«BANCA: tentativo di bonifico di 1.249,00 € verso un beneficiario sconosciuto. Se non è stato lei a disporre l'operazione, non faccia nulla, un consulente la richiamerà.»
Questo SMS ha una caratteristica temibile: non vi chiede nulla. Nessun link da cliccare, nessun modulo da compilare, nessun codice da inserire. Si limita a instillare una paura — quella di veder sparire i propri soldi — e ad annunciare una soluzione che arriva da sé. Due minuti dopo, il telefono squilla. Sullo schermo compare il numero della vostra filiale, quello stampato sul retro della carta di pagamento. Ed è lì che la vittima abbassa ogni difesa.
È la cosiddetta truffa del falso consulente bancario, la «frode del CEO in versione privati». Oggi rappresenta una delle truffe più costose per le famiglie: gli importi sottratti si contano raramente in decine di euro, ma in migliaia, a volte decine di migliaia. La Banque de France e l'Observatoire de la sécurité des moyens de paiement lanciano regolarmente l'allarme su questa «frode per manipolazione», in cui è la vittima stessa a eseguire le operazioni fraudolente.
Perché questo SMS non sembra affatto una truffa
Le classiche campagne di smishing — il finto pacco, la finta multa, la finta tessera sanitaria — si basano tutte su un link trappola. Abbiamo imparato a diffidare dei link. I truffatori si sono adattati.
L'SMS della truffa del falso consulente è concepito per superare tutti i filtri mentali che abbiamo costruito:
- Non contiene alcun link: impossibile «cliccare per errore».
- Non chiede alcun dato: niente da inserire, quindi in apparenza niente da rubare.
- Vi dice esplicitamente di non fare nulla: il che, paradossalmente, ispira fiducia. Un truffatore vorrebbe farvi agire, si pensa.
- Compare spesso nella conversazione già esistente con la vostra banca, subito dopo i veri messaggi con i codici di verifica.
Quest'ultimo punto merita una spiegazione. Gli SMS professionali utilizzano un «mittente alfanumerico»: al posto di un numero si legge «LaMiaBanca», «INPS» o «Poste». Questo campo non è autenticato end-to-end: un truffatore può compilarlo a piacimento tramite alcuni gateway internazionali. Risultato: il telefono, che ordina i messaggi per nome del mittente, archivia il messaggio falso insieme a quelli veri. Il messaggio fraudolento eredita così tutta la credibilità accumulata da mesi di comunicazioni legittime.
L'SMS non è la truffa. L'SMS è la messinscena che rende credibile la telefonata.
La chiamata: trenta minuti di teatro ben collaudato
La telefonata che segue è il cuore del meccanismo. Sfrutta lo spoofing telefonico: la visualizzazione del numero chiamante viene falsificata per riprodurre quello della vostra banca. Da quando sono entrati in vigore la legge Naegelen e il sistema di autenticazione dei numeri predisposto dall'Arcep, gli operatori francesi filtrano una parte di queste chiamate contraffatte — ma restano zone d'ombra, in particolare per le chiamate che transitano da operatori esteri.
Dall'altro capo del filo, la voce è calma, professionale, quasi annoiata dalla routine. Non vi chiede mai la password. Ed è proprio questo a renderla credibile.
Fase 1: stabilire l'autorità
Il falso consulente si presenta con un nome, una matricola, a volte un reparto («servizio antifrode, piattaforma di Nantes»). Enuncia informazioni che si presume solo lui possa conoscere: le ultime quattro cifre della carta, la data di nascita, il nome della vostra filiale, a volte le ultime operazioni. Questi dati provengono da fughe di database clienti o da un phishing precedente.
Fase 2: invertire l'onere della prova
«Per la sua sicurezza, devo verificare di parlare proprio con il titolare.» Siete voi a dover dimostrare la vostra identità, mentre è lui ad aver chiamato. Questo ribaltamento è un classico dell'ingegneria sociale: mette la vittima nella posizione di chi deve chiedere.
Fase 3: creare un'urgenza controllata
«Tre tentativi di pagamento sono in corso di elaborazione. Ho 12 minuti prima che la compensazione interbancaria li convalidi definitivamente.» Il conto alla rovescia impedisce ogni verifica, ogni telefonata a una persona di fiducia, ogni presa di distanza.
