), la richiesta di spostare i soldi su un “conto sicuro” o “conto provvisorio”, l’invito a installare un’app o un programma di assistenza remota, e la pressione a non riattaccare. Nessun ufficio antifrode vero chiederà mai di fare un bonifico per proteggere un conto: se un conto è a rischio, lo blocca.

Cosa fare nei primi minuti

Se la chiamata è in corso, il consiglio ufficiale è di non eseguire quanto richiesto e riattaccare. Poi richiamare la banca al numero riportato sul sito ufficiale o sul retro della carta, digitandolo a mano e non usando il tasto “richiama”. Se qualcosa è già stato comunicato o autorizzato, i passi sono questi, nell’ordine: segnalare subito alla banca le operazioni del truffatore e chiederne il rimborso, bloccando carte e accessi dall’app o dal numero verde; cambiare le password di tutti i servizi collegati, non di uno solo; attivare gli SMS alert sui movimenti, se non lo sono già; presentare denuncia alla Polizia postale, di persona o tramite i canali online. La denuncia non è una condizione di legge per avviare la pratica di rimborso, ma la banca può chiederla in seguito ed è utile conservarne copia. Le stesse cautele valgono per un prelievo automatico mai autorizzato, che si contesta con la procedura dell’addebito diretto.

Attenzione

Un SMS che compare nella stessa conversazione dei messaggi veri della banca non è una prova di autenticità: il mittente si può falsificare. Contano solo i canali ufficiali raggiunti di propria iniziativa.

Quando spetta il rimborso

Le regole vengono dalla direttiva europea sui servizi di pagamento, la PSD2, recepita in Italia nel decreto legislativo 11/2010. Un’operazione non autorizzata va contestata il prima possibile e comunque entro 13 mesi dall’addebito. Una volta ricevuta la segnalazione, la banca deve rimborsare immediatamente e in ogni caso entro la fine della giornata operativa successiva, salvo che sospetti una frode ai propri danni. Se il pagamento non era protetto da autenticazione forte, il rimborso è dovuto quasi sempre. Se invece l’autenticazione forte c’era, la banca può rifiutare solo se dimostra che il cliente ha agito con dolo o colpa grave; la Banca d’Italia precisa che la sola presenza dell’autenticazione non basta a provarla. In caso di furto o smarrimento dello strumento la legge lascia a carico del cliente solo una piccola franchigia, che non si applica se il cliente ha rispettato i propri obblighi di custodia.

Il punto delicato è la colpa grave. Chi detta al telefono il codice ricevuto via SMS, o consegna le credenziali, rischia di vedersela contestare. Lo spoofing, però, cambia le carte in tavola, perché il numero che compare è davvero quello della banca: nelle decisioni dell’Arbitro Bancario Finanziario questo elemento pesa a favore del cliente, e spesso l’esito è un rimborso pieno o una ripartizione della perdita, a seconda dei segnali di anomalia che la vittima avrebbe potuto cogliere. Più difficile è il caso in cui il bonifico lo ha fatto il cliente stesso, con le proprie mani, perché l’operazione risulta autorizzata; anche qui, però, l’Arbitro ha riconosciuto responsabilità della banca quando mancavano sistemi di controllo adeguati. Ogni caso si decide sui fatti, e la banca può riaddebitare quanto rimborsato se in seguito prova la colpa grave.

Reclamo, Arbitro, esposto

Se la banca nega il rimborso o non risponde, la strada è in tre tappe. Primo, un reclamo scritto alla banca, che per i servizi di pagamento deve rispondere entro 15 giorni lavorativi. Secondo, se la risposta non arriva o non convince, il ricorso all’Arbitro Bancario Finanziario, l’organismo di risoluzione delle controversie sostenuto dalla Banca d’Italia: si presenta online, ha un costo contenuto e richiede che il reclamo sia stato fatto prima. Terzo, in qualsiasi momento, un esposto alla Banca d’Italia attraverso i servizi online: non decide la singola lite, ma sollecita l’intermediario e vigila sui comportamenti ripetuti. Per chi aveva in corso un finanziamento, le somme sottratte non sospendono le rate: conviene avvisare anche l’ufficio che gestisce il prestito.

Il filtro che blocca i numeri falsificati dall’estero

Dal 2025 una parte delle chiamate con numero contraffatto non arriva più. Con la delibera 106/25/CONS l’AGCOM ha imposto agli operatori di bloccare le chiamate provenienti dall’estero che mostrano un numero italiano falsificato: dal 19 agosto 2025 per i numeri di rete fissa, dal 19 novembre 2025 per quelli di rete mobile, con un controllo che lascia passare solo i clienti davvero in roaming. Il filtro riduce il fenomeno ma non lo elimina: non riguarda le chiamate che partono dall’Italia, né gli SMS, e i truffatori si adattano. La difesa resta quella di sempre: nessun codice al telefono, nessun bonifico su richiesta, un richiamo al numero ufficiale.

Cosa conviene verificare

Chi vuole prepararsi prima che la telefonata arrivi può controllare poche cose: che gli SMS alert sui movimenti siano attivi; dove si trova il numero verde per il blocco delle carte, per non doverlo cercare nel panico; che le password dell’home banking non siano riutilizzate altrove; e che in famiglia tutti sappiano la regola di base, ossia che la banca non chiede mai codici al telefono. Dopo una truffa, i termini da ricordare sono tre: la segnalazione immediata, i 13 mesi per la contestazione e i 15 giorni lavorativi entro cui la banca deve rispondere al reclamo, prima di passare all’Arbitro.

Il notiziario del martedì

una pagina sui soldi di casa, ogni martedì nella tua casella.

La tua e-mail iscriviti

Sì, voglio ricevere Il notiziario del martedì via e-mail. Ho letto l'informativa sulla privacy.

Gratis. Conferma via e-mail, disiscrizione in qualsiasi momento. Nessuna cessione a terzi.