Se ho autorizzato io il bonifico, la banca può comunque recuperare il denaro?

A volte sì, ma i tassi di recupero sono bassi e il tempo è decisivo. Poiché sei stato tu ad autorizzare il trasferimento, le banche lo trattano diversamente da un addebito fraudolento, e i fondi vengono di solito spostati fuori dal conto ricevente entro pochi minuti. Segnala subito l'accaduto al servizio antifrode della tua banca e alle autorità locali: prima viene segnalato, maggiore è la (comunque limitata) possibilità di bloccare i fondi prima che vengano trasferiti ulteriormente a valle.

Come distinguo un vero avviso antifrode della banca da una truffa che finge di esserlo?

Un vero avviso antifrode della banca non ti chiederà mai di spostare denaro su un nuovo conto 'sicuro', di condividere un codice temporaneo al telefono, o di restare in linea mentre completi un bonifico. Se accade una di queste cose, riaggancia e chiama il numero stampato sulla carta o sull'estratto conto, non un numero fornito durante la chiamata né uno arrivato per SMS poco prima.

Le persone anziane sono davvero prese di mira più spesso da queste truffe?

I truffatori puntano in modo sproporzionato sulle persone anziane, in parte perché possono avere risparmi maggiori e in parte perché alcuni pretesti, come le storie del 'nipote nei guai', sono costruiti proprio su questa fascia d'età. Detto questo, le truffe romantiche e quelle basate sulla compromissione delle email aziendali colpiscono con la stessa frequenza gli adulti in età lavorativa, quindi le difese di fondo — verificare in modo indipendente e rallentare qualsiasi richiesta di trasferimento — valgono a prescindere dall'età o da quanto ci si consideri esperti di tecnologia.

Convinto a fare un bonifico: come funziona davvero la truffa del pagamento autorizzato

Nessuno viola il tuo conto: sei tu a inviare il denaro. Ecco come funziona la manipolazione e come costruire una pausa prima di premere invia.

In queste truffe nessuno entra nel tuo conto con un attacco informatico: sei tu stesso a inviare il denaro, spesso mentre il truffatore resta al telefono a guidarti passo dopo passo. Solo nel 2022, l’Internet Crime Complaint Center dell’FBI ha stimato che le truffe via compromissione delle email aziendali e i bonifici indotti con l’inganno hanno causato 2,7 miliardi di dollari di perdite, quasi tutte generate da vittime convinte di proteggere i propri risparmi o di aiutare qualcuno di fidato. È una cifra costruita non da password rubate o server violati, ma dalla somma di migliaia di decisioni prese sotto pressione, un bonifico alla volta. Più in generale, su un piano completamente diverso, il contante rappresenta ancora il 31% delle transazioni di piccolo importo negli Stati Uniti secondo la Federal Reserve Bank of San Francisco — un dato che fotografa le abitudini di pagamento quotidiane, non l’entità delle truffe, ma che ricorda quanto le persone preferiscano ancora strumenti che possono tenere fisicamente sotto controllo, cosa che un bonifico non permette più una volta eseguito.

