SMS falso della banca: come distinguere un avviso vero da una truffa

Ti è appena arrivato? Fai solo questo

1. Nei primi minuti, non toccare il link. Per sapere se l’avviso è vero non ti serve l’indirizzo scritto nel messaggio.
2. Non rispondere e non chiamare il numero che l’SMS ti dà.
3. Apri tu l’app della banca, dall’icona che hai sul telefono, e guarda se quell’avviso esiste dentro il tuo conto.
4. Se devi parlare con qualcuno, usa il numero stampato sul retro della carta o quello che trovi dentro l’app.
5. Segnala il messaggio. Blocca il mittente, segnalalo come spam nell’app di messaggistica o di posta che stai usando e manda una segnalazione alla Polizia Postale dal portale del Commissariato di PS online, nella pagina Segnala online, dove il phishing è una delle voci del modulo.

In Italia non esiste un numero breve a cui inoltrare gli SMS truffa, quindi non perdere tempo a cercarlo: quello che serve fare è bloccare, segnalare e poi avvisare chi di dovere. La pagina della Polizia Postale lo dice chiaramente: quella è una segnalazione, non una denuncia, e non sostituisce il pronto intervento.

Se c’è davvero un problema sul tuo conto, il canale ufficiale te lo mostra senza bisogno di quel link. Non usare mai un numero di telefono, un pulsante o un indirizzo forniti proprio dal messaggio che stai cercando di verificare.

Che cosa una banca vera non ti chiede mai

Ogni banca manda avvisi un po’ diversi, quindi la pagina sulla sicurezza della tua resta il posto giusto per i dettagli. Quello che non cambia è la forma della richiesta. Un avviso vero ti dice qualcosa e ti rimanda all’app. Un messaggio truffa ha bisogno di un’azione tua, dentro il messaggio, adesso.

L’ultima riga è quella da tenere a mente. La Banca d’Italia la mette in una frase sola nella pagina sulle truffe nei pagamenti e cybersicurezza: la banca non ti chiederà mai i dati che usi per i pagamenti online o per l’home banking, né per email né per telefono. Chi ti dice di spostare i soldi su un conto sicuro non sta risolvendo una truffa, la sta facendo.

Vale lo stesso per il codice che la banca ti manda quando entri o confermi un’operazione. Quel codice è la serratura. Chi ti chiede di leggerlo ad alta voce, di inoltrarlo o di scriverlo dentro una pagina che ti ha mandato lui sta chiedendo la chiave, qualunque motivo ti dia. Il Garante per la protezione dei dati personali ripete la stessa cosa nella scheda sullo smishing: nessuno di legittimo chiede PIN, password o codici di autorizzazione per SMS o in chat.

Le storie usate più spesso

I pretesti si ripetono perché funzionano, prima o poi, su chiunque. Nella versione bancaria la storia è quasi sempre una di queste: un addebito che non riconosci, un accesso da un dispositivo nuovo, un conto che sta per essere bloccato, un bonifico messo in sospeso, un rimborso da sbloccare.

Una variante più recente salta il link: ti chiede di rispondere sì o no a un acquisto e, un minuto dopo, arriva una telefonata di qualcuno che si presenta come l’ufficio antifrode e ti accompagna passo passo a consegnare un codice. Quella telefonata ha un nome, ed è vishing: la scheda del Garante dedicata al phishing telefonico descrive proprio questo, cioè la chiamata che parla di anomalie sul conto e chiede PIN, numero di carta o codici usa e getta.

Anche i soldi che ti aspettano sono un’esca. Se un messaggio dice che hai un pagamento, un contributo o un rimborso in arrivo, vai a cercarlo tu dentro il portale dell’ente o dell’azienda. Quello che si ripete in tutte queste storie non è l’argomento: è la richiesta. Tocca qui, dimmi il codice, installa questo, manda i soldi.

La stessa impostazione arriva anche a nome di negozi, corrieri, società autostradali e servizi digitali, spesso come una piccola cifra da pagare per un pacco fermo. Cambia il nome citato, non il controllo da fare. Se vuoi vedere l’impianto generale di questi messaggi, è tutto in che cos’è lo smishing.

Il nome del mittente non dimostra niente

Il nome o il numero che compare come mittente non stabilisce chi ha mandato il messaggio. Le sigle si imitano, i numeri si falsificano, e un SMS truffa può finire nella stessa conversazione dove ricevi da anni gli avvisi veri, perché il telefono raggruppa i messaggi in base all’etichetta del mittente, non in base a chi li ha spediti davvero.

