Per anni ci siamo sentiti ripetere lo stesso consiglio: prima di rispondere a una telefonata sospetta, controlliamo il numero. Il suggerimento aveva un senso e, in parte, continua ad averlo. Il problema è che oggi sullo schermo del telefono può apparire il vero numero della nostra banca, anche quando dall’altra parte in realtà c’è un lestofante.
Non si tratta necessariamente di un errore del telefono e neppure della prova che i sistemi informatici della banca siano stati violati. La tecnica utilizzata si chiama spoofing telefonico e permette al truffatore di modificare il numero mostrato sul dispositivo della persona chiamata. Noi leggiamo il nome della banca o riconosciamo il numero della filiale e, comprensibilmente, abbassiamo le difese.
D’altra parte, se il numero è quello giusto, chi potrebbe mai chiamarci se non un dipendente dell’istituto di credito?
Cos’è lo spoofing telefonico
La parola inglese “spoofing” può essere tradotta con falsificazione o camuffamento. Nel caso delle telefonate, il truffatore manipola l’identificativo del chiamante – quello che tecnicamente viene indicato come CLI – facendo comparire sul nostro telefono un numero diverso da quello dal quale sta realmente chiamando.
Può trattarsi del numero di una banca, di un ufficio pubblico, delle Forze dell’ordine oppure di una normale utenza italiana. In alcuni casi il numero è già salvato nella rubrica e sullo schermo appare direttamente il nome associato. Tutto sembra quindi perfettamente credibile, almeno durante i primi secondi della conversazione.
Lo spoofing non deve essere confuso con il vishing, anche se le due tecniche vengono spesso impiegate insieme. Il vishing è una forma di phishing realizzata attraverso una telefonata: il criminale si finge una persona o un’organizzazione affidabile per convincerci a comunicare informazioni riservate o a compiere una determinata operazione. Lo spoofing gli serve invece per rendere più credibile la messinscena, mostrando un numero apparentemente autentico.
Come spiega la Banca d’Italia, i truffatori possono combinare telefonate, SMS ed e-mail con la falsificazione del mittente. In questo modo, il messaggio o la chiamata sembrano provenire proprio dalla banca della vittima.
Come funziona la truffa del falso operatore bancario
La telefonata raramente comincia con una richiesta esplicita di denaro – in quel caso sarebbe troppo semplice riconoscere l’inganno. Il falso operatore ci informa piuttosto di un problema: un accesso sospetto al conto, un bonifico in partenza, un acquisto effettuato in un’altra città oppure il rischio imminente che la carta venga bloccata.
Il tono può essere gentile e professionale. Il truffatore potrebbe conoscere il nostro nome, la banca che utilizziamo o altre informazioni personali recuperate da vecchie fughe di dati, profili pubblici e precedenti messaggi fraudolenti. Non deve sapere tutto: gli basta conoscere qualcosa e lasciare che siamo noi, rispondendo alle sue domande, a fornirgli il resto.
A quel punto arriva la presunta soluzione. Per bloccare l’operazione dobbiamo comunicare un codice ricevuto via SMS, confermare una richiesta attraverso l’app, inserire le credenziali in una pagina indicata dall’operatore oppure trasferire temporaneamente il denaro su un non meglio precisato “conto sicuro”.
Naturalmente, il conto sicuro non esiste. E il codice che ci viene chiesto non serve ad annullare un pagamento, ma ad autorizzarlo.
La fretta è una componente fondamentale della truffa (la gatta frettolosa, you know…). Se ci fermassimo qualche minuto a riflettere, potremmo chiamare la banca o chiedere aiuto a un familiare. Il falso operatore deve quindi impedirci di ragionare: l’operazione sta per essere eseguita, il conto potrebbe essere svuotato, bisogna intervenire immediatamente. Curiosamente, per salvarci da un pericolo urgente dovremmo consegnare proprio a uno sconosciuto le chiavi del nostro conto.
Una banca può chiedere password e codici al telefono?
Una banca può naturalmente contattare un cliente, anche per verificare un movimento insolito. Non chiederà però di comunicare la password dell’home banking, il PIN della carta o i codici temporanei ricevuti tramite SMS e applicazione.
Questi dati servono a dimostrare che siamo noi ad autorizzare un’operazione. Non occorrono a un vero dipendente per annullarla.
Bisogna diffidare anche di chi chiede di installare un’applicazione per ricevere assistenza, condividere lo schermo del telefono o spostare il denaro su un altro conto. Una banca non mette al sicuro i risparmi di un cliente chiedendogli di effettuare un bonifico verso un IBAN comunicato durante una telefonata.
