È davvero possibile che un SMS truffa finisca nella stessa chat della mia banca reale?

Sì. Le app di messaggistica raggruppano i testi in base al nome o numero del mittente dichiarato, non a un collegamento verificato con l'azienda. Se un truffatore registra lo stesso nome mittente usato dalla tua banca, tramite un gateway poco controllato, il suo messaggio può finire nella stessa chat dei tuoi avvisi reali, senza alcun avviso visivo di anomalia.

Esiste un modo per distinguere a colpo d'occhio un SMS falso da uno vero?

A volte, ma non in modo affidabile. Cerca una seconda chat quasi identica con un nome leggermente diverso, formattazione incoerente o link che non corrispondono al dominio reale della banca se li tieni premuti. L'approccio più sicuro resta non fidarsi mai dell'aspetto da solo, ma contattare la banca tramite un numero o un'app che sai già essere autentici.

Segnalare un SMS falsificato serve davvero a qualcosa?

Segnalarlo al proprio operatore, di solito inoltrando il messaggio al numero breve dedicato, aiuta a individuare il gateway o il sender ID usato per l'abuso, che può così essere bloccato per proteggere altre persone. Non annulla ciò che è già successo a te, ma riduce il tempo in cui lo stesso nome mittente falsificato resta una minaccia per altri.

I truffatori possono falsificare il nome del mittente di un SMS? Come lo smishing si infila nella chat della tua banca

Un truffatore può registrare un ID mittente identico a quello della tua banca: ecco come funziona e come riconoscere l'inganno.

Sì: un truffatore può registrare un sender ID e inviare un SMS che il telefono archivia nella stessa conversazione dei messaggi reali della tua banca, perché gli operatori mostrano il nome che un’azienda registra, non un’identità verificata. Non è un trucco marginale: più in generale, secondo un’indagine del Pew Research Center, l’81% degli americani ritiene che i rischi della raccolta dati superino i benefici, e il 67% dichiara di capire poco o nulla di cosa succeda ai propri dati una volta diffusi, numero di telefono compreso — proprio il dato che rende possibile questo tipo di spoofing.

Come un nome mittente falso si infila in una chat vera

I messaggi inviati dalle aziende passano di solito attraverso un sender ID alfanumerico o un numero breve invece che un numero di telefono tradizionale: per questo gli SMS della tua banca appaiono come ‘Intesa’ o ‘UniCredit’ invece che come una sequenza di cifre. Gli operatori telefonici e i gateway SMS tendono a fidarsi del nome che un’azienda dichiara al momento della registrazione di una campagna, e la verifica di quel nome varia moltissimo a seconda del paese, dell’operatore e del gateway scelto dal truffatore per instradare i messaggi. Chi trova un gateway con controlli poco rigorosi può registrare esattamente lo stesso nome mittente già usato dalla tua banca. Il sistema operativo del telefono raggruppa poi i messaggi in base al nome del mittente, non a una prova crittografica di identità, quindi il testo fraudolento finisce nella stessa conversazione dei tuoi avvisi bancari legittimi. L’effetto visivo è potente: una chat continua, un nome familiare, un messaggio che parla di ‘movimento sospetto’ proprio sotto un avviso reale ricevuto il mese prima. Niente nell’interfaccia segnala l’incongruenza, perché il protocollo sottostante non richiede che il nome mittente venga autenticato come accade con un lucchetto su un sito web. Questo vuoto esiste perché SMS e messaggistica aziendale sono nati decenni prima che qualcuno si preoccupasse di impersonificazioni su larga scala: il sistema doveva consegnare un’etichetta in fretta, non dimostrare chi l’avesse attaccata. Alcuni paesi hanno introdotto registri che dovrebbero collegare un sender ID a un’azienda verificata, ma l’applicazione resta incoerente tra operatori, e basta trovare un solo anello debole nella catena perché il nome falsificato funzioni esattamente come quello vero su ogni dispositivo ricevente.

Un SMS che sembra arrivato dalla banca

Questo è uno scenario illustrativo costruito per mostrare come si sviluppa l’inganno, non il racconto di una persona reale.