Nemmeno un numero che sembra italiano dimostra qualcosa. Il problema è talmente diffuso che l’AGCOM è intervenuta sulla rete: con la delibera 106/25/CONS ha imposto agli operatori un filtro contro le chiamate che arrivano dall’estero camuffate da numerazioni italiane, attivo dal 19 agosto 2025 per i numeri fissi, esteso ai numeri mobili dal 19 novembre 2025 con la delibera 271/25/CONS. È una protezione utile, e resta una protezione parziale: riguarda le chiamate in arrivo dall’estero con numero alterato, non tutto quello che può comparire sullo schermo.

Un nome scritto correttamente e un testo senza errori non confermano niente a loro volta. Quei dettagli costano poco a chi truffa. La conferma deve arrivare da un canale aperto da te: l’app, l’indirizzo che scrivi tu, o il numero stampato sulla carta.

Guarda la richiesta, non l’allarme

La parte che spaventa serve a prendere la tua attenzione, ma il rischio sta nell’azione offerta come soluzione. Salta l’avviso e guarda che cosa ti si chiede di fare:

• Conto bloccato o sotto verifica: il messaggio vuole che apra un link per sbloccarlo.
• Acquisto sospetto autorizzato: il pulsante dice di toccare se non sei stato tu.
• Dati non aggiornati: l’SMS chiede di aggiornarli a un indirizzo che fornisce lui.
• Soldi disponibili: il link promette di sbloccare il pagamento.
• Chiave di sicurezza in scadenza: il contatto chiede il codice appena arrivato sul telefono.

L’argomento cambia di continuo, le azioni richieste quasi mai: aprire un link, dare un codice, installare un’app, spostare dei soldi. È quell’azione che va verificata fuori dal messaggio, non la storia che la accompagna.

Com’è scritto di solito il messaggio

Il messaggio qui sotto l’abbiamo scritto noi, da zero, per mostrare il formato. Non è lo screenshot di nessuno, e il nome della banca è lasciato fuori apposta: in uno vero sarebbe scritto proprio lì, ed è quel nome a far credere al resto.

Tre cose fanno funzionare quel messaggio, e funzionano anche su chi sta attento, perché imitano quello che la banca fa davvero:

• Una scadenza cortissima, che lascia poco spazio per aprire l’app e guardare.
• Una via d’uscita facile, un tocco solo, messa esattamente dove la soluzione vera richiederebbe più tempo.
• Un indirizzo accorciato, che nasconde dove porta davvero il link.

Quel testo non dice niente su chi l’ha ricevuto. Arriva in una mattina qualunque, in mezzo a tutto il resto, ed è costruito apposta per assomigliare ai messaggi che già ti arrivano. La colpa è di chi lo scrive e lo spedisce.

Non usare il link né il numero del messaggio

Il link apre una pagina costruita per somigliare alla tua banca, e il numero ti mette in contatto con una persona che recita la parte dell’ufficio antifrode. Non usare né l’uno né l’altro, anche quando il testo suona giusto e anche quando un messaggio dalla banca te lo aspettavi davvero. Esci dall’SMS, apri l’app dalla schermata iniziale o scrivi tu l’indirizzo che già conosci, e se ti serve un numero prendilo dall’app o dal retro della carta.

Se la pagina l’hai già aperta, non fidarti del lucchetto. Dice soltanto che il collegamento è cifrato, non che il sito sia quello giusto, e anche una pagina falsa può averlo. Leggi l’indirizzo completo e confrontalo con quello vero della tua banca: quale parte dell’indirizzo conta davvero è spiegato in come capire se un link è sicuro, e i segni di una copia del sito in come riconoscere un sito falso.

Se in quel momento non riesci a verificare, lascia perdere e rimanda. Un problema vero resta lì dentro il canale ufficiale, e per risolverlo non serve la strada che ti è stata messa in mano.

Le richieste che chiudono la conversazione

Fermati se il messaggio, o la telefonata che arriva subito dopo, chiede una di queste cose. Poi vai a cercare la banca dall’app, dal sito o dal numero che hai trovato tu:

• Una password, di qualunque tipo, intera o a pezzi.
• Il codice di verifica appena arrivato sul telefono.
• Che tu installi un’app mandata per link per risolvere il problema.
• Che tu sposti i soldi su un conto descritto come sicuro, temporaneo o intestato a te. Non mandare niente prima di aver confermato la richiesta nel canale ufficiale.
• Che tu conceda l’accesso da remoto al telefono o al computer.

