Come faccio a distinguere un SMS bancario falso da uno vero solo guardandolo?

Spesso non puoi, ed è proprio questo il punto della truffa: i numeri falsificati possono comparire nello stesso filo di avvisi genuini passati, e il testo è spesso copiato da messaggi bancari reali. Invece di giudicare il messaggio in sé, verifica in modo indipendente: apri direttamente l'app o il sito della tua banca e controlla se lo stesso avviso compare lì. Se non c'è, l'SMS era falso, per quanto convincente potesse sembrare.

Cosa devo fare se ho già cliccato il link e inserito i dati di accesso?

Cambia subito la password dell'home banking da un dispositivo affidabile, usando l'app o il sito ufficiale della banca e non alcun link presente nell'SMS. Chiama la banca usando il numero sul retro della carta per segnalare l'accaduto, chiedi di monitorare o bloccare il conto, e controlla attentamente le transazioni recenti per individuare eventuali addebiti non autorizzati. Se hai anche inserito un codice monouso, considera il conto compromesso finché la banca non ne conferma la sicurezza.

Le banche mandano mai SMS legittimi con un link da cliccare?

Alcune banche inviano effettivamente SMS con link per cose come confermare un nuovo dispositivo o reimpostare una password, ma sono casi rari e in genere attivati da un'azione che hai appena compiuto tu. Se non ti aspettavi il messaggio, o se ti spinge ad agire subito per evitare una commissione, un blocco o una sospensione del conto, trattalo come sospetto e verifica tramite l'app invece di cliccare qualsiasi cosa nel messaggio.

L'SMS che sembra esattamente della tua banca

Gli SMS falsi della banca copiano loghi e tono degli avvisi reali: ecco come funziona la truffa e come verificarla prima di cliccare.

Arriva un SMS che dice che la tua carta è stata bloccata, e sembra identico a ogni altro avviso che la tua banca ti ha mai mandato. Quella somiglianza è il punto: le perdite denunciate per truffe via SMS hanno raggiunto i 330 milioni di dollari nel 2022, secondo la Federal Trade Commission, e l’impersonificazione bancaria è stata la categoria più segnalata in assoluto, con una perdita mediana di 1.000 dollari per vittima secondo gli stessi dati della FTC. Il messaggio non deve essere sofisticato. Deve solo arrivare al momento giusto. La maggior parte delle persone legge decine di SMS al giorno senza dedicare a nessuno più di uno sguardo distratto, e un falso avviso bancario è pensato per confondersi in quell’abitudine, non per distinguersene.

Come funziona davvero l’SMS bancario falso

La truffa inizia con un numero che può essere falsificato (spoofing) in modo da apparire nello stesso filo di conversazione dei messaggi reali della tua banca, così l’SMS fasullo si posiziona proprio sotto uno legittimo ed eredita la sua credibilità. Il testo copia quasi alla lettera il linguaggio degli avvisi veri: una carta bloccata, un accesso sospetto, un pagamento da confermare. Segue un link, accorciato o mascherato con un dominio abbastanza simile a quello vero della banca da superare uno sguardo veloce. Cliccarlo apre una pagina di login clonata che cattura username e password in tempo reale, e a volte inoltra anche un codice monouso digitato pochi secondi dopo direttamente alla sessione dell’aggressore. L’intero scambio può concludersi prima ancora che tu abbia avuto il tempo di riflettere sul primo messaggio. Alcune varianti eliminano del tutto il link e indicano solo un numero da chiamare, dove un falso operatore ti guida nella ‘verifica dell’identità’ facendoti leggere numero di carta e PIN. L’infrastruttura dietro queste campagne è spesso economica e usa e getta: i truffatori affittano numeri temporanei, creano pagine clonate da modelli aggiornati ogni volta che una banca cambia grafica, e inviano migliaia di SMS in un’unica ondata, sapendo che anche un tasso di risposta minimo copre i costi molte volte.

Un SMS che arriva nel momento peggiore

Questo è uno scenario illustrativo, non un caso reale né una testimonianza.

È tardo pomeriggio e arriva un messaggio in mezzo a una commissione: ‘Attività insolita rilevata sul conto terminante con 4821. Verifica ora per evitare un blocco.’ Il numero sembra far parte dello stesso filo dell’avviso antifrode reale del mese scorso. Il link apre una pagina con il logo della banca, la tonalità di blu giusta, la casella di login esattamente dove dovrebbe essere. Nome utente, password, poi un codice a sei cifre arrivato poco dopo — inserito senza esitare perché la pagina lo chiedeva nello stesso modo in cui lo chiede sempre l’app vera. Solo più tardi, controllando il conto dall’app ufficiale, spunta un bonifico da diverse centinaia di euro, già inviato, già sparito. L’intero scambio, dal primo squillo del telefono all’ultimo tocco, è durato meno di due minuti — meno del tempo che di solito serve per rileggere due volte una notifica reale della banca. Quella velocità fa parte del meccanismo: la sequenza è costruita in modo che non ci sia una pausa naturale in cui il dubbio possa insinuarsi, solo passaggi che sembrano ciascuno l’ovvia mossa successiva.

