«ALLERTA SICUREZZA: rilevate 3 minacce sul tuo dispositivo. I tuoi dati bancari sono esposti. Contatta immediatamente il supporto autorizzato allo 02 84 XX XX XX.»
Leggi questo messaggio proprio sullo schermo del dispositivo che sarebbe presuntamente infetto. È tutta qui la forza del copione: la prova e il sintomo coincidono. E a differenza del 90 % degli SMS fraudolenti che analizziamo qui, questo non contiene alcun link. Nessun dominio strano, nessun [.]info da individuare, niente su cui passare il dito. Solo un numero di telefono fisso, perfettamente normale, che aspetta una cosa sola: che tu lo chiami.
Questa variante ha un nome nel gergo della cybersicurezza: il callback phishing, ovvero il phishing con richiamata. Ribalta la logica abituale. Non è più il truffatore a spingerti verso un sito, sei tu a comporre volontariamente il suo numero. E da quel momento non ti trovi più davanti a un modulo, ma davanti a un essere umano addestrato.
Perché i truffatori abbandonano il link trappola
Il link cliccabile è stato a lungo l'arma assoluta dello smishing. Lo è sempre meno, per tre ragioni molto concrete.
I filtri sono migliorati. Gli operatori telefonici e i sistemi anti-spam integrati in iOS e Android analizzano ormai gli URL contenuti nei messaggi. Un dominio creato il giorno prima, ospitato in un Paese esotico e che imita un marchio noto ha un'aspettativa di vita che si misura in ore. Un SMS senza link, invece, non fa scattare quasi nessun allarme automatico: contiene solo testo e un numero di telefono nazionale.
Il pubblico è stato educato — su un unico riflesso. Le campagne di prevenzione hanno diffuso in modo massiccio un messaggio semplice: «non cliccare sul link». Ottimo consiglio, ma crea un angolo cieco. Molte persone hanno interiorizzato «link = pericolo» senza interiorizzare «numero sconosciuto = pericolo». Chiamare sembra addirittura il comportamento prudente: si preferisce «verificare con un essere umano vero» piuttosto che cliccare.
L'essere umano converte meglio di un modulo. Una pagina di phishing cattura un nome utente e una password. Un truffatore al telefono ottiene molto di più: il nome della tua banca, la tua disponibilità, il tuo livello di competenza tecnica, il tuo stato emotivo — e soprattutto la tua collaborazione attiva per trenta o quaranta minuti. La Banque de France, nei suoi lavori sulle frodi ai mezzi di pagamento, sottolinea del resto la netta crescita delle truffe cosiddette «per manipolazione», in cui è la vittima stessa a eseguire le operazioni fraudolente. Questo SMS ne è una tipica porta d'ingresso.
Come si svolge tipicamente una chiamata al «supporto»
Gli scenari variano, la meccanica è notevolmente stabile. Ecco la sequenza descritta dalla maggior parte delle vittime.
1. La costruzione della fiducia tecnica
Dall'altro capo del filo, una voce calma, un leggero brusio da call center in sottofondo — spesso ricreato artificialmente per rendere credibile l'idea di un vero centro di assistenza. Ti viene dato un «numero di pratica», ti chiedono il tuo nome, il modello del tuo telefono. Eventualmente ti leggono un riferimento trovato nell'SMS. In questa fase non viene chiesto nulla di sensibile: è deliberato. L'obiettivo è farti entrare in una normale relazione di servizio.
2. La dimostrazione dell'infezione
Il finto tecnico ti fa aprire una schermata banale del tuo dispositivo: l'elenco delle app recenti, il registro di accesso di un account, le impostazioni di rete. Poi interpreta. «Vede questa riga? È una connessione dall'estero.» Si tratta quasi sempre di elementi perfettamente normali, ma illeggibili per un non specialista. Il procedimento è identico a quello usato da quindici anni nelle truffe del finto supporto Windows, semplicemente trasposto sul mobile.
3. L'installazione del controllo remoto
È il punto di non ritorno. Ti viene chiesto di installare un'applicazione «di diagnostica», con un nome rassicurante, disponibile sugli store ufficiali perché si tratta di veri software di teleassistenza distolti dal loro uso. Una volta concesse le autorizzazioni di accessibilità, l'interlocutore vede il tuo schermo e può agire su di esso.