Il nome, il numero visualizzato e persino la conoscenza di alcuni nostri dati non costituiscono una garanzia. La Banca d’Italia ricorda espressamente che le credenziali di accesso non devono essere comunicate per telefono, e-mail, SMS o applicazioni di messaggistica.
Come capire se la telefonata è falsa
Non sempre è possibile riconoscere una truffa dalla voce o dal modo di parlare dell’interlocutore. L’italiano incerto, i rumori di sottofondo e la scarsa professionalità possono insospettirci, ma non sono elementi indispensabili: esistono telefonate fraudolente costruite molto bene.
È più utile concentrarsi sulle richieste ricevute. Dobbiamo interrompere la conversazione se chi chiama:
* ci domanda password, PIN o codici temporanei;
* pretende che approviamo una notifica attraverso l’app della banca;
* ci invita a trasferire denaro su un altro conto;
* ci chiede di installare programmi o applicazioni;
* vuole controllare a distanza il telefono o il computer;
* insiste perché agiamo immediatamente;
* cerca di impedirci di chiamare autonomamente la banca.
Possiamo chiudere la telefonata senza discutere e senza preoccuparci di apparire scortesi. Se la comunicazione era autentica, potremo richiamare l’istituto di credito attraverso uno dei suoi canali ufficiali.
Come verificare se ci ha chiamato veramente la banca
Dopo avere interrotto la chiamata, non bisogna richiamare semplicemente il numero comparso nell’elenco delle telefonate recenti. È preferibile cercare autonomamente il contatto ufficiale della banca: possiamo trovarlo sul retro della carta, nell’applicazione, nell’area riservata del sito oppure su un documento dell’istituto.
Il numero va digitato manualmente. Se possibile, possiamo anche utilizzare un telefono diverso o attendere qualche minuto prima di chiamare.
Non dobbiamo usare link ricevuti via SMS o comunicati durante la conversazione3: anche una pagina praticamente identica al sito della banca può essere stata creata per raccogliere credenziali e dati personali.
I nuovi filtri rendono impossibile lo spoofing?
Dal 2025 gli operatori telefonici italiani devono bloccare molte chiamate provenienti dall’estero che mostrano illecitamente un numero italiano. Il filtro è entrato in funzione prima per i numeri fissi e successivamente per quelli mobili.
I risultati sono stati consistenti: secondo AGCOM, nei primi undici giorni di applicazione del filtro alle numerazioni mobili sono state bloccate circa 49,3 milioni di chiamate illecite.
Questo non significa, però, che lo spoofing sia completamente scomparso. Le misure riguardano soprattutto le telefonate provenienti dall’estero e camuffate con una numerazione italiana. Possono rimanere altri sistemi per falsificare o utilizzare impropriamente l’identità del chiamante, comprese chiamate originate sul territorio nazionale.
Il filtro riduce il numero delle telefonate fraudolente, ma non trasforma il numero visualizzato in un documento d’identità. La regola più sicura rimane quindi la stessa: nessuna richiesta di credenziali, codici o trasferimenti di denaro deve essere accettata durante una chiamata ricevuta.
Cosa fare se abbiamo già comunicato i dati
Se ci accorgiamo di avere fornito una password, un codice di sicurezza o i dati della carta, bisogna contattare immediatamente la banca attraverso i recapiti ufficiali. Chiediamo di bloccare gli strumenti di pagamento coinvolti, controlliamo i movimenti recenti e cambiamo le credenziali compromesse.
Non aspettiamo di vedere sparire il denaro dal conto: un codice comunicato al truffatore potrebbe essere utilizzato subito, mentre un’applicazione per il controllo remoto installata sul telefono potrebbe consentirgli di continuare a osservare ciò che facciamo.
È inoltre opportuno conservare il numero apparso sullo schermo, gli SMS ricevuti, gli orari delle chiamate, eventuali indirizzi Internet e le ricevute delle operazioni. Queste informazioni potranno essere consegnate alla Polizia Postale o alle altre Forze dell’ordine al momento della denuncia.
E no, non c’è nulla di cui vergognarsi. Queste truffe funzionano perché combinano tecnologia, informazioni personali e pressione psicologica. Chi viene ingannato non è necessariamente inesperto (o anziano – come il target del nostro sito): spesso ha soltanto creduto a un numero che sembrava impossibile falsificare. Oggi sappiamo che non è così. Dubitare di tutto è fondamentale, in questi tempi postmoderni.
Vuoi rimanere aggiornato su tutte le ultime news? Iscriviti al nostro canale Telegram!
Qualche tutorial non funziona? Hai qualche soluzione per noi? Vuoi una mano? Scrivi a informaticaperanziani [AT] gmail.com