Non restare nella stessa conversazione per chiedere se la richiesta è genuina. Il canale che ti è stato messo in mano fa parte di quello che c’è da verificare. Questo modo di lavorare sulla persona invece che sul sistema ha un nome, ed è raccontato in che cos’è l’ingegneria sociale.

Come giudicare qualunque altro SMS sospetto

Quando arriva un messaggio che non aspettavi, porta urgenza o chiede qualcosa, questo giro basta:

1. Separa l’allarme dall’azione. La frase che spaventa crea la fretta. Guarda se la soluzione proposta richiede un link, una risposta, una telefonata, un codice, un’installazione o un pagamento.
2. Controlla la storia in un canale trovato da te, mai quello arrivato dentro il messaggio.
3. Nota che cosa uscirebbe dal tuo controllo. Non mandare soldi, codici o dati, e non installare niente, prima che la richiesta sia confermata.
4. Verifica la scadenza nel canale ufficiale. Una scadenza cortissima spesso serve proprio a impedirti di controllare. L’orologio dentro il messaggio non è la prova che tu debba passare da lì.

Se vuoi il quadro completo dei segnali che si ripetono in tutte le truffe, e non solo in questa, sta in come capire se è una truffa.

Se hai già cliccato

Cliccare capita, anche a chi sta attento. Quello che viene dopo dipende da cosa hai fatto una volta aperta la pagina. Parti da quello che può fare più danno.

1. Nella prima ora, chiama la banca se hai dato dati del conto, il numero della carta o un codice. Usa il numero sul retro della carta. Di’ che è una truffa, chiedi di bloccare qualunque pagamento in sospeso, di bloccare la carta e di emetterne una nuova, e fatti dare un numero di pratica.
2. Se la pagina è ancora aperta: chiudila senza compilare campi, senza scaricare file e senza accettare permessi.
3. Se hai scritto una password: cambiala sul sito vero, da un dispositivo di cui ti fidi, e cambiala ovunque tu usassi la stessa. Attiva la verifica in due passaggi dove non ce l’hai: è quella che chiede un secondo dato oltre alla password, la stessa autenticazione forte che la Banca d’Italia indica come protezione di base nei pagamenti.
4. Se hai installato qualcosa: smetti di usare quel dispositivo per il conto, staccalo da internet e contatta i servizi coinvolti da un altro telefono o computer. Può trattarsi di un programma di accesso remoto, cioè uno di quelli che permettono a un’altra persona di vedere e comandare il tuo schermo a distanza.
5. Se hai già mandato un bonifico istantaneo o una ricarica, avvisa subito la banca e di’ che è una truffa. Quei trasferimenti sono difficili o impossibili da annullare, e quello che si può ancora tentare è spiegato in bonifico istantaneo e truffa: che cosa fare.
6. Conserva tutto. Il messaggio, l’indirizzo del link, l’ora, le ricevute e ogni numero di pratica.

Se i soldi sono partiti, alla segnalazione si aggiunge la denuncia. Si presenta agli uffici della Polizia di Stato o dell’Arma dei Carabinieri; il Commissariato di PS online spiega nella pagina Denuncia per reati telematici che truffa, frode informatica, accesso abusivo a un sistema informatico, indebito utilizzo di carte di pagamento e diffamazione online rientrano nella denuncia online con SPID o CIE, da formalizzare poi in ufficio. Quel servizio è ancora in fase sperimentale e attivo solo in alcune sedi, quindi la strada sicura resta l’ufficio di polizia, con la pre-denuncia online come scorciatoia dove esiste.

Se la banca ti risponde e la risposta non ti convince, c’è una strada prima del giudice. La Banca d’Italia spiega come funziona l’Arbitro Bancario Finanziario: prima mandi un reclamo scritto all’intermediario, che sui servizi di pagamento ha 15 giorni per rispondere, e se la risposta non arriva o non ti soddisfa puoi fare ricorso entro 12 mesi dal reclamo, con 20 euro di contributo spese, senza bisogno di un avvocato e con rimborso del contributo se il ricorso viene accolto.

Domande frequenti sugli SMS falsi della banca