4. La «messa in sicurezza» dei fondi
Il copione si conclude quasi sempre con la stessa frase: i tuoi risparmi sarebbero minacciati, bisogna trasferirli su un «conto sicuro» — talvolta presentato come un conto della banca centrale o un conto di garanzia. In altre varianti ti fanno confermare un'operazione sulla tua app bancaria mentre il truffatore la pilota a distanza, oppure ti chiedono di dettare i codici ricevuti via SMS per «annullare» un addebito.
Nessun servizio clienti, nessuna banca, nessun operatore, nessuna amministrazione pubblica ti chiederà mai di installare un software di controllo remoto sul tuo telefono personale, né di trasferire denaro verso un «conto di sicurezza». Queste due richieste sono, da sole, la firma della truffa.
Chi riceve questi messaggi e perché funzionano
Questo scenario prende di mira in via prioritaria due profili, per ragioni opposte.
Le persone poco a proprio agio con la tecnologia, che hanno assimilato l'idea che un telefono possa «prendersi un virus» senza sapere cosa questo significhi concretamente. Per loro l'esistenza di un numero di assistenza è coerente con tutto ciò che conoscono: il router di casa, gli elettrodomestici, l'assicurazione. Chiamare un supporto fa parte del repertorio dei gesti normali. È per questa ragione che accompagnare un parente anziano conta più di qualsiasi software: una guida pratica alla sicurezza digitale lasciata a portata di mano, con i numeri ufficiali annotati sopra, fa spesso più effetto di un lungo discorso.
Le persone al contrario molto connesse, che gestiscono numerosi account, ricevono avvisi di sicurezza legittimi in continuazione e per le quali una notifica in più non desta alcuna diffidenza particolare. In questo caso non è l'ignoranza a giocare un ruolo, ma la stanchezza da allerta.
Sei segnali che smascherano il finto supporto
| Segnale osservato | Cosa fa un servizio vero | Cosa fa il truffatore |
|---|---|---|
| Il canale di contatto | Sei tu a contattarlo tramite l'app ufficiale o il numero sul retro della carta | Ti impone un numero fornito nel messaggio |
| Il linguaggio | Preciso, sfumato, «procediamo a verificare» | Allarmistico, con cifre, «3 minacce rilevate» |
| Il ritmo | Puoi richiamare più tardi | Ogni minuto conta, non si riattacca |
| Il software | Nessuno da installare | Un'applicazione di «diagnostica» indispensabile |
| I codici ricevuti via SMS | Mai chiesti a voce | Dettati «per confermare l'annullamento» |
| La destinazione dei fondi | Nessuna, i tuoi soldi non si muovono | Un conto «sicuro», una raccolta fondi, criptovalute |
Un dettaglio ulteriore merita attenzione: la natura stessa dell'avviso. Un telefono realmente compromesso non ti avviserebbe via SMS con un numero di telefono da comporre. Gli avvisi di sicurezza autentici di Android o iOS compaiono nelle impostazioni di sistema o nell'applicazione interessata, mai sotto forma di messaggio di testo proveniente da un mittente sconosciuto.
Cosa fare subito se hai già chiamato
L'ordine conta. Ecco i gesti, dal più urgente al meno urgente.
- Interrompi la connessione. Modalità aereo, oppure spegnimento del dispositivo. Se un software di controllo remoto è attivo, questo pone fine alla sessione in corso.
- Disinstalla l'applicazione installata durante la chiamata, così come qualsiasi app che non riconosci, e revoca le autorizzazioni di accessibilità nelle impostazioni.
- Chiama la tua banca da un altro dispositivo, componendo il numero riportato sul retro della tua carta — mai quello che ti è stato comunicato. Chiedi il blocco delle operazioni e il blocco della carta.
- Cambia le password degli account sensibili da un dispositivo integro: prima la casella di posta principale, poi la banca, poi gli account commerciali. Un gestore di password evita di riutilizzare ovunque la stessa combinazione, che è esattamente ciò su cui conta il truffatore.
- Sporgi denuncia alle forze dell'ordine, munito degli screenshot, del numero chiamato, degli orari e degli importi. I portali ufficiali dedicati alla criminalità informatica indirizzano anche verso operatori del territorio.
- Segnala l'SMS al servizio antispam del tuo operatore, il canale nazionale di segnalazione degli spam via SMS e delle chiamate indesiderate, inoltrando il messaggio. Segnala anche il numero chiamato: è così che viene messo fuori uso più in fretta.