Come si sviluppa concretamente la manipolazione

Questo tipo di truffa si chiama frode da pagamento autorizzato proprio perché sei tu ad autorizzare il bonifico: non c’è malware, non c’è password rubata, non c’è un addebito fraudolento da contestare in seguito. Tutto parte da un pretesto: una chiamata di qualcuno che si spaccia per l’ufficio antifrode della tua banca, una email che sembra del tuo gestore di luce e gas, un SMS su un pacco mai spedito, o un messaggio da un presunto interesse romantico in una improvvisa emergenza all’estero. Il pretesto è costruito per attivare uno di due stati emotivi: il panico (il tuo conto è compromesso, agisci subito prima che sia troppo tardi) oppure la fiducia (questa è una persona a cui tieni, e aiutarla è la cosa giusta da fare). Una volta attivato uno dei due stati, il truffatore introduce l’urgenza — una scadenza, una finestra che si sta chiudendo, la minaccia di una perdita irreversibile — che cortocircuita l’istinto normale di fermarsi e verificare in modo indipendente. Questa urgenza non è un dettaglio marginale: è il vero meccanismo della truffa, e svolge lo stesso ruolo di un grimaldello in un’effrazione, solo che qui agisce sul giudizio invece che sulla serratura. Spesso restano in linea mentre accedi all’app della banca, guidandoti con un tono calmo e autorevole, a volte spingendoti a mentire ai controlli antifrode della banca stessa perché ‘il sistema segnala per errore’ o ‘l’operatore non capirebbe la situazione’. Questo è uno dei dettagli più inquietanti dello schema: la truffa richiede spesso che la vittima disattivi attivamente le stesse misure di sicurezza pensate per fermarla, convinta nel frattempo di essere lei quella prudente. Quando il bonifico viene eseguito, il denaro passa di solito attraverso diversi conti intermedi nel giro di pochi minuti, spesso tra banche o addirittura paesi diversi, prima che l’istituto di partenza abbia la possibilità di intervenire, il che rende il recupero quasi impossibile. Le banche raramente possono annullare un bonifico che il titolare ha volontariamente disposto, perché dal punto di vista tecnico l’istruzione era valida e correttamente autenticata. Proprio questo fatto — che la transazione appare del tutto legittima agli occhi della banca — spiega perché questo metodo resista mentre altri vettori di frode, come la clonazione delle carte o il phishing di base, vengono via via bloccati, segnalati o assicurati. La frode da pagamento autorizzato non ha bisogno di una vulnerabilità tecnica. Ha bisogno di una sola conversazione convincente.

Uno scenario composito

Quello che segue è uno scenario illustrativo, non un caso reale né una testimonianza.

Questo tipo di episodio è abbastanza comune da poter essere descritto senza fare riferimento a un caso reale specifico. Immagina un pomeriggio feriale qualunque: arriva una chiamata da un numero che sembra locale, e la persona all’altro capo si presenta come analista antifrode della tua banca. Conosce già il tuo nome, le ultime quattro cifre della carta, e menziona un ‘addebito sospetto’ in una città che non hai mai visitato. Prima ancora di riuscire a mettere in ordine i pensieri, ti spiega che i fondi devono essere spostati su un ‘conto di protezione temporaneo’ mentre l’indagine è in corso, e che questo deve avvenire entro i prossimi quindici minuti per evitare che l’addebito diventi definitivo. Resta in linea, guidandoti passo dopo passo nell’app della banca, rassicurandoti di tanto in tanto che si tratta di una procedura standard e che qualsiasi schermata di avviso è ‘un problema tecnico noto’ non legato alla tua situazione. L’intera telefonata sembra efficiente, procedurale, persino rassicurante nel tono calmo — ed è esattamente questo che la rende efficace. Quando la chiamata termina, il denaro è già sparito, e il numero che ti aveva contattato non risponde più a nessuno.

Costruire una pausa in ogni trasferimento

La soluzione non è imparare a riconoscere ogni copione di truffa — ne compaiono continuamente di nuovi, e i truffatori adattano il linguaggio non appena una frase specifica viene segnalata come sospetta. La soluzione è rendere strutturalmente più difficile inviare denaro in un unico slancio ininterrotto, così che almeno un momento ti costringa a fermarti e riflettere prima che i fondi lascino davvero il tuo controllo, indipendentemente da quanto sia convincente la storia raccontata al telefono.

Riaggancia e richiama un numero di cui ti fidi già

Qualsiasi chiamata, SMS o email che ti chieda di spostare denaro deve innescare la stessa reazione: interrompi il contatto, poi contatta l’organizzazione tramite un numero o un’app che avevi già salvato, non uno fornito durante la conversazione né uno arrivato per SMS pochi istanti prima. Una banca, un ente o un’azienda legittima non ti penalizzerà mai per una verifica indipendente, e qualsiasi resistenza a questo istinto è di per sé un segnale da prendere sul serio. Questa singola abitudine sventa la stragrande maggioranza dei copioni di impersonificazione, perché il truffatore perde il controllo del canale nel momento in cui esci dalla conversazione, e la sua intera strategia dipende dal tenerti dentro uno scambio che gestisce lui dall’inizio alla fine.

