In breve
- Phishing (email), smishing (SMS) e vishing (telefono) sono varianti della stessa truffa: fingersi la tua banca per farti consegnare credenziali, codici OTP e dati della carta, o per farti autorizzare tu stesso un'operazione.
- Gli schemi sono pochi e ricorrenti: l'SMS del «conto bloccato» con un link, il finto operatore antifrode che ti «aiuta» a mettere in sicurezza il conto, la finta consegna del pacco, il finto annuncio di rimborso.
- Il numero chiamante e il nome del mittente non provano nulla: lo spoofing consente di imitare quelli della tua banca, e i messaggi truffa possono finire nella stessa conversazione dei messaggi autentici.
- Esiste una lista corta di cose che una banca non ti chiede mai: il PIN, la password completa, un codice OTP, l'autorizzazione di un'operazione in app, il trasferimento dei soldi su un «conto sicuro».
- CartaSmart non raccoglie dati e non ti contatta mai per chiederti credenziali o pagamenti: qualunque richiesta di questo tipo a nostro nome è phishing di terzi.
Cosa sono phishing, smishing e vishing
Phishing, smishing e vishing sono tre nomi per la stessa truffa, che cambia solo il canale: l'email per il phishing, l'SMS per lo smishing, la telefonata per il vishing. In tutti i casi qualcuno si finge la tua banca, l'emittente della tua carta, le Poste, un corriere o un ente pubblico per ottenere una di queste tre cose:
- le credenziali di accesso all'home banking o all'app;
- i dati della carta (numero, scadenza, CVV) e i codici che autorizzano i pagamenti (OTP, conferme in app);
- una tua azione diretta: un bonifico verso un «conto sicuro», l'associazione di un nuovo dispositivo, la conferma di un'operazione che sta partendo.
La differenza rispetto alla frode classica con la carta è che qui il truffatore non ruba i dati alle tue spalle: te li fa consegnare. Sul piano tecnico è più semplice, sul piano legale è più pericoloso per te, perché un'operazione che hai autorizzato tu, anche se ingannato, è più difficile da farsi rimborsare.
Gli schemi più diffusi, uno per uno
Gli schemi delle truffe bancarie sono pochi e si ripetono con piccole variazioni: riconoscerne la struttura è il modo più affidabile per non cadere nella prossima versione. Questi sono quelli che circolano di più in Italia.
L'SMS del «conto bloccato» o dell'«accesso anomalo»
Ricevi un SMS, spesso nello stesso filo dei messaggi veri della banca, che dice che il conto è stato bloccato, che è stato rilevato un accesso da un dispositivo sconosciuto o che una carta sta per essere disattivata. C'è un link da toccare «entro 24 ore». Il link porta a una pagina identica a quella della banca che ti chiede utente e password, poi il codice OTP «per verifica». Con quei dati i truffatori entrano nel tuo conto e usano l'OTP per autorizzare un bonifico o associare il loro telefono alla tua app.
Il finto operatore antifrode (vishing)
Spesso è la seconda fase dello schema precedente. Ti chiama un «operatore dell'ufficio sicurezza» della banca, dal numero che compare sul retro della carta o con il nome della banca in evidenza, e ti dice che sono in corso operazioni sospette. È calmo, competente, ti chiama per nome e conosce le ultime cifre della tua carta. Per «bloccare» le operazioni ti chiede di dettare i codici che riceverai o di confermare in app alcune notifiche, oppure di trasferire i soldi su un «conto di appoggio sicuro». Ogni codice che detti autorizza un'operazione a suo favore.
La finta consegna del pacco o il finto rimborso
Un SMS di un corriere dice che il pacco è in giacenza e serve pagare una piccola somma per la riconsegna; oppure l'Agenzia delle Entrate, un fornitore di energia o un negozio online annunciano un rimborso da riscuotere inserendo i dati della carta. La cifra chiesta è minima, ma il modulo raccoglie numero, scadenza e CVV completi, che vengono usati subito per acquisti online o aggiunti a un wallet sul telefono del truffatore.
Il finto investimento e il «recupero crediti»
Annunci sui social o telefonate propongono investimenti con rendimenti irrealistici, con «consulenti» che ti guidano ad aprire un conto su una piattaforma finta o a installare un software di controllo remoto sul tuo computer. Una variante colpisce chi è già stato truffato: un sedicente studio legale o ente promette di recuperare i soldi persi, dietro un anticipo.