In caso di bonifico eseguito, la normativa europea sui servizi di pagamento impone alla banca di rimborsare un'operazione non autorizzata. La difficoltà, nelle frodi per manipolazione, sta nel fatto che l'operazione è stata confermata dal cliente stesso: le banche invocano allora la colpa grave. Non rinunciare per questo. Gli organismi di conciliazione bancaria e l'Arbitro Bancario Finanziario trattano regolarmente questo tipo di controversia, e diverse decisioni hanno riconosciuto la responsabilità dell'istituto quando la manipolazione era particolarmente sofisticata.
Ridurre la superficie d'attacco prima del prossimo messaggio
Nessuna protezione rende immuni, ma alcune impostazioni abbassano notevolmente il rischio.
Blinda la porta d'ingresso bancaria. L'autenticazione forte della tua app bancaria deve basarsi su una convalida biometrica o su un codice da inserire nell'applicazione, mai su un codice comunicato a voce. Verifica anche il massimale dei bonifici: un massimale basso, alzato all'occorrenza quando serve, limita meccanicamente il danno.
Isola gli account critici. Una chiave di sicurezza fisica compatibile FIDO2, collegata via USB o avvicinata in NFC, rende inutilizzabile il furto delle tue credenziali sulla casella di posta principale. È l'investimento più redditizio per chi gestisce più account sensibili, perché l'e-mail è la chiave di tutto il resto.
Non lasciare che il telefono sia l'unico punto di accesso. Se il tuo cellulare è il tuo unico strumento per autenticarti ovunque, la sua compromissione equivale alla perdita di tutto. Tenere un secondo fattore altrove — un tablet, un computer, o un blocchetto di codici di recupero riposto fuori vista — separa i rischi.
Cura gli aggiornamenti. Un sistema aggiornato blocca vettori d'attacco noti. E una batteria stanca che costringe a rinviare gli aggiornamenti per risparmiare energia è un problema di sicurezza indiretto: un power bank compatto basta spesso a spezzare questo circolo vizioso.
Il caso particolare dei familiari anziani
È su questo pubblico che la truffa del finto supporto fa più danni, perché combina tre leve: la paura di «sbagliare» con la tecnologia, il rispetto per l'autorità presunta di un tecnico e l'isolamento nel momento della chiamata.
Alcune misure semplici, più efficaci di qualsiasi discorso:
- Scrivere i numeri veri su un supporto fisico. Il numero della banca, del medico, del servizio clienti dell'operatore, annotati su un foglio posato vicino al telefono. La regola diventa: «si chiama solo ciò che è sul foglio».
- Instaurare un riflesso di temporeggiamento. «Prima di installare qualsiasi cosa o di spostare del denaro, mi si chiama.» Una semplice regola familiare, esplicitata una volta, disinnesca l'urgenza artificiale.
- Semplificare l'apparecchio quando ha senso. Per un uso limitato alle chiamate, un telefono con tasti grandi riduce drasticamente la superficie di esposizione: nessuna app da installare, nessun controllo remoto possibile.
- Attivare il filtro delle chiamate. Tutti i principali operatori propongono opzioni di blocco di chiamate e messaggi indesiderati, spesso gratuite e raramente attivate.
Cosa dice questo SMS sull'evoluzione delle truffe
Il passaggio dal link alla chiamata non è un dettaglio tecnico, è un cambiamento di natura. I truffatori hanno capito che la difesa tecnologica progredisce più in fretta della difesa umana. Filtrare un URL malevolo è un problema risolto; impedire a qualcuno di fidarsi di una voce calma al telefono non lo è, e non lo sarà mai del tutto.
Da qui l'unico riflesso davvero solido, quello che funziona qualunque sia lo scenario, qualunque sia il marchio imitato, qualunque sia la sofisticazione del messaggio: non si richiama mai un numero comunicato in un messaggio non sollecitato. Si riattacca, si cerca da soli il numero ufficiale, si compone. Questo gesto costa trenta secondi. Da solo annulla l'intera catena descritta in questo articolo.
E se la tentazione di chiamare per «togliersi il dubbio» resta forte, ricorda la domanda che risolve tutto: perché un servizio che avesse davvero rilevato una minaccia sul tuo dispositivo avrebbe bisogno di te per neutralizzarla?
