Ti chiamano dalla banca e conoscono già il tuo nome: può essere una truffa ?

Squilla il telefono. Risponde una voce professionale, pacata, che si presenta come operatore della vostra banca. Sa già il vostro nome, il vostro cognome, forse persino gli ultimi movimenti del conto. Vi rassicura, vi spiega che è in corso un tentativo di frode sul vostro conto e che è necessario agire immediatamente. Tutto sembra autentico. Eppure, molto spesso, non lo è.

Questo articolo illustra come funzionano le truffe telefoniche bancarie — tecnicamente definite vishing — spiega perché il semplice possesso dei vostri dati personali non prova affatto l'identità dell'interlocutore, elenca i segnali di allarme da riconoscere in tempo reale e indica le azioni concrete da intraprendere quando si sospetta di essere vittima di una frode, o quando la frode si è già consumata.

1Che cosa si intende per vishing

Il termine vishing nasce dalla fusione delle parole inglesi voice e phishing. Si tratta di una tecnica di frode che sfrutta la telefonata vocale — tradizionale o via internet — per ingannare la vittima inducendola a rivelare informazioni sensibili o a compiere operazioni finanziarie a favore del truffatore.

A differenza del phishing classico, che avviene tramite e-mail o messaggi scritti, il vishing aggiunge un elemento di immediata pressione emotiva: la voce umana, il tono urgente, la simulazione di un'emergenza. Il cervello umano è naturalmente portato ad attribuire maggiore autenticità a una conversazione orale rispetto a un testo scritto. I truffatori lo sanno e lo sfruttano con grande abilità.

Il fenomeno è in costante crescita in tutta Europa. In Italia, le segnalazioni relative a frodi telefoniche bancarie sono aumentate sensibilmente negli ultimi anni, tanto da spingere la Banca d'Italia e l'Arbitro Bancario Finanziario a pubblicare ripetuti avvisi al pubblico. 

2Come i truffatori ottengono i vostri dati personali

Il punto che più disorientante per le vittime è proprio questo: come fa un estraneo a sapere già chi siete, dove avete il conto, magari anche l'importo di un'operazione recente? Le risposte sono molteplici e tutte tecnicamente documentate.

Violazioni di dati (data breach). Enormi quantità di dati personali vengono sottratte ogni anno da banche dati aziendali, piattaforme di e-commerce, servizi digitali. Questi dati — nomi, indirizzi, numeri di telefono, a volte dati bancari parziali — vengono poi venduti nel mercato nero del dark web. Chi acquista questi elenchi può costruire una telefonata apparentemente credibile perché parte già con informazioni reali.

Phishing preliminare. Spesso il vishing è il secondo atto di un processo iniziato con un'e-mail o un SMS ingannevole (smishing). La vittima ha già cliccato su un link, ha già inserito qualche dato in una pagina falsa, e ora viene ricontattata telefonicamente da chi ha raccolto quelle informazioni.

Tecniche OSINT. L'acronimo Open Source Intelligence indica la raccolta di informazioni da fonti aperte: social network, forum, registri pubblici, siti aziendali. Un truffatore metodico può ricostruire una quantità sorprendente di informazioni su una persona semplicemente navigando sul web.

Malware e app malevole. In alcuni casi, i dispositivi della vittima sono già stati compromessi da software dannoso che ha intercettato o trasmesso credenziali e dati bancari prima ancora che la truffa telefonica cominci.

3Lo spoofing del numero telefonico: quando il display mente

Una delle tecniche più efficaci e insidiose utilizzate nel vishing è il cosiddetto caller ID spoofing, ovvero la falsificazione del numero chiamante. Attraverso servizi VoIP (Voice over Internet Protocol) e specifici software, è tecnicamente possibile impostare come numero mittente della propria chiamata qualsiasi numero si desideri — incluso il numero ufficiale della vostra banca.

Il risultato è che sul display del vostro telefono compare il numero verde o il numero ufficiale dell'istituto di credito, magari con il nome della banca come intestazione del contatto, se lo avete salvato in rubrica. Questo crea un'illusione di autenticità quasi impenetrabile per chi non conosce la tecnica.

