Conto hackerato o svuotato: cosa fare subito, in che ordine

La prima ora, in ordine

Chiama la banca prima di fare qualsiasi altra cosa, anche prima di cambiare la password. Bloccare carte, accessi e bonifici in uscita è quello che ferma altri addebiti, e il diritto al rimborso dipende anche da quanto in fretta avvisi.

1. Chiama la banca adesso. Usa il numero sul retro della carta, sull’estratto conto o dentro l’app che avevi già installato, mai un numero trovato con una ricerca veloce o dato da chi ti ha contattato. Chiedi di bloccare le carte e l’accesso all’home banking, di fermare i bonifici ancora non eseguiti e di aprire una pratica di disconoscimento. Annota il numero di pratica e il nome di chi ti risponde.
2. Indica ogni operazione che non riconosci, con data e importo, anche quelle piccole. Chiedi di controllare nuovi beneficiari salvati, nuovi dispositivi collegati, numeri di telefono o email cambiati e nuove carte digitali aggiunte a un portafoglio sul telefono.
3. Se un bonifico è appena partito, chiedi se si può ancora fermare o richiamare. Per i bonifici istantanei la guida su bonifico istantaneo e truffa spiega cosa si può chiedere.
4. Cambia la password dell’email, poi quella della banca. Il recupero delle password passa dall’email, quindi un’email ancora in mano a qualcun altro annulla ogni altro cambio. Fallo da un dispositivo di cui ti fidi.
5. Scrivi subito cosa è successo. Orari, importi, cosa hai cliccato o risposto, chi ti ha chiamato. Diventerà la contestazione e, più avanti, la denuncia.

Se non sei sicuro che il conto sia davvero violato, chiama lo stesso. La banca ti dice in due minuti quello che una ricerca non può dirti, e un falso allarme non costa niente.

La banca deve rimborsare i soldi usciti dal conto?

Sì, per le operazioni che non hai autorizzato la banca deve rimborsare, salvo dolo o colpa grave del cliente. Le regole sono quelle del decreto legislativo 11/2010 sui servizi di pagamento. La Banca d’Italia le spiega nella pagina sulle operazioni di pagamento non autorizzate: la banca deve rimborsare immediatamente e comunque entro la fine della giornata operativa successiva a quella in cui viene a conoscenza dell’operazione, e deve rimettere il conto nello stato in cui sarebbe stato senza l’addebito, compresi gli interessi.

Il rimborso è dovuto in modo particolare quando l’operazione non è passata dall’autenticazione forte, cioè dalla verifica con due elementi indipendenti, come qualcosa che sai e qualcosa che hai. Quando l’autenticazione forte c’è stata, la banca avvia un’istruttoria e può rifiutare il rimborso se prova che hai agito con dolo o con colpa grave. La Banca d’Italia sottolinea che la sola presenza dell’autenticazione forte non basta per concludere che c’è stata colpa grave.

La contestazione va fatta appena te ne accorgi e comunque entro 13 mesi dall’addebito. Può succedere anche che la banca rimborsi nei tempi di legge e poi, dopo un’analisi più approfondita, riaddebiti l’importo se conclude che c’è stata colpa grave: in quel caso, dice la Banca d’Italia, dovrebbe avvisarti.

Cambiare le credenziali nell’ordine giusto

Prima l’email, poi la banca, poi tutto quello che può reimpostare la banca. Farlo in un altro ordine vuol dire cambiare una password che qualcun altro può subito cambiare di nuovo.

Dai a ognuno di questi account una password sua, non una variante di quella che usi già. La Banca d’Italia, in Pagamenti in sicurezza, paragona l’uso della stessa password ovunque a usare la stessa chiave per il portone, la porta di casa e la cassaforte: basta perderne una per mettere a rischio tutto.

Mentre sei dentro ogni account, guarda le impostazioni oltre alla password: regole di inoltro automatico nell’email, numeri di telefono e indirizzi di recupero che non conosci, sessioni aperte su altri dispositivi. Esci da tutte le sessioni dove è possibile. Poi elimina beneficiari, carte digitali e pagamenti periodici che non hai impostato tu.

Se ricevi i codici di accesso via SMS, ricorda che anche il numero di telefono può essere un bersaglio. Se il telefono perde all’improvviso la linea senza motivo, chiama subito il tuo operatore da un altro telefono e poi la banca, perché qualcuno potrebbe aver ottenuto una SIM con il tuo numero.

Controllare i dispositivi

Cambia le credenziali da un dispositivo di cui ti fidi, poi controlla quello che usi di solito per la banca. Se qualcuno ha avuto accesso da remoto, o se è stato installato un programma malevolo, le nuove password digitate su quel dispositivo possono essere lette mentre le scrivi.

La cosa specifica da escludere è l’accesso da remoto. Se di recente qualcuno ti ha guidato a installare un programma per condividere lo schermo o per un’assistenza tecnica, disinstallalo e scollega il dispositivo dalla rete. La Banca d’Italia descrive nella pagina sulle truffe nei pagamenti la truffa del falso supporto tecnico, in cui chi chiama convince a installare un programma per il controllo a distanza.

La stessa pagina descrive anche un programma malevolo che si infila nel browser e cambia in tempo reale i dati di un bonifico mentre lo stai facendo, per esempio il destinatario e l’importo. Aggiorna il sistema operativo e le app, togli estensioni del browser e app che non riconosci e controlla sia il telefono sia il computer.

