«Codice di verifica: 748 219. Non comunicare questo codice a nessuno, nemmeno a un operatore.»
Tu non hai chiesto nulla. Eppure l'SMS arriva da un mittente che riconosci: il nome della tua banca, di un marketplace, di un servizio di pagamento. Lo leggi due volte, alzi le spalle. E venticinque secondi dopo il telefono squilla.
All'altro capo del filo una voce pacata, un leggero brusio da call center in sottofondo, il tuo nome pronunciato correttamente. «Buongiorno, servizio sicurezza. Abbiamo rilevato un tentativo di pagamento di 847 euro sul suo conto da un dispositivo sconosciuto. Ha appena ricevuto un codice via SMS: è il codice di annullamento. Può dettarmelo così blocco l'operazione?»
Quel codice non annulla nulla. Autorizza. E l'SMS che ti metteva in guardia diceva esattamente la verità: solo che eri già dentro il copione di qualcun altro.
Il codice usa e getta, ultimo lucchetto prima del vuoto
Da quando è entrata in applicazione la direttiva europea sui servizi di pagamento (PSD2), che impone l'autenticazione forte del cliente, quasi tutte le operazioni sensibili passano da un secondo fattore: un codice inviato via SMS, una notifica da confermare nell'app bancaria, a volte un'impronta digitale.
Questo codice — si parla di OTP, one-time password, password usa e getta — è diventato il passaggio obbligato di ogni frode. Un truffatore che dispone delle tue credenziali e della tua password, ottenute da una fuga di dati o tramite un sito falso, da solo non può più fare nulla. Gli manca una cosa: le sei cifre che solo tu ricevi.
Da qui un ribaltamento completo della strategia criminale. Non si tratta più di violare un sistema, ma di convincere un essere umano a leggere sei cifre ad alta voce. È infinitamente meno costoso e, purtroppo, più efficace.
La Banque de France e l'Observatoire de la sécurité des moyens de paiement lo rilevano anno dopo anno: la frode «con manipolazione della vittima» cresce mentre quella puramente tecnica arretra. L'aggressore non ha più bisogno di essere un informatico. Deve essere un attore — oppure avere un robot che lo faccia al posto suo.
Gli «OTP bot»: quando la truffa diventa un abbonamento mensile
È il vero cambiamento degli ultimi due anni, ed è poco conosciuto dal grande pubblico. Il furto dei codici di verifica si è industrializzato sotto forma di servizi chiavi in mano, venduti su canali di messaggistica privati a tariffe mensili.
Il principio è di una semplicità deprimente. Il truffatore possiede le tue credenziali (comprate in un lotto di dati rubati). Si collega alla tua area personale, il che fa scattare l'invio automatico del vero SMS da parte del vero servizio. Nello stesso istante inserisce il tuo numero nel robot e sceglie uno scenario: «banca», «consegna», «piattaforma di criptovalute», «operatore telefonico».
Il robot compone il tuo numero, riproduce una voce sintetica — spesso eccellente, in un italiano senza accento, con l'ambiente sonoro di un call center — e ti chiede di digitare o dettare il codice appena ricevuto. Non appena lo fai, il codice arriva al truffatore in tempo reale, che lo inserisce prima della scadenza. L'intera operazione dura meno di novanta secondi.
Tre dettagli rendono questo dispositivo temibile:
- La sincronizzazione è perfetta. L'SMS legittimo e la chiamata arrivano nell'ordine giusto, a pochi secondi di distanza. Il cervello collega automaticamente i due eventi.
- L'SMS è autentico. Arriva davvero dalla tua banca, dal mittente corretto, con la formattazione giusta. Nulla da individuare, nessun link sospetto da controllare: non c'è alcun link.
- Il numero visualizzato è falsificato. Grazie allo spoofing, la chiamata sembra provenire dal numero stampato sul retro della tua carta di credito.
In altre parole, tutti i riflessi che ci vengono insegnati da dieci anni — controllare il link, controllare il mittente, controllare il numero — vengono neutralizzati in un colpo solo.
I cinque scenari più ricorrenti
1. Il falso operatore «sicurezza»
Il classico. Sarebbe stato rilevato un pagamento sospetto, bisogna annullarlo. Il codice servirebbe a «bloccare», «rifiutare», «mettere in sicurezza». Una banca non chiede mai un codice per annullare qualcosa: l'annullamento avviene dalla sua parte, senza il tuo intervento.
