Ingegneria sociale: perché le truffe funzionano con chiunque

Perché funziona con chiunque

Quasi tutto quello che una persona fa in una giornata è automatico, e deve esserlo. Quando una situazione assomiglia a qualcosa di familiare, come un avviso della banca o una richiesta di un parente, nessuno si ferma a esaminare ogni dettaglio, e chi truffa costruisce la storia apposta per entrare in quella forma. La Banca d’Italia usa proprio il nome ingegneria sociale nella sua pagina sulle truffe nei pagamenti, e la descrive come la manipolazione che porta una persona a consegnare informazioni, fingendosi qualcun altro o creando un senso di urgenza che non esiste.

Le dimensioni dicono qualcosa su quanto funzioni. Nel bilancio dell’attività 2025 della Polizia Postale, pubblicato il 10 gennaio 2026, il cybercrime economico-finanziario vale da solo 27.085 casi trattati e 4.489 persone indagate, dentro un totale di 51.560 casi, e il Commissariato di PS online ha ricevuto circa 94.000 segnalazioni nello stesso anno. Sono numeri che attraversano tutte le età e tutti i redditi. Cadere in una di queste conversazioni non è un difetto personale. La colpa è di chi la conduce, sempre.

Il nome suona tecnico, ma la scena di solito è ordinaria: una telefonata che sembra della banca, un messaggio di un parente da un numero nuovo, qualcuno che offre aiuto per un problema al computer, una somma da sistemare in fretta.

Vale la pena aggiungere una cosa che quasi nessuno dice: questi copioni vengono provati su migliaia di persone e corretti finché funzionano. Quando arrivano a te, sono già passati per le versioni che non funzionavano.

Come si costruisce la fiducia

La conversazione spesso si apre con un dato corretto, con un tono professionale o con un piccolo favore. La richiesta arriva dopo, quando la cornice è già in piedi. Autorità, simpatia, paura, urgenza e segretezza servono tutte a ridurre il numero di domande che una persona farebbe normalmente.

La segretezza è quella che si sottovaluta di più. La richiesta di non dirlo a nessuno, presentata come un’indagine in corso o come una cosa imbarazzante da evitare, esiste per impedirti di raccontare la storia ad alta voce a una seconda persona, perché raccontarla ad alta voce è quello che di solito la fa finire.

Questo esempio è inventato da noi. Non riproduce il marchio, la procedura né il numero ufficiale di nessuna azienda reale.

Il Garante per la protezione dei dati personali, nella sua scheda sul vishing, descrive lo stesso passaggio: i finti operatori chiedono alla persona, nel suo stesso interesse, di collaborare a mettere in campo procedure di sicurezza necessarie e false. La collaborazione richiesta è la truffa.

I dati veri su di te non provano l’identità

Un nome, un numero di telefono, un indirizzo, le ultime quattro cifre di una carta, il nome di un acquisto recente: tutto questo può arrivare da liste commerciali, da registri pubblici, da un profilo social o da una fuga di dati. Circola molto più di quanto sembri, e costa poco.

La conversazione stessa ne consegna dell’altro. Quando qualcuno chiede riconosci un addebito da 2.400 euro, qualunque risposta gli serve per aggiustare la storia, e una tua correzione riempie una casella che non aveva. Per questo chi sa delle cose su di te non è, per questo, verificato.

Quindi non autenticare uno sconosciuto in base a quello che sa. Autentica il canale: chiudi il contatto e raggiungi l’azienda o l’ente da un numero o da un’app che avevi già. È la stessa istruzione che ripete la Polizia Postale nei suoi consigli sulle frodi online, dove per le richieste di aiuto di presunti parenti scrive di verificare la reale identità del proprio interlocutore attraverso conferme esterne, come una telefonata o un messaggio ai numeri che hai già in rubrica.

Nello stesso testo la Polizia Postale ricorda che né la Polizia di Stato o altre forze dell’ordine, né gli istituti bancari chiederanno mai di comunicare, telefonicamente o via mail, codici personali o password temporanee, e che ricevere una richiesta del genere è certamente un tentativo di truffa. È una regola che vale anche quando chi parla sembra sapere tutto di te.

Le forme più comuni

Può passare da qualunque contatto: di persona, per telefono, per email o da un profilo social. Nelle truffe che puntano ai soldi delle persone comuni, alcune forme tornano sempre.

• Un motivo inventato per contattarti: un acquisto sospetto, un problema con una pratica, un parente nei guai. È la base del finto ufficio antifrode che ti telefona.
• L’esca: un premio, uno sconto enorme, un lavoro facile o dei soldi che ti aspettano, con un link da aprire o una spesa da anticipare per sbloccarli. Compare in continuazione nelle email e nei messaggi falsi.
• L’aiuto offerto: qualcuno si presenta come assistenza tecnica per un problema che non sapevi di avere e ti chiede di installare un programma o di leggere un codice. Una variante finisce con un rimborso accreditato per sbaglio e una differenza da restituire.
• Di persona: un corriere mandato a ritirare una carta o del contante a casa tua, oppure una raccolta per una causa che non esiste. La versione dal vivo esiste da anni e non è sparita.
• Un SMS corto: un pacco, un pedaggio, punti in scadenza o un conto che sta per essere bloccato, che è quello che si chiama smishing.
• Un pagamento che cambia destinazione: una fattura che aspettavi arriva con coordinate bancarie nuove, oppure un venditore ti chiede all’ultimo momento di passare a un altro metodo di pagamento.