Come fermare un SMS bancario falso prima che ti costi qualcosa

Le banche seguono schemi verificabili, e la truffa funziona solo se agisci dentro il messaggio stesso. La soluzione è non trattare mai l’SMS come punto di partenza per verificare qualcosa, ma come uno stimolo ad andare a controllare tramite un canale che controlli tu. Nessuno dei passaggi seguenti richiede competenze tecniche particolari: serve solo rompere l’abitudine di rispondere a un SMS alle sue condizioni.

Non toccare mai il link nel messaggio

Chiudi il messaggio e apri direttamente l’app della tua banca, oppure digita l’indirizzo web a memoria o da un segnalibro salvato. Gli avvisi legittimi su frodi o blocchi carta compariranno anche dentro l’app o l’home banking: se lì non trovi nulla che corrisponda, l’SMS era falso, per quanto convincente potesse sembrare. Questa singola abitudine da sola sconfigge la maggior parte di queste truffe, perché la pagina clonata funziona solo se ci arrivi tramite il link del truffatore e non tramite la tua app o il tuo segnalibro.

Chiama il numero sulla carta, non quello nel messaggio

Se un SMS o una pagina collegata ti forniscono un numero da chiamare, ignoralo. Il numero stampato sul retro della tua carta di debito o credito ti collega sempre al vero servizio antifrode della banca. I truffatori controllano sia il link falso sia la finta linea telefonica, quindi qualsiasi numero proveniente dal messaggio sospetto non è affidabile per definizione. Salva quel numero sul retro della carta in rubrica sotto una voce chiara come ‘Antifrode Banca’, così non sarai mai tentato di cercarlo online e finire su un risultato falsificato.

Considera ogni richiesta di codice monouso una bandiera rossa immediata

Le banche inviano codici monouso perché tu confermi un’azione che hai avviato tu — non chiamano né scrivono mai chiedendo di leggerne uno ad alta voce. Se ti viene chiesto di condividere un codice appena ricevuto, via SMS, telefono o modulo su una pagina web, fermati subito. Quel singolo numero è spesso l’ultimo elemento che manca a un aggressore per impossessarsi della sessione. Anche se chi è dall’altra parte sembra professionale, cita dati reali del tuo conto, o dice che il codice serve per ‘annullare’ una transazione sospetta, la risposta è sempre la stessa: riaggancia e chiama il numero sulla carta.

Segnala, blocca e controlla l’estratto conto

Inoltra gli SMS sospetti al numero di segnalazione spam del tuo operatore telefonico e blocca il mittente. Poi accedi al tuo conto tramite un canale affidabile e scorri le transazioni recenti in cerca di qualcosa che non riconosci, anche piccoli addebiti di prova, che i truffatori a volte fanno per primi per verificare se una carta rubata è ancora attiva. Se trovi qualcosa che non riconosci, segnalalo subito alla banca: la maggior parte degli istituti offre una protezione antifrode più efficace quanto prima viene segnalato un addebito non autorizzato, e aspettare anche pochi giorni può ridurre le possibilità di un rimborso completo.

Perché un filtro per chiamate e SMS conta ancora di più una volta riconosciuto lo schema

Una volta capito com’è fatto un SMS di impersonificazione bancaria, la vera difficoltà è intercettarlo prima ancora di leggerlo abbastanza da caderci. Un’app dedicata al filtraggio di chiamate e messaggi confronta i mittenti in arrivo con database di numeri noti per truffe e schemi di spoofing, segnalando o bloccando i messaggi prima che finiscano nel tuo filo di conversazione accanto ai veri avvisi bancari. Quella separazione conta: parte di ciò che rende questi SMS convincenti è la loro collocazione dentro una conversazione familiare, e un filtro che intercetta i numeri falsificati prima della consegna elimina del tutto quel trucco visivo. I buoni strumenti di protezione telefonica permettono anche di segnalare un numero con un tocco, alimentando gli stessi database usati per proteggere la persona successiva che riceverà esattamente quel messaggio. Nulla di tutto questo sostituisce il controllo del conto tramite i canali ufficiali, ma riduce quante volte ti trovi costretto a prendere quella decisione sotto pressione, proprio il momento in cui si commettono errori. Per chi è già stato preso di mira una volta, quel livello aggiuntivo di filtraggio può fare la differenza tra un SMS truffaldino che non arriva mai a un momento di dubbio e uno che si presenta camuffato da quarto messaggio in un pomeriggio altrimenti ordinario.

Telefono