Separa il denaro di uso quotidiano da quello disponibile per i bonifici

Tieni la maggior parte dei tuoi fondi su un conto non collegato a trasferimenti istantanei, e sposta sul conto operativo solo ciò che ti serve, ricaricandolo deliberatamente invece di tenere tutto sempre liquido e raggiungibile. Questo introduce un passaggio volontario — e spesso un ritardo significativo — tra una telefonata manipolatoria e un bonifico consistente, tempo spesso sufficiente perché il panico si affievolisca, l’adrenalina si plachi e il giudizio ordinario ritorni. I truffatori contano sulla velocità: qualunque cosa rallenti la meccanica del trasferimento gioca contro il loro metodo.

Imposta limiti di trasferimento e richiedi un’approvazione secondaria

Molte banche permettono di fissare un tetto giornaliero ai bonifici o di richiedere un secondo dispositivo, una seconda persona, o un periodo di attesa per approvare trasferimenti sopra una certa soglia. Attiva queste funzioni anche se nella vita di tutti i giorni sembrano scomode. Un limite che ti costringe ad aspettare fino al giorno dopo, o a chiedere un secondo parere a un familiare o a una persona fidata, è un limite che l’urgenza artificiale creata da un truffatore semplicemente non può aggirare, per quanto convincente sia la scadenza presentata.

Considera ‘spostalo su un conto sicuro’ come una bandiera rossa assoluta

Nessuna banca, forza dell’ordine o ente pubblico legittimo ti chiederà mai di trasferire denaro su un nuovo conto per ‘proteggerlo’ da una frode. Questa istruzione specifica è un indicatore quasi universale di questo tipo di truffa, e ricorre in una gamma enorme di pretesti, dalle finte chiamate dell’Agenzia delle Entrate alle finte indagini bancarie. Riconoscere questa singola frase, per quanto convincente sembri la storia intorno o quante informazioni personali il chiamante sembri già possedere, dovrebbe bastare per interrompere subito l’operazione e chiudere la chiamata.

Perché uno strato di controllo dei pagamenti aiuta in questo caso

Poiché questa frode sfrutta proprio il momento del trasferimento, la protezione più utile è uno strumento di controllo dei pagamenti che inserisca attrito strutturale e visibilità tra l’istruzione e il denaro, invece di affidarsi interamente alla lucidità della vittima durante una telefonata stressante e concitata. Un servizio dedicato al controllo dei pagamenti che permetta di generare carte virtuali dedicate a uno scopo preciso, fissare limiti di spesa rigidi per ciascun destinatario, bloccare una carta istantaneamente dallo smartphone e ricevere avvisi in tempo reale su ogni movimento offre lo stesso tipo di pausa descritta sopra, ma incorporata nell’infrastruttura invece di essere lasciata alla forza di volontà nel mezzo di un’emergenza fabbricata ad arte. Non impedirà a nessuno di essere persuasivo — la persuasione è un’abilità umana, non tecnica — ma restringe ciò che una persona persuasa può effettivamente autorizzare in un singolo momento, e offre un modo semplice per bloccare tutto nell’istante in cui qualcosa non torna, senza dover ricordare uno script, una frase d’allarme o riconoscere una truffa in tempo reale mentre qualcuno ti sta guidando al telefono. Questo tipo di strumento non sostituisce le abitudini descritte sopra: le rafforza. Una regola di richiamata impedisce alla persona sbagliata di raggiungerti in primo luogo. Un tetto di spesa impedisce che il trasferimento sia abbastanza grande da fare danni anche se la regola di richiamata fallisce. Una carta bloccata nell’istante in cui nasce il dubbio ferma tutto il resto. Messe insieme, queste difese partono dal presupposto che la persuasione a volte riuscirà, e si organizzano intorno a questa possibilità invece di fingere che non accadrà mai.