Phishing e smishing: come riconoscere i messaggi falsi e cosa fare se sei stato truffato
I segnali da controllare e i passi concreti per limitare i danni
Ogni giorno in Italia arrivano messaggi che imitano comunicazioni ufficiali di banche, Poste Italiane, INPS, corrieri e operatori telefonici.
L’obiettivo è sempre lo stesso: spingere chi li riceve ad agire in fretta, cliccando un link o fornendo un codice, prima che si accorga che qualcosa non torna.
La differenza tra phishing e smishing
Il phishing arriva via email. Il messaggio imita graficamente una comunicazione ufficiale: logo, colori, tono formale.
L’indirizzo del mittente sembra legittimo a prima vista, ma spesso contiene piccole variazioni difficili da notare, come “servizio@bancaintesaa.it” invece di “servizio@bancaintesa.it”.
Lo smishing arriva via SMS. È più diretto: “Abbiamo rilevato un accesso sospetto al tuo conto. Clicca qui per confermare la tua identità.” oppure “Il tuo pacco è in attesa.
Paga €1,99 per sbloccarlo.” Il tono è sempre urgente, il link rimanda a una pagina falsa costruita per sembrare quella reale.
In entrambi i casi l’obiettivo è ottenere credenziali bancarie, codici OTP o dati della carta. Con queste informazioni chi ha costruito la truffa può accedere al conto, effettuare pagamenti o vendere i dati ad altri.
I segnali da controllare prima di agire
Nessuna banca italiana, nessun ente pubblico e nessun corriere chiede mai codici OTP, PIN o password via SMS o email.
Questo è il punto di partenza: se un messaggio chiede uno di questi dati, è una truffa, indipendentemente da quanto sembri autentico.
Altri segnali da riconoscere:
L’urgenza artificiale è il meccanismo principale. “Il tuo conto verrà bloccato entro 24 ore”, “Agisci subito o perderai l’accesso”. Le comunicazioni ufficiali non funzionano così.
L’indirizzo email o il numero mittente non corrispondono a quelli ufficiali. Per verificare, cerca il contatto ufficiale sul sito della banca o dell’ente, non sul messaggio ricevuto.
Il link nel messaggio porta a un dominio diverso da quello ufficiale. Passando il cursore sopra il link senza cliccare si vede l’indirizzo reale. Su smartphone, tenere premuto il link mostra l’URL completo prima di aprirlo.
La pagina di destinazione chiede dati che la banca non chiede mai online: PIN completo, tutte le cifre della carta, codici di sicurezza.
Cosa fare nelle prime ore se sei caduto nella trappola
Il tempo è il fattore critico. Più si agisce in fretta, maggiori sono le possibilità di limitare i danni.
Il primo passo è bloccare la carta o il conto. Ogni banca ha un numero di emergenza disponibile 24 ore su 24, indicato sul retro della carta e sul sito ufficiale.
Non usare il numero eventualmente presente nel messaggio truffaldino: potrebbe essere un secondo punto di contatto con i truffatori.
Se si è fornito un codice OTP, bisogna considerare che potrebbe già essere stato usato per autorizzare un’operazione.
La banca può verificare se ci sono transazioni recenti non riconosciute e bloccare quelle ancora in sospeso.
Va cambiata subito la password dell’home banking, e se la stessa password era usata su altri servizi, va cambiata anche lì. Se si è fornito il PIN della carta, la carta va bloccata e sostituita.
Conservare tutto: screenshot del messaggio, numero mittente, orario, eventuali pagine visitate. Questi elementi serviranno per la segnalazione e per la contestazione dell’addebito.
Come contestare un addebito non autorizzato
La normativa PSD2 obbliga le banche a rimborsare gli addebiti non autorizzati.
La procedura prevede di presentare un reclamo formale scritto alla banca, descrivendo l’accaduto e allegando le prove disponibili. La banca ha 15 giorni lavorativi per rispondere, o 35 in casi complessi.
Se la banca nega il rimborso o non risponde nei tempi previsti, si può presentare ricorso all’Arbitro Bancario Finanziario, che è gratuito per l’utente fino a determinate soglie e non richiede un avvocato.
Il rimborso può essere negato se la banca dimostra che il cliente ha agito con negligenza grave, per esempio fornendo consapevolmente le proprie credenziali.
Per questo è importante documentare che si è stati ingannati da una comunicazione apparentemente autentica.
Come segnalare la truffa
La segnalazione alla Polizia Postale si fa online sul sito commissariatodips.it oppure di persona presso un ufficio.
Non risolve il problema immediatamente, ma contribuisce a tracciare i fenomeni e può essere utile per la contestazione alla banca.
Se il numero mittente dello smishing era un numero italiano, si può segnalarlo anche al proprio operatore telefonico, che può bloccare ulteriori invii dallo stesso numero.
L’IVASS raccoglie segnalazioni relative a truffe in ambito assicurativo. L’AGCM gestisce segnalazioni su pratiche commerciali scorrette.
Per truffe che imitano comunicazioni INPS o Agenzia delle Entrate, questi enti hanno pagine dedicate alle segnalazioni sui propri siti ufficiali.
Contenuto a scopo informativo. Non costituisce consulenza legale o finanziaria personalizzata. In caso di truffa, contatta immediatamente la tua banca e le autorità competenti.