È importante comprendere che la verifica del numero chiamante sul display del telefono non costituisce in alcun modo una prova dell'identità del chiamante. L'unico modo per verificare di star parlando davvero con la propria banca è terminare la chiamata e richiamare autonomamente utilizzando i numeri ufficiali pubblicati sul sito istituzionale dell'istituto.

4Le tecniche di manipolazione psicologica

Il vishing non è solo una frode tecnologica: è soprattutto una frode psicologica. I truffatori sono spesso abili manipolatori che applicano tecniche consolidate di ingegneria sociale (social engineering).

La creazione dell'urgenza. "C'è un'operazione sospetta in corso, dobbiamo bloccarla immediatamente." Il senso di urgenza impedisce alla vittima di ragionare con calma e la spinge ad agire d'impulso.

L'autorità simulata. La voce si presenta come responsabile dell'antifrode, come direttore della filiale, a volte persino come agente di polizia o funzionario della Banca d'Italia. L'autorità percepita abbassa le difese.

La rassicurazione paradossale. "Non si preoccupi, è tutto sotto controllo, stiamo noi gestendo la situazione." La vittima smette di chiedersi se qualcosa non va perché qualcuno sembra già occuparsene.

La conferma dei dati noti. All'inizio della chiamata, il truffatore fornisce spontaneamente alcuni dati reali della vittima — nome, indirizzo, banca — creando l'impressione che stia leggendo un file interno. In realtà sta semplicemente usando informazioni già acquisite per guadagnarsi la fiducia.

L'isolamento. In alcuni casi viene sconsigliato di rivolgersi ad altri ("non ne parli con nessuno, potrebbe compromettere l'indagine"), proprio per impedire che la vittima si confronti con familiari o consulenti che potrebbero smascherare la truffa.

5I segnali di allarme da riconoscere immediatamente

Conoscere i campanelli d'allarme è il primo strumento di difesa. La tabella seguente riassume le richieste che non dovreste mai soddisfare durante una telefonata, a prescindere da chi si presenti come interlocutore.

6Cosa fare nell'immediato: le azioni da compiere

Se durante una telefonata iniziate a nutrire anche il minimo dubbio sull'identità del vostro interlocutore, la regola è semplice e assoluta: interrompete la chiamata. Non occorre essere scortesi, non occorre spiegare: riagganciare è sufficiente e lecito.

Subito dopo, seguite questi passi nell'ordine indicato.

1. Richiamate la banca autonomamente. Usate il numero pubblicato sul retro della carta di credito, sul sito ufficiale dell'istituto o sulla vostra documentazione contrattuale. Non richiamate il numero da cui avete ricevuto la telefonata: potrebbe essere falsificato e potreste ritrovarvi nuovamente con il truffatore.

2. Chiedete il blocco immediato delle operazioni sospette. Se nel corso della telefonata avete già fornito dati o autorizzato operazioni, comunicate immediatamente la situazione all'operatore della banca e richiedete il blocco delle carte e del conto online.

3. Conservate ogni elemento utile. Salvate gli screenshot dei messaggi SMS ricevuti, annotate il numero chiamante (anche se falsificato, può essere utile in sede investigativa), conservate i testi delle comunicazioni e-mail eventualmente ricevute in precedenza. Non cancellate nulla.

4. Presentate denuncia-querela. La truffa telefonica è un reato perseguibile ai sensi dell'articolo 640 del codice penale (truffa) e, quando condotta con strumenti informatici o telematici, può integrare anche la fattispecie prevista dall'articolo 640-ter del codice penale (frode informatica).  La denuncia può essere presentata presso qualsiasi stazione dei Carabinieri, ufficio di Polizia o Guardia di Finanza, o in via telematica attraverso il portale della Polizia Postale.

5. Conservate la ricevuta della denuncia. Il numero di protocollo della denuncia sarà necessario per qualsiasi procedura di rimborso avviata nei confronti della banca.

7La responsabilità della banca e la possibilità di rimborso

Una delle domande più frequenti che si pone chi ha subìto una truffa di questo tipo è: posso ottenere il rimborso dalla banca? La risposta non è mai automatica, ma dipende da una valutazione attenta delle circostanze concrete.

