Il numero sul display si falsifica e il filtro anti-spoofing non copre tutto: l'unico test che funziona e che fare se hai già eseguito il bonifico.
Un messaggio che avvisa di un accesso sospetto al conto, che compare nella stessa conversazione dove la banca ti scrive di solito. Poi una telefonata da un numero che sul display è quello della banca: un operatore calmo, competente, che conferma il tentativo di frode e ti guida a mettere al sicuro i risparmi con un bonifico su un conto protetto. Un’ora dopo i soldi non ci sono più. È la truffa più efficace degli ultimi anni, perché non ti chiede di fidarti di uno sconosciuto: ti chiede di fidarti della tua banca.
La banca non chiama mai per chiederti codici, password, di eseguire bonifici o di spostare denaro su un conto sicuro: chi lo fa è un truffatore, anche quando numero e messaggio sembrano autentici. Se hai già eseguito, chiama la banca dal numero ufficiale, blocca tutto, contesta per iscritto e denuncia. Il rimborso si ottiene spesso davanti all’Arbitro Bancario Finanziario.
La tecnica si chiama vishing e usa tre strumenti insieme.
Lo spoofing, cioè la falsificazione del numero chiamante o del mittente del messaggio, che fa apparire il numero della banca sul display o inserisce il messaggio nella stessa conversazione dei messaggi veri.
Le informazioni raccolte prima, con il phishing o da violazioni di dati, che permettono all’operatore di conoscere il tuo nome, la tua banca, a volte gli ultimi movimenti.
E la pressione psicologica: l’urgenza di una frode in corso, la rassicurazione di un operatore che ti sta aiutando, il divieto di riattaccare o di chiamare qualcuno per non far scappare il truffatore. Il risultato è che il bonifico lo fai tu, convinto di proteggerti.
Qui serve un dato tecnico, perché spiega la domanda che tutti si fanno dopo. L’AGCOM, con la delibera 106 del 2025, ha imposto agli operatori un filtro che blocca all’ingresso delle reti italiane le chiamate provenienti dall’estero con numero chiamante falsificato: dal 19 agosto 2025 per le numerazioni fisse italiane, dal 19 novembre 2025 per quelle mobili.
Resta però fuori proprio il caso che conta: lo spoofing di numeri italiani originato in Italia non è coperto dalle soluzioni di blocco, e viene contrastato con la vigilanza sulle linee di origine. Significa che una chiamata con il numero della tua banca sul display può ancora arrivare, e che il display non è un elemento di verifica. Lo è un’altra cosa: che cosa ti chiedono di fare.
La banca non chiama per chiederti di eseguire un bonifico, di spostare denaro, di comunicare codici, password o codici ricevuti via messaggio, di installare un’applicazione o di leggere i numeri della carta. Mai, per nessun motivo.
Non esiste un conto sicuro su cui spostare i soldi. Non esiste un’operazione che vada fatta prima che sia troppo tardi senza poter riattaccare e richiamare. Il test è uno: ti stanno chiedendo di fare qualcosa con i tuoi soldi o con i tuoi codici? È una truffa, qualunque numero compaia e qualunque cosa l’operatore sappia di te.
Riattacca senza discutere. Chiama la banca al numero stampato sulla carta o pubblicato sul sito ufficiale, non a quello che ti ha chiamato né a uno indicato nel messaggio, e possibilmente da un altro telefono o dopo qualche minuto, perché in alcune truffe la linea resta occupata dal truffatore.
Chiedi se c’è un problema sul conto. Nella quasi totalità dei casi non c’è. Se hai ricevuto un messaggio con un collegamento, non aprirlo; e se è arrivato nella conversazione della banca, segnalalo alla banca, perché lo spoofing del mittente è una tecnica nota agli istituti.
Chiama la banca dal numero ufficiale e chiedi il blocco immediato dei bonifici, delle carte e dell’accesso, e il richiamo dei bonifici se è ancora possibile: per i bonifici istantanei le possibilità sono minime, per quelli ordinari qualcuna esiste nelle prime ore.
Cambia le credenziali da un dispositivo sicuro. Presenta denuncia alla Polizia postale con ogni dettaglio: numeri, orari, messaggi, importi, IBAN di destinazione. Contesta per iscritto alla banca le operazioni, chiedendo il rimborso. Conserva tutto, schermate comprese.