2. La conferma di consegna
Un pacco sarebbe bloccato, una fascia oraria da confermare. Il codice servirebbe a «convalidare l'indirizzo». Nei fatti, convalida spesso la creazione di un account o l'inserimento di una carta di pagamento in un wallet mobile.
3. La compravendita tra privati
Stai vendendo un oggetto. L'acquirente ti invia un codice «per verificare che non sei un robot» prima di venire a ritirarlo. È un codice di iscrizione a un servizio terzo, collegato al tuo numero — che servirà poi a costruire altre frodi a tuo nome.
4. Il falso servizio clienti dell'operatore
Ti propongono uno sconto, un gesto commerciale, il passaggio a un'altra tariffa. Il codice richiesto è in realtà quello che autorizza il trasferimento della tua linea su un'altra SIM. Questa variante porta direttamente al dirottamento completo del tuo numero.
5. La «riattivazione» di un account congelato
Un account di posta, una piattaforma di annunci, un servizio di pagamento mobile: ti annunciano un blocco e ti «aiutano» a sbloccarlo. Il codice sblocca effettivamente qualcosa — l'accesso del truffatore.
Perché anche le persone prudenti ci cascano
Bisogna abbandonare l'idea che queste truffe colpiscano solo chi ha poca dimestichezza con la tecnologia. Gli scenari sfruttano meccanismi cognitivi universali, perfettamente documentati.
L'urgenza elimina la verifica. Una somma importante, un conto in pericolo, un termine di due minuti: il cervello passa in modalità reazione. Gli studi sulle decisioni sotto stress mostrano un netto calo della capacità di considerare ipotesi alternative.
La coerenza rassicura più dell'autenticità. Ricevi un SMS, ti chiamano a proposito di quell'SMS: i due elementi si confermano a vicenda. È la cosiddetta illusione di corroborazione. In realtà entrambi provengono dalla stessa fonte — il truffatore ha semplicemente innescato il primo.
L'autorità disarma la contraddizione. Una voce calma, un lessico tecnico («blocco», «rifiuto dell'operazione», «livello 2»), un numero conosciuto. Interrompere qualcuno che sembra volerti aiutare richiede un vero sforzo sociale.
L'avvertimento sul codice viene aggirato. «Non comunicare questo codice a nessuno» viene presentato dal truffatore come un'istruzione riferita alle altre telefonate: «Certo, fa bene a diffidare. È proprio per questo che la sto chiamando io dal numero ufficiale.» Il dubbio viene assorbito, rovesciato, trasformato in prova di serietà.
L'unica regola che basta a bloccare tutto
Puoi dimenticare gli elenchi di dieci consigli. Una sola frase protegge da tutti questi scenari:
Un codice ricevuto via SMS non si detta mai, non si digita mai sulla tastiera del telefono, non si inoltra mai. Lo inserisci solo tu, su uno schermo, in un'applicazione o su un sito che hai aperto tu stesso.
Nessuna eccezione. Né per un consulente bancario, né per un poliziotto, né per un tecnico, né per un corriere, né per un acquirente. Nessun professionista legittimo ha bisogno di quel codice, perché nessun professionista legittimo sta agendo al posto tuo sul tuo conto.
Corollario altrettanto importante: un codice ricevuto senza motivo è un segnale d'allarme, non un errore. Se arriva mentre tu non hai fatto nulla, significa che qualcuno possiede già le tue credenziali e sta tentando di entrare. La reazione giusta non è ignorare l'SMS, ma cambiare immediatamente la password del servizio interessato, dall'applicazione ufficiale.
Riprendere il controllo: i gesti concreti
Riagganciare, poi richiamare da soli
È il gesto più efficace e il più difficile da compiere. Si chiude, si aspetta un minuto intero (alcuni truffatori tengono la linea aperta), poi si compone da soli il numero riportato sul retro della carta o nell'app. Se l'incidente fosse reale, sarà ancora lì tra cinque minuti.
Per chi riceve molte chiamate indesiderate, un telefono fisso con filtro chiamate — che blocca i numeri non registrati o impone un messaggio preliminare — elimina buona parte del rumore. È un investimento modesto per un genitore anziano che non osa riattaccare in faccia a un interlocutore gentile.
