Il numero sullo schermo sembra quello della banca. Chi chiama conosce il tuo nome, parla di un movimento sospetto e ti mette fretta: per bloccarlo, dice, servono il PIN, una password o il codice appena arrivato via SMS. È proprio qui che bisogna fermarsi. La banca non chiede per telefono i dati usati per l'home banking o per autorizzare i pagamenti.
Il numero visualizzato non è una prova. Con lo spoofing un truffatore può far apparire una chiamata come se provenisse da un contatto conosciuto o da un numero ufficiale. Riagganciare e richiamare la banca attraverso un canale trovato autonomamente non è scortesia: è la verifica corretta.
Preferisci guardarlo?
Truffa telefonica: la banca ti chiede il PIN?
In un minuto riconosci il segnale decisivo: una banca non ti chiede al telefono PIN, password o codici per autorizzare operazioni.
Se hai già comunicato un codice, approvato una notifica o disposto un pagamento, chiama subito la banca dal numero presente nell'app, sul retro della carta o sul suo sito ufficiale. Non aspettare di capire esattamente quale tecnica sia stata usata.
Cosa non comunicare mai durante una chiamata
Non dettare e non digitare su richiesta di chi ti ha chiamato:
- PIN della carta;
- password o nome utente dell'home banking;
- codici OTP ricevuti tramite SMS o generati dall'app;
- numero completo della carta, data di scadenza e codice di sicurezza;
- codici per reimpostare una password;
- credenziali SPID o codici di conferma;
- contenuto di notifiche che chiedono di approvare un accesso o un pagamento.
Non installare programmi di assistenza remota e non condividere lo schermo. Un falso operatore può presentarli come strumenti necessari per “mettere in sicurezza” il conto, ma gli permetterebbero di vedere ciò che fai o controllare il dispositivo.
Cosa fare mentre la telefonata è in corso
- Non confermare le informazioni. Anche correggere un indirizzo, una data o le ultime cifre di una carta può fornire dati utili.
- Non aprire link arrivati durante la chiamata. Non usare nemmeno il numero indicato dall'interlocutore per richiamare.
- Non approvare operazioni per annullarne altre. Un codice o una conferma nell'app autorizzano ciò che è scritto nella schermata, non ciò che la voce al telefono racconta.
- Interrompi la chiamata. Non serve convincere l'interlocutore che hai riconosciuto la truffa.
- Contatta tu la banca. Usa l'app ufficiale, il numero sul retro della carta o quello pubblicato sul sito che hai aperto personalmente.
- Controlla conto e carta. Verifica pagamenti, bonifici, nuovi beneficiari, dispositivi associati e notifiche recenti.
Se la chiamata riguarda un parente, un collega o un responsabile aziendale, verifica con quella persona attraverso un secondo canale già noto. Anche una voce credibile può essere imitata o provenire da un account compromesso.
Perché il numero può sembrare autentico
Nel vishing il phishing avviene tramite una telefonata. Spesso viene combinato con lo spoofing, che camuffa l'origine della chiamata o del messaggio. Per questo non basta controllare il nome o il numero mostrato dal telefono.
La storia raccontata tende a creare urgenza: un pagamento in corso, il blocco imminente della carta, un accesso dall'estero o un rimborso da confermare. Il truffatore può conoscere informazioni vere raccolte online, ottenute da precedenti violazioni o comunicate in una prima fase tramite SMS. La presenza di dati corretti non rende autentica la telefonata.
Se hai già condiviso dati o codici
Agisci da un dispositivo affidabile e segui quest'ordine:
- Chiama immediatamente la banca e chiedi il blocco degli strumenti coinvolti, la verifica delle operazioni e la revoca delle sessioni o dei dispositivi sconosciuti.
- Blocca la carta dall'app, se puoi farlo senza ritardare la telefonata alla banca.
- Cambia la password dell'home banking e dell'email collegata, senza riutilizzare password già adoperate altrove.
- Conserva le prove: numero visualizzato, orario, SMS, notifiche, IBAN, ricevute e descrizione di ciò che è stato chiesto.
- Contesta per iscritto le operazioni che non riconosci attraverso il canale indicato dalla banca e conserva numero di pratica e risposta.
- Presenta denuncia se sono stati sottratti denaro, credenziali o dati personali, oppure se sono state effettuate operazioni a tuo nome.
Il rimborso non è automatico in ogni situazione e la banca deve valutare il caso concreto. Nella guida su cosa fare dopo un furto d'identità digitale trovi i contatti per denuncia, contestazione bancaria e ricorso all'Arbitro Bancario Finanziario.
Tre controlli che riducono il rischio
- Attiva le notifiche per pagamenti, bonifici e nuovi accessi.
- Imposta limiti coerenti con l'uso reale di carta e conto.
- Spiega anche ai familiari una regola semplice: si riaggancia e si richiama usando un numero trovato autonomamente.
Salvare il vero numero della banca è utile, ma non basta a riconoscere una chiamata: lo spoofing può mostrare proprio quel numero. La protezione sta nel cambiare canale e iniziare personalmente il nuovo contatto.