Arriva un SMS: un codice a sei cifre, generato perché qualcuno sta tentando di accedere a uno dei tuoi account. Poco dopo arriva una chiamata o un messaggio che ti chiede di leggere quel codice o di inoltrarlo. Questa singola mossa spiega gran parte dei furti di account segnalati alle autorità: negli Stati Uniti la FTC ha ricevuto oltre 2,6 milioni di segnalazioni di frode nel 2023, e i consumatori hanno dichiarato di aver perso 10 miliardi di dollari a causa delle frodi nello stesso anno. A fare il danno non è un malware né una password rubata: è il codice stesso.
Come un codice a sei cifre diventa un account rubato
L’attacco parte da qualcosa che hai già lasciato in giro senza accorgertene: il tuo numero di telefono, collegato a un’email o a un nome utente trovato in un database trapelato. Il truffatore inserisce il tuo numero e la tua email nella pagina di accesso di una banca, di un’app di messaggistica o di un account su un marketplace. La piattaforma, seguendo la sua normale procedura di sicurezza, invia un codice monouso al tuo telefono per confermare che sei davvero tu. Pochi secondi dopo, il truffatore ti contatta direttamente — via SMS, chiamata, a volte fingendosi un corriere, un dipendente bancario o un operatore del servizio clienti — e ti chiede di leggere o inoltrare il codice che hai ‘ricevuto per errore’. Nel momento in cui accetti, lui completa l’accesso dal suo dispositivo. Da quel momento l’account è suo: numero, opzioni di recupero password, autenticazione a due fattori possono essere modificati silenziosamente prima che tu te ne accorga. Questo schema spiega perché i numeri citati sopra sono così alti: il furto di account tramite un codice dirottato resta uno dei metodi più rapidi ed economici a disposizione di un truffatore, perché non richiede alcuna violazione tecnica, solo una telefonata o un messaggio convincente al momento giusto. Ciò che rende questo metodo così efficace è che sfrutta la fiducia in un sistema pensato per proteggerti: la truffa non batte quel sistema tecnicamente, lo batte socialmente, convincendo il legittimo proprietario del telefono a diventare l’anello debole della catena. È anche per questo che questi attacchi si moltiplicano con tanta facilità: uno stesso copione, ripetuto su migliaia di bersagli presi da un elenco trapelato, genera un flusso costante di successi semplicemente perché una parte dei destinatari risponderà senza pensarci due volte.
Un messaggio all’apparenza innocuo
Quello che segue è uno scenario illustrativo, non un caso reale, pensato per mostrare come si sviluppa tipicamente questa truffa.
Immagina di ricevere un SMS da un corriere che dice che un pacco non è stato consegnato e che serve un codice per fissare una nuova consegna. Pochi minuti prima era arrivato un codice di verifica non collegato, inviato da un’app di shopping. I due messaggi sembrano scollegati, ma non lo sono: qualcuno sta accedendo altrove all’account di shopping, e il finto messaggio del corriere è la stessa persona che chiede quel codice sotto un altro pretesto. Chi lo inoltra, pensando di risolvere un problema di spedizione, scopre poi che il metodo di pagamento salvato sull’account di shopping è stato usato per un acquisto mai autorizzato, e che la password è già stata cambiata. Nel frattempo il truffatore ha spesso già modificato anche l’email di recupero e il numero associato, bloccando il vero proprietario fuori dal proprio account e trasformando quello che sembrava un piccolo intoppo di consegna in una lunga disputa con l’assistenza clienti, con la banca, o con entrambe. Ciò che rende questo schema così efficace è lo spiazzamento che provoca: la vittima non reagisce a una minaccia evidente, ma a qualcosa di banale — una consegna mancata — proprio il motivo per cui la guardia, normalmente alzata davanti a richieste sospette, non scatta in tempo.