Immagina di controllare il telefono e trovare un nuovo messaggio nella stessa chat usata da anni per gli avvisi del conto. Il testo avverte di un tentativo di prelievo da 900 euro e include un link per ‘verificare l’identità’ entro 15 minuti. Essendo posizionato subito sotto tre avvisi genuini precedenti dello stesso mittente, formattazione e tono combaciano perfettamente. Il link apre una pagina identica pixel per pixel alla schermata di accesso della banca, chiede nome utente, password e codice monouso, poi inoltra silenziosamente tutto al truffatore prima di reindirizzare al sito vero, così nulla sembra fuori posto. L’intero scambio dura meno di due minuti, e la vittima non lascia mai l’app di messaggistica di cui si fida da anni. Quando nota qualcosa di strano — magari un secondo SMS che ringrazia per aver ‘confermato’ una modifica della password mai richiesta — il truffatore ha già usato il codice rubato per autorizzare un bonifico, e l’ufficio antifrode della banca è il primo a segnalare l’anomalia, spesso ore dopo.

Come impedire che un nome mittente falsificato ti inganni

La posizione nella chat e il nome del mittente sono le due cose che un truffatore può falsificare in modo convincente; tutto il resto dipende da come reagisci. L’obiettivo non è diffidare di ogni SMS bancario, ma smettere di considerare la posizione nella chat come prova di autenticità, costruendo abitudini che funzionano anche quando il nome visualizzato è perfetto. Ogni passaggio seguente chiude un anello della catena da cui dipende il truffatore.

Non toccare mai link in un SMS che chiede credenziali o pagamenti

Apri direttamente l’app della banca o digita tu stesso l’indirizzo web ufficiale, senza mai toccare link dentro il messaggio. Gli avvisi antifrode legittimi quasi mai richiedono di accedere tramite un link in un SMS; indicano piuttosto di chiamare il numero sul retro della carta o aprire l’app che hai già installato. Se un messaggio combina urgenza e link cliccabile nella stessa frase, considera questa combinazione il vero segnale d’allarme, indipendentemente dalla chat in cui è comparso.

Chiama il numero stampato sulla carta, non quello nel testo

Se un messaggio segnala attività sospetta, interrompi la conversazione dentro l’SMS e componi il numero del servizio clienti presente sul retro della carta fisica o nell’app ufficiale della banca. I truffatori a volte inseriscono nel testo falso un numero che risponde a un loro call center, quindi procurarti il numero da una fonte indipendente elimina del tutto questo rischio.

Controlla se ci sono chat duplicate o fuori sequenza

I messaggi falsificati a volte creano una seconda chat quasi identica invece di fondersi perfettamente con quella vecchia, soprattutto se il nome registrato dal truffatore differisce per uno spazio, una maiuscola o una parola mancante. Scorri ogni tanto verso l’alto e cerca due voci con lo stesso nome aziendale, o un punto in cui tono e formattazione cambiano improvvisamente.

Segnala il messaggio e blocca il mittente

Inoltra gli SMS sospetti al numero breve dedicato del tuo operatore per le segnalazioni spam e blocca il mittente dall’app di messaggistica. Segnalare aiuta gli operatori a individuare il gateway usato per l’abuso, riducendo il tempo in cui quel preciso nome mittente falsificato resta utilizzabile contro altre persone.

Perché un secondo numero dedicato chiude questa falla

Lo spoofing del sender ID funziona perché il truffatore deve solo sapere che un numero appartiene alla clientela della tua banca, non conoscere il numero esatto: il tuo numero circola tra data broker, vecchie registrazioni e violazioni dati a cui non hai mai acconsentito direttamente. Meno il tuo numero principale è legato a ogni account che apri, più si restringe il bacino di chi può colpirti con un messaggio convincente che si inserisce perfettamente nella chat giusta. Separare il numero che dai a banche, negozi e registrazioni occasionali da quello che usano i tuoi contatti più stretti significa che un messaggio falsificato finirà più probabilmente in un contesto dove sei già vigile, invece che in una chat che hai imparato a fidarti nel tempo. Un servizio dedicato ai numeri di telefono per la privacy permette di generare e ritirare numeri per scopi specifici, così quando uno di essi inizia ad attirare spam o avvisi contraffatti puoi disattivarlo senza perdere la tua linea reale né costringere i tuoi contatti a salvare un nuovo numero. Non impedisce a un truffatore determinato di registrare un sender ID falso, ma riduce quali dei tuoi numeri valgono la pena di essere presi di mira, e offre un modo pulito per isolare e chiudere l’esposizione appena la noti. Con il tempo, questa separazione rende anche le anomalie più facili da individuare: un numero dato a una sola banca che improvvisamente riceve SMS riferiti a un conto diverso è di per sé un segnale chiaro, cosa che un unico numero condiviso per tutto non permette mai di vedere.

Telefono