Fase 4: la richiesta decisiva
Assume una di queste forme:
| Cosa chiede il falso consulente | Cosa succede in realtà |
|---|---|
| «Confermi la notifica nell'app per annullare l'operazione» | Autorizzate un bonifico o l'aggiunta di un beneficiario |
| «Mi detti il codice a 6 cifre che le ho appena inviato» | Lui conferma un pagamento online con la vostra carta |
| «Trasferiamo i suoi fondi su un conto ponte protetto» | Bonificate i vostri risparmi su un conto mula |
| «Installi questa app di assistenza così faccio una diagnosi» | Prende il controllo da remoto del vostro telefono |
| «Passerà un corriere a ritirare la carta da tagliare» | Recupera la carta, ancora utilizzabile |
Il «conto ponte», il «conto di garanzia» o la «cassaforte della Banca centrale» non esistono. Nessuna banca, nessun istituto, nessuna autorità dispone di un conto di appoggio sul quale un privato dovrebbe bonificare i propri risparmi. È la finzione centrale della truffa.
I segnali che tradiscono il falso consulente
Alcuni elementi non mentono mai, anche quando tutto il resto sembra autentico.
1. Un vero consulente non vi chiede mai di confermare alcunché durante la telefonata. Né un codice ricevuto via SMS, né una notifica nell'app, né un'impronta digitale. L'autenticazione forte serve ad autorizzare un'operazione, mai ad annullarla. Se vi chiedono di confermare per annullare, vi stanno truffando. È l'unico criterio da ricordare, se ne dovete ricordare uno solo.
2. Un vero consulente accetta che siate voi a richiamare. Il falso, mai. Tirerà in ballo la coda d'attesa, la linea intasata, la perdita della pratica, la responsabilità che ricadrebbe su di voi. La risposta giusta è sempre la stessa: «Riattacco e richiamo il numero sul retro della mia carta.»
3. Un vero consulente non vi fa installare software. Le app di controllo remoto sono strumenti legittimi usati in modo distorto. Una banca non vi chiederà mai di installarne una.
4. Un vero consulente non vi chiede di mentire. «Se la chiama la sua banca, dica che è un acquisto di mobili»: questa frase, molto frequente negli script delle frodi sui bonifici, è una confessione a tutti gli effetti.
5. La pressione temporale è sempre artificiale. Un bonifico sospetto può essere contestato entro tredici mesi secondo il codice monetario e finanziario. Nessuna operazione si gioca sui dodici minuti.
Il gesto che manda all'aria tutto: riattaccare e richiamare
Esiste una contromisura di assoluta semplicità, e basta da sola a far fallire l'intero copione: riattaccare e poi richiamare da soli il numero ufficiale.
Riattaccare non è maleducazione. E non significa nemmeno «correre un rischio»: se la chiamata era legittima, la banca vi richiamerà o troverà traccia dell'incidente. Una precauzione si impone però sulle vecchie linee fisse: alcuni truffatori restavano in linea per simulare il tono di libero. Su cellulare questo rischio è nullo una volta che la chiamata è realmente terminata; in caso di dubbio, usate un altro apparecchio oppure aspettate trenta secondi prima di comporre il numero.
Per chi usa ancora molto il fisso, in particolare gli anziani, un telefono fisso con filtro chiamate e blocco dei numeri sconosciuti elimina gran parte di queste sollecitazioni ancora prima dello squillo. Il principio è lo stesso degli SMS: meno contatti non richiesti, meno occasioni di cadere in trappola.
Tre numeri da conoscere, e da salvare prima di averne bisogno:
- Il numero della vostra filiale, ricopiato dal retro della carta di pagamento o da un estratto conto cartaceo — mai da un SMS o da un risultato dei motori di ricerca, dove a volte compaiono numeri falsi.
- Il 0 892 705 705: servizio interbancario di blocco carta, attivo 24 ore su 24.
- Il 17 119: numero nazionale dedicato alle vittime di attacchi informatici e truffe online, gratuito, attivo tutti i giorni.
Cosa fare nell'ora successiva a un'operazione fraudolenta
La rapidità di reazione condiziona direttamente le possibilità di recuperare i fondi. Un bonifico SEPA non è istantaneamente irreversibile: una richiesta di richiamo dei fondi (recall) può talvolta essere attivata dalla banca ordinante se il denaro non è ancora stato prelevato dal conto del destinatario.
- Bloccare subito la carta e, se necessario, chiedere il blocco dei bonifici in uscita.
- Cambiare le credenziali dell'home banking da un dispositivo diverso da quello potenzialmente compromesso.
- Disinstallare qualsiasi app installata durante la telefonata, poi controllare le applicazioni con permessi estesi nelle impostazioni del telefono.
- Redigere una dichiarazione scritta e datata per la banca: ora della chiamata, numero visualizzato, nome fornito dall'interlocutore, importi, IBAN del destinatario se compare. Invio tramite raccomandata con ricevuta di ritorno. Un semplice blocco note A5 tenuto vicino al telefono permette di annotare questi elementi a caldo, quando la memoria è ancora fresca — spesso è ciò che fa la differenza nella pratica.