Lo spoofing: perché il numero non prova nulla
Lo spoofing è la tecnica che rende credibili tutti gli schemi precedenti: permette di impostare a piacere il nome del mittente di un SMS (per esempio quello della tua banca, così il messaggio finisce nella conversazione autentica) o il numero chiamante di una telefonata. Non è una violazione dei sistemi della banca, è un abuso delle reti telefoniche. La conseguenza pratica è una sola: il mittente e il numero chiamante non sono mai una prova di autenticità. Lo è solo il contenuto della richiesta.
Cosa una banca non ti chiede mai
Una banca, un emittente di carte, un istituto di pagamento e a maggior ragione un comparatore come CartaSmart non ti chiedono mai, con nessun mezzo, le informazioni che servono per operare al posto tuo. La tabella seguente mette a confronto le richieste tipiche dei truffatori con il comportamento di un operatore legittimo.
| Richiesta | Un truffatore | Una banca o un emittente |
|---|---|---|
| PIN della carta o dell'app | Lo chiede «per verifica» | Non lo chiede mai, nemmeno in filiale |
| Password completa di accesso | La chiede via link o telefono | Non la chiede mai; al massimo alcune cifre di un codice di sicurezza concordato |
| Codice OTP ricevuto via SMS o in app | Ti chiede di dettarlo | Non lo chiede mai: serve solo a te per confermare un'operazione che stai facendo tu |
| Conferma di una notifica in app | Ti guida a «approvare» | Non ti chiama per farti approvare qualcosa |
| Bonifico su un «conto sicuro» | Lo presenta come misura di protezione | Non esiste: la banca blocca il conto, non lo svuota altrove |
| Numero completo della carta e CVV | Li chiede in un modulo | Non li chiede mai per email, SMS o telefono |
| Installazione di app di controllo remoto | «Per assisterti» | Mai |
| Urgenza («entro 24 ore», «subito») | Sempre | Comunica per canali ufficiali, senza ultimatum |
Se qualcuno ti chiede una qualsiasi delle voci della prima colonna, la comunicazione è una truffa, indipendentemente dal numero, dal nome, dal tono e da quanto sappia di te.
Le sette regole per non cadere nella rete
Le regole per difendersi dal phishing sono sette e valgono per qualunque banca o carta, dalle fintech del nostro confronto agli istituti tradizionali.
- Non toccare i link nei messaggi. Per accedere al conto usa sempre l'app ufficiale o l'indirizzo digitato da te nel browser. Nessuna comunicazione legittima ha bisogno che tu clicchi un link per «sbloccare» qualcosa.
- Non dettare mai codici a nessuno. Il codice OTP e la conferma in app servono a te per autorizzare un'operazione che stai facendo tu. Chiunque te lo chieda sta facendo un'operazione con i tuoi soldi.
- Chiudi e richiama tu. Se un operatore ti chiama, riattacca e richiama la banca dal numero stampato sul retro della carta o dall'app. Usa possibilmente un altro telefono, o attendi qualche minuto: alcune truffe tengono la linea occupata.
- Diffida dell'urgenza. La pressione temporale è la leva psicologica di ogni truffa. Una banca vera può bloccare il conto per proteggerti: non ha bisogno che tu faccia qualcosa in dieci minuti.
- Leggi le notifiche di operazione prima di approvarle. Le conferme in app riportano l'importo e il beneficiario. Se non riconosci l'operazione, rifiuta.
- Non installare software su richiesta. Nessun operatore ti chiede di installare app di assistenza remota o di «aggiornamento sicurezza» al di fuori dello store ufficiale.
- Usa le protezioni dell'app. Autenticazione biometrica, notifiche in tempo reale, limiti di spesa, blocco selettivo dei pagamenti online e carte virtuali usa e getta (per esempio quelle di Revolut, descritte nella recensione Revolut) riducono il danno anche se un dato ti sfugge.
Perché la SCA non basta da sola
L'autenticazione forte del cliente introdotta dalla PSD2 ha reso quasi inutile il furto passivo delle credenziali, ed è proprio per questo che le truffe sono diventate «conversazionali». Con la SCA e il 3D Secure ogni operazione a rischio richiede un secondo fattore che il truffatore non ha: il tuo telefono, il tuo dito, il tuo volto. La sua unica strada è convincerti a usare tu quel fattore al posto suo. Il finto operatore, l'SMS che chiede l'OTP «per annullare» un'operazione, la notifica da approvare «per verificare l'identità» sono tutti tentativi di aggirare la SCA passando dalla tua mano.
Questo spiega anche perché i sistemi antifrode delle banche, per quanto raffinati, non possono fermare tutto: un'operazione che tu autorizzi con il tuo dispositivo e la tua biometria è, per il sistema, indistinguibile da una legittima. La difesa in questo caso non è tecnologica, è comportamentale.