Uscire dall'SMS per l'autenticazione, quando è possibile
L'SMS resta il fattore di autenticazione più debole: è intercettabile tramite dirottamento della linea, leggibile su uno schermo bloccato e vulnerabile alla manipolazione qui descritta. Quando un servizio lo consente, preferisci un'app di autenticazione (conferma nell'app bancaria, generatore di codici) o, per gli account più sensibili, una chiave di sicurezza fisica FIDO2, che ha il pregio di non mostrare nulla che si possa dettare a uno sconosciuto.
Bloccare l'anteprima dei messaggi
Per impostazione predefinita, molti telefoni mostrano il contenuto degli SMS sulla schermata di blocco. Un codice visibile senza sbloccare è un codice esposto a chiunque posi lo sguardo sul dispositivo — su un treno, in un open space, in una sala d'attesa. L'impostazione si trova nelle notifiche: scegli «nascondi contenuto». Un filtro privacy per schermo di smartphone completa utilmente la misura per chi consulta il telefono sui mezzi pubblici.
Proteggere la linea stessa
Poiché l'SMS arriva sulla tua SIM, la SIM diventa un bersaglio. Due precauzioni: attivare il codice PIN della scheda (disattivato per impostazione predefinita da molti utenti) e chiedere al proprio operatore il blocco della portabilità, un'opzione che impedisce il trasferimento della linea senza una convalida rafforzata. Chi separa i propri usi apprezzerà un telefono dual SIM, che consente di riservare un numero dedicato ai servizi bancari, mai comunicato negli annunci né nei moduli.
Scrivere la regola su un supporto fisico
Sembra ingenuo, eppure è ciò che funziona meglio con le persone vulnerabili. Un cartoncino stampato vicino al telefono fisso con tre righe: «Non detto mai un codice. Riaggancio. Richiamo io la mia banca.» Diverse associazioni di prevenzione distribuiscono promemoria di questo tipo. Una guida pratica alla cybersicurezza quotidiana, lasciata sul tavolino del salotto, fa spesso di più per la vigilanza familiare di un lungo discorso.
Se hai comunicato il codice
Non c'è nulla di cui vergognarsi: questi scenari sono ideati da professionisti che lo fanno a tempo pieno. C'è però un'urgenza.
| Tempistica | Azione |
|---|---|
| Immediatamente | Chiamare il servizio di blocco della propria banca (numero sul retro della carta) e far bloccare carta e accesso online |
| Entro un'ora | Cambiare la password del servizio interessato e della casella di posta collegata, se possibile da un altro dispositivo |
| Entro 24 ore | Segnalare sulla piattaforma ufficiale di segnalazione delle frodi e sporgere denuncia alle forze dell'ordine |
| Entro 13 mesi | Contestare per iscritto alla banca le operazioni non autorizzate |
Alcuni riferimenti utili:
- Il 3018 (chiamata e servizio gratuiti) assiste le vittime di violenze digitali; Info Escroqueries allo 0 805 805 817 fornisce informazioni sulle procedure.
- Gli SMS fraudolenti si segnalano al 33700, servizio comune agli operatori francesi.
- Il sito cybermalveillance.gouv.fr, dispositivo nazionale di assistenza, propone schede pratiche e un elenco di fornitori accreditati.
- Il Code monétaire et financier prevede il rimborso delle operazioni di pagamento non autorizzate, salvo negligenza grave del cliente. La nozione di negligenza grave viene valutata caso per caso: il fatto di essere stati vittime di una manipolazione elaborata, con falsificazione del numero della banca, è già stato considerato a favore del cliente dalla Cour de cassation. Conserva tutto: screenshot, orari delle chiamate, numero visualizzato, contenuto degli SMS.
Che cosa annuncia questa truffa per il futuro
Il codice usa e getta via SMS sta vivendo i suoi ultimi anni come standard di sicurezza. Le autorità europee di vigilanza bancaria incoraggiano già la migrazione verso metodi che legano l'autenticazione al dispositivo e all'operazione stessa — una conferma nell'app che mostra l'importo e il beneficiario, molto più difficile da dirottare per telefono.
Nel frattempo, la vulnerabilità non si trova né nel telefono né nella rete: si trova nella conversazione. Un truffatore non ruba un codice, se lo fa dare. Il che significa che una sola decisione — rifiutare educatamente, riagganciare, richiamare da soli — basta a far fallire un'intera catena d'attacco, robot vocali compresi.
L'SMS che ti avverte ha ragione. È la chiamata che segue a mentire.