- Sporgere denuncia presso la polizia o i carabinieri. La denuncia non è una condizione legale per il rimborso, ma rafforza il fascicolo.
- Segnalare l'SMS al 33700 inoltrandolo, e segnalare la chiamata fraudolenta sulla piattaforma Signal Conso o sempre al 33700.
Cosa dice la legge sul rimborso
È il punto che la maggior parte delle vittime ignora, e che alcune banche si guardano bene dallo spiegare.
Il codice monetario e finanziario (articoli L133-18 e seguenti) fissa un principio chiaro: in caso di operazione di pagamento non autorizzata, la banca deve rimborsare immediatamente, al più tardi il primo giorno lavorativo successivo alla segnalazione. Può rifiutare solo se dimostra una negligenza grave del cliente — e l'onere della prova spetta a lei, non al cliente che dovrebbe dimostrare la propria innocenza.
La Cour de cassation ha del resto emesso diverse decisioni favorevoli alle vittime di spoofing. In una sentenza di rilievo del 2024, la sezione commerciale ha stabilito che aver comunicato dati di sicurezza a un interlocutore che si presentava come consulente, in un contesto in cui il numero visualizzato era quello della banca, non configurava automaticamente una negligenza grave. In altre parole: quando l'usurpazione è tecnicamente credibile, la colpa non ricade meccanicamente sulla vittima.
In pratica:
- Se la banca rifiuta, rivolgetevi prima al suo ufficio reclami, per iscritto.
- Poi al mediatore bancario dell'istituto (gratuito, risposta entro 90 giorni in linea di principio).
- Come ultima istanza, il giudice competente in materia di tutela del consumatore. Associazioni come UFC-Que Choisir e CLCV seguono regolarmente questo tipo di pratiche.
Attenzione a una sfumatura importante: la tutela è nettamente più solida per le operazioni non autorizzate (pagamento effettuato a vostra insaputa) che per i bonifici che la vittima ha disposto lei stessa sotto manipolazione. La distinzione è tecnica, ma si può sostenere in giudizio — tanto più che la direttiva europea sui servizi di pagamento, attualmente in revisione, prevede di estendere l'indennizzo ai casi di frode con usurpazione dell'identità di un istituto.
Preparare il terreno prima di essere presi di mira
Questa truffa colpisce indistintamente, ma riesce meglio quando la persona è sola, di fretta o poco pratica dei meccanismi bancari. Alcune misure prese a mente lucida cambiano radicalmente l'esito.
Impostare un massimale sui bonifici. La maggior parte delle banche consente di fissare un limite giornaliero di bonifico nelle impostazioni dell'app. Abbassare questo massimale a una cifra realistica (500 o 1.000 €) trasforma una catastrofe in un semplice incidente. Alzarlo richiede tempo — e il tempo è precisamente il nemico del truffatore.
Isolare i risparmi. Un libretto non collegato ai bonifici istantanei, o i cui movimenti richiedano un passaggio in filiale, mette al riparo la parte essenziale del patrimonio.
Concordare una parola d'ordine familiare. Una frase nota solo a voi, da chiedere quando un familiare vi chiama per un'urgenza finanziaria. Vale anche contro la truffa del finto figlio in difficoltà.
Scrivere la regola su carta. Una rubrica con indice alfabetico appoggiata vicino al telefono, con i numeri veri e la frase «Riattacco sempre e richiamo io», aiuta moltissimo le persone che si bloccano sotto pressione. È banale, ed è efficace.
Informarsi senza spaventarsi. Esistono ottimi libri divulgativi sulla cybersicurezza per privati, scritti senza gergo tecnico, che spiegano i meccanismi di manipolazione più che la tecnica. Cybermalveillance.gouv.fr pubblica inoltre schede pratiche gratuite e stampabili, da appendere in casa propria o da un genitore anziano.
Proteggere il dispositivo stesso. Un telefono danneggiato o fuori uso nel momento sbagliato significa non poter bloccare la carta in tempo. Una cover rinforzata e una power bank di emergenza non sono accessori di comodità in questo contesto: sono la garanzia di poter agire.
In sintesi
La truffa del falso consulente bancario non si basa né su un attacco informatico né su una falla tecnica. Si basa su una sequenza: un SMS che genera inquietudine, una chiamata che porta sollievo, un'autorità che rassicura, un'urgenza che impedisce di riflettere.
Una sola frase disinnesca l'intero meccanismo, e merita di essere ripetuta ad alta voce fino a diventare un riflesso:
«Riattacco e richiamo io stesso il numero scritto sul retro della mia carta.»
Nessun consulente legittimo se ne offenderà. Nessun truffatore vi sopravvivrà.