Il quadro normativo di riferimento, per le operazioni di pagamento non autorizzate, è rappresentato principalmente dal decreto legislativo 15 dicembre 2017, n. 218, che ha recepito in Italia la Direttiva europea sui servizi di pagamento (PSD2, Direttiva 2015/2366/UE). 

In linea generale, quando un'operazione di pagamento non è stata autorizzata dal titolare del conto, il prestatore di servizi di pagamento (la banca) è tenuto al rimborso immediato dell'importo, salvo che possa dimostrare che il cliente ha agito con dolo o con colpa grave. Il confine tra colpa lieve e colpa grave è spesso il terreno su cui si gioca la disputa tra banca e cliente.

La banca potrebbe sostenere che il cliente ha agevolato la frode comunicando i propri codici di sicurezza, e che ciò integra una colpa grave che la esonera dall'obbligo di rimborso. Il cliente, viceversa, potrà argomentare che la condotta truffaldina era così sofisticata — con spoofing del numero ufficiale, conoscenza di dati personali, presenza di messaggi SMS apparentemente autentici nella stessa conversazione dell'istituto — da rendere il proprio errore scusabile e non qualificabile come colpa grave.

L'Arbitro Bancario Finanziario ha affrontato questa tipologia di controversie in numerose occasioni.  In alcune pronunce, i Collegi hanno riconosciuto il diritto al rimborso parziale o totale del cliente quando le modalità della frode erano particolarmente ingannevoli e il sistema bancario non aveva adottato le misure di sicurezza rafforzata previste dalla normativa. In altri casi, il rimborso è stato negato o ridotto quando il cliente aveva comunicato autonomamente i propri codici OTP.

In ogni caso, la valutazione è sempre individuale. Fattori come il tipo di operazione, il canale utilizzato, la presenza o assenza di autenticazione forte (Strong Customer Authentication, SCA), la rapidità con cui la banca è stata avvisata e i comportamenti concreti del cliente costituiscono elementi determinanti che devono essere analizzati caso per caso da un professionista.

Oltre al ricorso all'ABF — gratuito per il cliente e accessibile senza necessità di patrocinio legale, anche se una consulenza preventiva è sempre opportuna — è possibile valutare un'azione giudiziaria ordinaria nei confronti dell'istituto di credito, nonché la costituzione di parte civile nel procedimento penale eventualmente avviato contro i responsabili della frode.

8Profili penali: la truffa e la frode informatica

Dal punto di vista del diritto penale, le condotte descritte in questo articolo possono integrare plurime fattispecie di reato. La fattispecie più ricorrente è la truffa, punita dall'articolo 640 del codice penale, che richiede la sussistenza di artifizi o raggiri idonei a indurre in errore la vittima, con conseguente profitto del reo e danno del soggetto ingannato. Quando la condotta si realizza — anche in parte — mediante strumenti informatici o telematici, può configurarsi la più grave fattispecie della frode informatica ai sensi dell'articolo 640-ter del codice penale.

Lo spoofing del numero telefonico potrebbe inoltre integrare il reato di sostituzione di persona previsto dall'articolo 494 del codice penale, che punisce chiunque, al fine di procurare a sé o ad altri un vantaggio o di recare ad altri un danno, induce taluno in errore sostituendo illegittimamente la propria all'altrui persona.

In molti casi, le truffe di questo tipo sono commesse da organizzazioni criminali strutturate, il che può rilevare anche ai fini dell'applicazione di aggravanti o di ulteriori fattispecie associative. Le indagini sono normalmente condotte dalla Polizia Postale e delle Comunicazioni, che dispone di competenze tecniche specifiche nel settore dei reati informatici e finanziari.

La tempestività della denuncia è essenziale non solo per l'avvio delle indagini, ma anche perché il tracciamento dei flussi di denaro — che spesso transitano rapidamente attraverso più conti, a volte in giurisdizioni estere, prima di essere prelevati o convertiti in criptovalute — richiede interventi urgenti che solo l'autorità giudiziaria può disporre tramite richiesta di sequestro o ordine di blocco ai sensi del codice di procedura penale.