Finta banca
via SMS e WhatsApp

Perché il telefono raggruppa gli SMS in base al nome del mittente, e quel nome non viene verificato. Quando una banca Le invia un messaggio, sullo schermo non vede un numero di telefono ma un testo, il nome della banca. Quel testo lo scrive chi invia il messaggio, e il sistema degli SMS non controlla che abbia il diritto di usarlo. Così chi si spaccia per la Sua banca scrive esattamente lo stesso nome, e il Suo telefono, che non ha modo di distinguerli, inserisce il messaggio nella stessa conversazione dei codici veri che riceve da anni. È questo che disarma quasi tutti: la conversazione è autentica, lo storico è autentico e l'ultimo messaggio sembra uno dei tanti. Per questo il punto in cui compare un SMS non dimostra nulla. Conta quello che Le chiede: se La rimanda a un link, a un numero di telefono o a fare qualcosa in fretta, non è la banca.

No. Anche il numero che compare sullo schermo quando qualcuno La chiama si può falsificare, con strumenti che non richiedono alcuna competenza particolare. Vedere il numero del servizio clienti della Sua banca, perfino con il nome salvato in rubrica, significa solo che qualcuno ha scelto di mostrare quel numero, non che la chiamata parta dalla banca. È il secondo pezzo della stessa truffa: prima l'SMS nella solita conversazione, poi una chiamata dal solito numero, e le due cose insieme sembrano confermarsi a vicenda. Non è così, perché si falsificano allo stesso modo. Non serve nemmeno chiedere «come faccio a sapere che è della banca?», perché hanno la risposta pronta, a volte con i Suoi dati reali. L'unica cosa che funziona è interrompere quel canale: riattacchi e chiami Lei il numero stampato sul retro della carta o quello che trova nell'app della banca. Se era vero, glielo confermeranno lì.

È la parte finale del copione, quella che trasforma l'inganno in denaro perso. Le dicono che il conto è compromesso, che qualcuno sta cercando di svuotarlo e che, per proteggerlo, bisogna spostare il saldo su un conto «sicuro», «ponte» o «di custodia» finché la situazione non si risolve. A volte Le danno un IBAN, a volte La guidano a fare un bonifico istantaneo dalla Sua stessa app, a volte Le chiedono di prelevare contanti. Quel conto è di chi La sta chiamando. Nessuna banca protegge il Suo denaro chiedendoLe di toglierlo Lei dal conto: se rileva davvero un problema, blocca operazioni o carte dall'interno, senza che Lei sposti nulla. Il bonifico lo fa Lei, con le Sue credenziali, dal Suo telefono, ed è proprio questo che cercano, perché così l'operazione risulta autorizzata dal titolare. La regola è assoluta: se qualcuno Le chiede di spostare denaro per proteggerlo, è una truffa, senza eccezioni.

Quel codice è la Sua firma. La banca lo invia perché Lei confermi un'operazione precisa: un pagamento, un bonifico, una modifica dei dati o l'attivazione della carta su un altro telefono per pagare con quello. Chi La chiama ha già avviato quell'operazione dalla sua parte, con dati che Le ha sottratto prima o che ha ottenuto su una pagina falsa, e gli manca solo il codice che è appena arrivato a Lei. Per questo glielo chiede con una scusa: «per annullare l'addebito sospetto», «per verificare che sia Lei», «per bloccare il bonifico». Legga prima di tutto il testo completo dell'SMS: spesso dice esattamente che cosa sta autorizzando e aggiunge di non comunicarlo a nessuno, nemmeno alla banca. Nessun dipendente della Sua banca ha bisogno che Lei gli detti un codice per annullare qualcosa. Se qualcuno glielo chiede al telefono, su WhatsApp o in qualsiasi altro modo, riattacchi. Dettarlo equivale a firmare l'operazione.

Lo consideri falso. Mettere il logo di una banca nella foto profilo di WhatsApp e il suo nome nel profilo è alla portata di chiunque: basta un numero di cellulare nuovo. Il messaggio di solito segue lo stesso copione dell'SMS, con un'operazione sospetta, un blocco imminente o una verifica in sospeso, e Le propone di continuare la conversazione lì, inviare una foto della carta o del documento d'identità, toccare un link o ricevere una chiamata. Che il profilo sembri ufficiale non significa nulla: dice molto, invece, che la Sua banca Le scriva da un numero sconosciuto per chiederLe dati in fretta. Se la Sua banca usa un canale di messaggistica, lo troverà spiegato nella sua app o nel suo sito ufficiale, a cui arriva digitando Lei l'indirizzo. Nel dubbio, non risponda in quella chat: apra l'app della banca o chiami il numero sul retro della carta e chieda se quel problema esiste davvero.

Chiami subito la Sua banca, al numero sul retro della carta o a quello dell'app, mai a quello che Le hanno dato durante la chiamata. Spieghi di essere stato vittima di una truffa per sostituzione di identità, quale operazione ha autorizzato e quando, e chieda di bloccare carte e accessi e di provare a fermare o recuperare il bonifico. Non c'è garanzia di recuperarlo, ma prima chiama, più possibilità ci sono. Poi, da un dispositivo affidabile, cambi la password dell'home banking e quella della posta se l'ha comunicata o l'ha digitata su una pagina falsa. Conservi gli SMS, i messaggi WhatsApp e il registro delle chiamate: non cancelli nulla, perché sono la prova. Con questo materiale sporga denuncia alla Policía Nacional, alla Guardia Civil o ai Mossos d'Esquadra. Il 017 dell'INCIBE offre orientamento gratuito sui passi da seguire. Se ha anche installato un'app che Le avevano chiesto, quel telefono va controllato prima di tornare a usarlo per la banca.

Alcuni sì. Esistono norme che obbligano gli operatori a filtrare una parte delle chiamate e degli SMS che falsificano numeri o mittenti, e le banche stesse avvisano sempre più spesso di queste truffe. Ma non conti sul fatto che il filtro fermi tutto: gli attaccanti cambiano metodo non appena uno smette di funzionare, usano numeri nazionali reali, passano a WhatsApp o combinano più canali. Un filtro riduce quanti messaggi arrivano, ma non cambia quello che deve fare con quello che arriva comunque. Inoltre la truffa non dipende dalla tecnologia ma dalla conversazione: il passo decisivo lo fa sempre Lei, dettando un codice, toccando un link o facendo un bonifico. Per questo le regole sono le stesse di anni fa e continuano a funzionare: la banca non chiede codici, password né di spostare denaro; Lei riattacca e chiama il numero che aveva già; i link degli SMS non si toccano.

Con tre frasi brevi, scritte su un foglio accanto al telefono o sul frigorifero, perché nel momento della chiamata nessuno ricorda un lungo discorso. Prima: «la banca non chiede mai codici, password né di spostare denaro». Seconda: «se chiama la banca, riattacco e chiamo io il numero della carta». Terza: «i link degli SMS non si toccano». Spieghi anche perché il messaggio comparirà nella solita conversazione e la chiamata arriverà dal solito numero, perché è proprio questo che fa vacillare anche le persone prudenti. E tolga di mezzo la vergogna: dica che preferisce dieci telefonate per chiedere se qualcosa è normale piuttosto che un bonifico verso un conto sconosciuto. In azienda vale lo stesso per chi gestisce i pagamenti e per chi ha il cellulare aziendale: nessuno autorizza operazioni a seguito di una chiamata ricevuta, e al minimo dubbio si chiede prima di fare qualsiasi cosa.