Se non riesci a capire se un dispositivo è pulito, usa la banca da un altro finché non lo sai. Un accesso alla banca da un dispositivo dubbio annulla il resto del lavoro.

Mettere tutto per iscritto

La telefonata fa partire la pratica, lo scritto fissa la data. Manda alla banca una contestazione scritta anche se la telefonata è andata bene, usando il modulo di disconoscimento della banca o la sezione dell’app, e conserva una copia.

Tieni la contestazione semplice: nome, numero del conto, ogni operazione non autorizzata con data e importo, data e ora della telefonata, numero di pratica e cosa chiedi. Racconta cosa è successo prima, per esempio se hai ricevuto un SMS o una telefonata.

Da qui in avanti tieni un registro unico: ogni telefonata, la data, il nome, il numero di riferimento e cosa ti è stato detto. Salva gli estratti conto con le operazioni contestate prima che escano dallo storico online. Chi segue la pratica in banca può cambiare, e il fascicolo che tieni tu è quello che non si perde.

La denuncia e la segnalazione

La denuncia non è un obbligo per avere il rimborso: la Banca d’Italia spiega che la banca non può pretenderla per aprire la pratica, anche se può chiederla più avanti. Farla resta utile, perché mette i fatti a verbale con una data e aiuta a combattere le truffe.

Si presenta agli uffici della Polizia di Stato o dei Carabinieri. Il portale descritto dalla Polizia Postale nella pagina Denuncia per reati telematici permette una pre-denuncia online per frode informatica, accesso abusivo a un sistema informatico e indebito utilizzo di carte, con SPID o CIE, ma per ora solo in alcune sedi in fase di sperimentazione e con formalizzazione di persona entro 48 ore. Ovunque, la strada che funziona resta l’ufficio di polizia.

Porta con te quello che hai: estratti conto, numero di pratica della banca, messaggi, email, numeri che ti hanno chiamato e il tuo racconto in ordine. Chiedi copia della denuncia. Se qualcuno ti minaccia o c’è un pericolo immediato, il numero è il 112.

Cosa controllare nei giorni dopo

Fai attenzione alla seconda ondata. Chi è arrivato a un conto spesso è arrivato anche ai dati che ci stanno dietro, e il seguito si vede altrove: un finanziamento o una carta chiesti a tuo nome, un account aperto con la tua email, messaggi mandati ai tuoi contatti.

Leggi ogni estratto conto riga per riga per i prossimi mesi, non solo il saldo. Attiva le notifiche in tempo reale per ogni pagamento, bonifico e accesso, come spiegato nella guida all’home banking sicuro. Se la carta potrebbe essere stata copiata a uno sportello, la guida sulla carta clonata spiega cosa controllare.

Attenzione a chi ti contatta offrendoti di recuperare i soldi, soprattutto in cambio di un anticipo. Chi ha appena perso dei soldi viene ricontattato apposta, a volte con il nome della banca, di un avvocato o di un ente pubblico. Nessuno di legittimo ti chiede di pagare prima per riavere il tuo denaro. Se qualcuno usa il nome della tua banca, chiudi e chiama tu il numero sulla carta. Come funzionano queste telefonate è spiegato in che cos’è il vishing.

Se la banca rifiuta il rimborso o non risponde

Chiedi la decisione e la motivazione per iscritto. Poi la Banca d’Italia indica questa strada nella pagina sulle truffe nei pagamenti:

1. Il reclamo scritto alla banca, se ritieni di esserti comportato correttamente. Sui servizi di pagamento la banca ha 15 giorni per rispondere.
2. Il ricorso all’Arbitro Bancario Finanziario, se la banca ti nega il rimborso o non risponde. Si presenta online entro 12 mesi dal reclamo, costa 20 euro di contributo spese, non serve un avvocato e l’esito arriva in media in 4 mesi.
3. L’esposto alla Banca d’Italia, che puoi mandare in ogni caso. La Banca d’Italia invita la banca a esaminare il caso e a risponderti, ma non decide sul tuo contratto al posto dell’Arbitro o di un giudice.

Le decisioni dell’Arbitro mostrano come vengono valutati casi simili al tuo. Secondo una nota di Diritto del Risparmio a una decisione del Collegio di Bologna del 28 gennaio 2026 (n. 770), quando un SMS falso compare con il nome della banca l’orientamento dei collegi è che la colpa grave del cliente non si può dare per scontata, perché questi messaggi sono molto insidiosi, e va valutata caso per caso. In quella decisione il messaggio falso era finito nella stessa conversazione dei messaggi veri della banca, e l’Arbitro ha messo a carico della banca il 20% del danno anche se il bonifico era stato disposto dalla cliente. La stessa nota ricorda che per un pagamento disposto dal cliente, anche se ingannato, la banca risponde solo se ha mancato nei suoi obblighi di sicurezza o di controllo.

Questi canali obbligano a una risposta e costruiscono un documento. Nessuno di loro garantisce il rimborso. La responsabilità di quello che è successo è di chi è entrato nel conto, non tua: da qui in avanti il lavoro è documentare bene il caso e usare i canali giusti.

Domande frequenti sul conto hackerato