La Polizia Postale, negli stessi consigli sulle frodi online, segnala anche la versione che comincia con una promessa di guadagno facile e chiede identità digitale e documenti personali per presunte attività di movimentazione di denaro. Chi accetta finisce a spostare soldi di altri, e non è un lavoro.

Le situazioni in cui compare

• chi chiama insiste perché la linea resti aperta mentre tu fai qualcosa;
• un parente scrive da un numero nuovo e chiede soldi;
• l’assistenza arriva senza che nessuno l’abbia chiamata;
• il conto su cui dovevi pagare cambia all’improvviso;
• ti viene chiesto di non dirlo a nessuno, il che serve a impedirti di chiedere a una seconda persona;
• il pagamento deve per forza essere un bonifico istantaneo, una ricarica, una criptovaluta o del contante, cioè strumenti difficili o impossibili da tornare indietro.

Nessuno di questi trasforma ogni conversazione in una truffa. Quello che fanno è segnare il momento in cui conviene uscire dal copione che ti è stato consegnato e controllare la situazione da un’altra parte.

Sull’ultimo punto la Banca d’Italia è netta: nella pagina sul bonifico istantaneo scrive che è immediato e irrevocabile nel momento in cui viene disposto, e che se hai indicato un IBAN sbagliato ma esistente, oppure se hai digitato l’IBAN giusto ma sei vittima di una truffa, recuperare l’importo è molto difficile, se non impossibile. Ecco perché la pressione punta sempre lì.

Come rompere la pressione

Chiudi il contatto e scegli tu il passo successivo. Chiama il parente al numero che avevi già, apri l’app della banca che hai installato tu, cerca il numero dell’azienda su un estratto conto o sulla carta. Non devi discutere, spiegare o dimostrare a chi hai davanti che hai notato qualcosa.

Una pausa è la difesa che costa meno di tutte. Quasi niente di vero peggiora perché hai aspettato dieci minuti e hai richiamato, e quasi tutto quello che è falso sì.

Aiuta anche mettersi d’accordo in famiglia prima che succeda qualcosa: una parola che viene chiesta ogni volta che si parla di soldi di fretta, l’intesa che nessuno paga sulla base di un solo messaggio, e l’abitudine di richiamare al numero vecchio per controllare. Non è una cosa da fare solo per le persone anziane: serve a chiunque riceva una richiesta urgente in un momento storto.

C’è poi un aiuto nuovo che arriva dalla banca, e in Italia vale dal 9 ottobre 2025. La Banca d’Italia spiega nella sua pagina sull’IBAN che, per i bonifici in euro nell’area dell’euro, banche e altri intermediari mettono a disposizione senza costi aggiuntivi un servizio che verifica la corrispondenza tra l’IBAN e il nome del beneficiario che hai indicato, prima che il pagamento parta. Se l’esito è mancata corrispondenza e tu procedi lo stesso, ti assumi la responsabilità delle conseguenze di un eventuale errore. Leggere quell’avviso è diventato uno dei controlli più semplici che esistono.

Se hai già dato informazioni o soldi

1. Chiama subito la banca, dall’app o dal numero stampato sulla carta, e racconta che cosa è successo. Chiedi che cosa si può ancora fare con il mezzo di pagamento che hai usato, perché un addebito sulla carta e un bonifico disposto da te non sono nella stessa posizione. La Banca d’Italia spiega nella pagina sulle operazioni di pagamento non autorizzate che un’operazione non autorizzata va rimborsata entro la fine della giornata operativa successiva a quella in cui l’intermediario ne viene a conoscenza, salvo dolo o colpa grave del cliente, e che la contestazione va fatta senza ritardo e comunque entro 13 mesi dall’addebito.
2. Se hai dato una password o un codice, cambia la password dall’app o dal sito ufficiale e attiva la verifica in due passaggi, che chiede un secondo dato oltre alla password. Se il codice riguardava un’app di messaggistica o la posta elettronica, comincia da quella, perché da lì si recupera quasi tutto il resto.
3. Se hai installato qualcosa durante la conversazione, stacca quel dispositivo da internet, usane un altro per la banca e per le password, e chiudi ogni sessione o dispositivo collegato che non riconosci.
4. Avvisa la famiglia e i tuoi contatti da un altro canale, così nessuno risponde a una richiesta di soldi fatta a nome tuo e tutti sanno che quell’account potrebbe essere in mano a qualcun altro.
5. Denuncia e segnala. Il Commissariato di PS online spiega nella pagina Denuncia per reati telematici che per truffa, frode informatica, accesso abusivo a un sistema informatico e indebito utilizzo di carte si parte da una pre-denuncia online, con SPID o CIE, da formalizzare poi in un ufficio di polizia su appuntamento. Separatamente, la pagina Segnala online serve per far conoscere lo schema, e Altroconsumo raccoglie gratuitamente SMS, telefonate e siti truffa.

Se il reclamo alla banca non porta a niente, la Banca d’Italia spiega come funziona l’Arbitro Bancario Finanziario: reclamo scritto all’intermediario, che per i servizi di pagamento ha 15 giorni per rispondere, poi ricorso entro 12 mesi, con 20 euro di contributo spese e senza bisogno di un avvocato.

Un’ultima cosa vale la pena dirla chiaramente, perché resta addosso a lungo: queste conversazioni sono costruite da persone che le fanno di mestiere, le correggono di continuo e le usano su migliaia di altri con lo stesso copione. Essere finito dall’altra parte di una fatta bene non dice niente sul tuo giudizio.

Domande frequenti sull’ingegneria sociale