Come bloccare tutto questo prima che il codice lasci il tuo telefono
La soluzione riguarda meno la tecnologia e più una regola fissa: un codice di verifica non va condiviso con nessuno, in nessuna circostanza, mai. Le aziende legittime non chiedono mai di leggere o inoltrare un codice: chiedono solo di digitarlo tu stesso, sul sito o sull’app che stai usando in quel momento. Costruire poche abitudini attorno al proprio numero chiude gran parte della falla.
Considera sospetta ogni richiesta di codice, per default
Se un codice arriva sul tuo telefono senza che tu stia attivamente cercando di accedere a qualcosa, quello è il segnale che qualcosa non va: qualcun altro sta tentando l’accesso usando il tuo numero o la tua email. Non leggerlo ad alta voce, non inoltrarlo, non digitarlo in nessuna chat, nemmeno in una che si presenta come assistenza clienti. Cancella il messaggio una volta certo di non averlo richiesto, oppure fai uno screenshot prima di eliminarlo nel caso volessi segnalarlo in seguito.
Verifica la richiesta tramite un canale separato
Se una chiamata o un messaggio afferma di provenire dalla tua banca, da un corriere o da una piattaforma che usi, riaggancia o ignora il messaggio e contatta direttamente quell’organizzazione tramite il numero o l’app che già conosci, non quello indicato nel messaggio sospetto. Un vero operatore può verificare il tuo account senza aver bisogno di un codice che ti è appena stato inviato.
Separa il tuo numero dagli account più sensibili
Dove possibile, usa un’app di autenticazione invece dell’SMS per la verifica in due passaggi, dato che i codici generati da un’app non dipendono da un numero che può essere manipolato tramite una conversazione telefonica. Per le registrazioni che non richiedono davvero il tuo numero reale, un numero secondario o virtuale mantiene la tua linea principale fuori dai database che prima o poi vengono violati o rivenduti.
Rallenta di proposito lo scambio
I truffatori contano sull’urgenza per impedirti di ragionare con lucidità — un pacco in procinto di essere restituito, un account in scadenza, un pagamento sul punto di fallire. Ogni volta che un messaggio ti spinge ad agire entro pochi minuti, tratta quella pressione stessa come un campanello d’allarme. Fermarsi anche solo trenta secondi, posare il telefono e riconsiderare la richiesta spesso basta a spezzare lo schema su cui punta chi chiama o scrive. Aiuta anche raccontare ad alta voce a una persona fidata cosa ti viene chiesto di fare: pronunciare la richiesta fuori dal contesto pressante dello schermo ne rivela spesso subito la stranezza.
Perché un secondo numero riduce questa esposizione
Le truffe basate sul codice di verifica funzionano perché il tuo numero di telefono è al centro della tua identità online: è collegato alla banca, al recupero dell’email, agli account di shopping, e finisce spesso nelle liste dei data broker dopo la compilazione di un singolo modulo di registrazione. Un’app per la privacy del telefono che fornisce un numero secondario, usa e getta, permette di riservare il numero principale ai pochi account che ne hanno davvero bisogno — banca, contatti stretti, servizi ufficiali — mentre tutto il resto, dalle registrazioni ai negozi online alle verifiche occasionali, passa attraverso un numero che può essere sostituito o abbandonato se inizia ad attirare messaggi indesiderati. Questo non ti rende invisibile né esente da alcuna procedura di verifica; riduce semplicemente il numero di luoghi in cui compare il tuo numero reale, e con esso il numero di modi in cui un truffatore può prenderti di mira con una falsa richiesta di codice. Meno punti d’ingresso significano meno occasioni perché il tipo di ingegneria sociale descritto sopra raggiunga la tua linea principale. Nel tempo, questo riduce anche il volume di SMS e chiamate indesiderate in arrivo, perché un numero che non compare mai in database di marketing o liste di contatti rivendute ha molte meno probabilità di finire tra quelle acquistate e chiamate in massa dai truffatori.
Numero eSIMlink di affiliazione
Un secondo numero senza scheda SIM, in oltre 80 paesi