Cosa fare se sei caduto in una truffa
Se hai comunicato credenziali, codici o dati della carta, o hai autorizzato un'operazione su richiesta di un finto operatore, devi agire subito e nell'ordine giusto: bloccare, avvisare, denunciare.
- Blocca la carta e cambia le credenziali dall'app ufficiale. Se hai dato l'accesso all'home banking, cambia la password e verifica nelle impostazioni se è stato associato un nuovo dispositivo. La guida su come bloccare la carta descrive i passaggi per ogni situazione.
- Avvisa l'emittente e segnala le operazioni che non riconosci, senza indugio: la segnalazione tempestiva è la condizione della tutela. Chiedi anche di bloccare eventuali bonifici in partenza, se sono ancora in lavorazione.
- Presenta denuncia alla Polizia Postale, anche online, allegando messaggi, numeri e screenshot.
- Segnala il tentativo alla tua banca: quasi tutte hanno un indirizzo dedicato al phishing e usano le segnalazioni per far chiudere le pagine false.
- Controlla gli altri account: se hai riutilizzato la stessa password altrove, cambiala.
Sul rimborso, la posizione dipende da cosa è successo. Le operazioni che non hai autorizzato in alcun modo rientrano nella tutela ordinaria della PSD2, con franchigia massima di 50 euro a tuo carico prima della segnalazione. Le operazioni che hai autorizzato tu, anche perché ingannato, possono essere considerate colpa grave dall'emittente: in quel caso il rimborso viene spesso negato, con la possibilità di reclamo e di ricorso all'Arbitro Bancario Finanziario presso la Banca d'Italia, che valuta caso per caso.
Il caso particolare dei comparatori: cosa CartaSmart non fa
CartaSmart non raccoglie dati personali, non ha moduli di registrazione e non gestisce richieste di carte o conti: qualunque messaggio che chieda credenziali, codici o pagamenti a nome di CartaSmart è un tentativo di phishing di terzi. Lo diciamo esplicitamente perché i nomi dei siti editoriali vengono usati dai truffatori esattamente come quelli delle banche.
Quando su CartaSmart scegli di approfondire un prodotto, vieni reindirizzato al sito ufficiale del provider, dove la richiesta si completa alle sue condizioni: è lì, e solo lì, che vengono chiesti documenti e dati, con la verifica dell'identità descritta nella guida su come aprire un conto online. Se vuoi sapere come lavoriamo e come guadagniamo, è tutto scritto nella pagina chi siamo.
La stessa cautela vale per i provider. TF Bank, per esempio, segnala di aver ricevuto notizia di false email e SMS a suo nome e invita ad accedere all'area personale solo dal proprio indirizzo ufficiale, mai da link ricevuti: un promemoria utile per qualunque carta, che trovi anche nella recensione TF Bank.
Come proteggere anche chi ti sta intorno
Le truffe bancarie colpiscono più spesso chi ha meno dimestichezza con gli strumenti digitali, e la difesa più efficace è parlarne in famiglia prima che succeda. Tre accorgimenti concreti:
- concorda con genitori o nonni una regola semplice: «Se la banca chiama, riattacco e chiamo te»;
- attiva le notifiche istantanee sui loro conti e, dove il prodotto lo permette, imposta limiti bassi per i pagamenti online;
- mostra loro un esempio reale di SMS truffa, così che ne riconoscano la struttura (urgenza, link, richiesta di codici).
Per chi gestisce un conto business, la stessa logica vale per i collaboratori: la truffa del «finto fornitore» che chiede di cambiare l'IBAN sulle fatture è la versione aziendale dello smishing, e si previene con una regola di verifica telefonica indipendente prima di ogni cambio di coordinate. Nel confronto dei conti business trovi i prodotti che permettono permessi differenziati e limiti per utente.
Conclusione
Le truffe bancarie non sfondano i sistemi delle banche: sfondano la fiducia delle persone. Per questo l'unica difesa davvero efficace è una regola di comportamento, non un'app: non cliccare link nei messaggi, non dettare mai codici, non approvare notifiche che non capisci, riattaccare e richiamare la banca dal numero ufficiale. Il numero chiamante e il nome del mittente non contano niente; conta cosa ti viene chiesto. Se la richiesta è una di quelle che una banca non fa mai, è una truffa, e lo è anche se arriva a nome di CartaSmart, che non ti contatterà mai per chiederti dati. E se il danno è fatto, blocco, segnalazione e denuncia nell'ordine giusto restano la strada per limitare la perdita.