E non pagare nessuno che prometta di recuperare i soldi: è la seconda truffa, costruita su chi ha già subito la prima.
Se le operazioni sono state eseguite dal truffatore con le credenziali carpite, si applica la disciplina delle operazioni non autorizzate del decreto legislativo 11/2010: la banca deve dimostrare che l’operazione era autenticata, correttamente registrata e contabilizzata, il rimborso è dovuto entro la fine della giornata operativa successiva alla comunicazione, e può essere rifiutato solo provando il tuo dolo o la tua colpa grave. Se l’operazione richiedeva l’autenticazione forte e la banca non l’ha applicata o non riesce a dimostrarlo, non sopporti alcuna perdita, salvo condotta fraudolenta da parte tua.
Se il bonifico lo hai eseguito tu, ingannato, la posizione è più difficile perché l’operazione è formalmente autorizzata. Ma l’Arbitro Bancario Finanziario e i giudici hanno riconosciuto in molti casi la responsabilità della banca: quando lo spoofing ha reso il messaggio o la chiamata indistinguibili da quelli autentici, quando la banca non ha bloccato operazioni anomale per importo, orario e destinazione, o quando i suoi presidi di sicurezza erano inadeguati. Quello che decide è la ricostruzione dettagliata dell’inganno, non la formula con cui si contesta.
Lo Sportello +Tutela di Consumerismo ricostruisce la sequenza dell’inganno minuto per minuto, perché è quella ricostruzione, e non la contestazione generica, a ribaltare i rifiuti: numeri e orari delle chiamate, schermate dei messaggi nella conversazione ufficiale, importi e beneficiari delle operazioni, momento del blocco. Prepara il disconoscimento e il reclamo alla banca con la richiesta dei dati sull’autenticazione delle operazioni e delle ragioni per cui i presidi antifrode non hanno bloccato un’operazione anomala. Se il rimborso viene negato predispone il ricorso all’Arbitro Bancario Finanziario, che costa venti euro rimborsabili e non richiede avvocato, e ti assiste fino alla decisione. La verifica iniziale della posizione è gratuita. Segue la pratica fino alla definizione, nelle condizioni che ti vengono spiegate al primo contatto.
Le schermate dei messaggi ricevuti, che mostrino la conversazione e il mittente, i numeri e gli orari delle chiamate, l’elenco delle operazioni con importi, orari e IBAN di destinazione, la segnalazione di blocco alla banca con data e ora, la denuncia presentata, la contestazione scritta inviata e la risposta della banca.
Il blocco e il richiamo hanno effetto solo nelle prime ore, ed è il motivo per cui la prima telefonata alla banca viene prima di tutto il resto, denuncia compresa. La contestazione riceve di regola un rifiuto quando il bonifico è stato eseguito dal cliente; il reclamo e il ricorso all’Arbitro, che decide in alcuni mesi, ribaltano una parte rilevante di quei rifiuti quando lo spoofing e l’assenza di controlli sono documentati. Lo Sportello ricostruisce l’inganno e prepara contestazione, reclamo e ricorso, senza garantire l’esito.
Per approfondire: decreto legislativo 11/2010 · Polizia postale
Per lo Sportello +Tutela puoi anche scrivere a piututela@consumerismo.it o telefonare allo 0694805440.
Con lo spoofing, che falsifica il numero chiamante. Dal 2025 un filtro imposto dall’AGCOM blocca le chiamate dall’estero con numerazioni italiane falsificate, ma lo spoofing di numeri italiani originato in Italia non è coperto da quel blocco. Il numero sul display non prova nulla: l’unica verifica è riattaccare e richiamare.
No. Nome, banca e a volte i movimenti si raccolgono da phishing precedenti o da violazioni di dati. Conoscere i tuoi dati non rende quella persona la tua banca. Il criterio è che cosa ti chiedono: se ti chiedono di muovere soldi o comunicare codici, è una truffa.
È la risposta tipica, ma non è l’ultima parola. L’Arbitro Bancario Finanziario e i giudici hanno riconosciuto la responsabilità della banca nei casi di spoofing indistinguibile e di mancato blocco di operazioni anomale per importo, orario e destinatario. Contesta con reclamo scritto ricostruendo l’inganno, poi ricorri all’Arbitro.
È la tecnica che serve a impedirti la verifica, ed è la conferma della truffa: nessun operatore reale ti vieta di riattaccare e richiamare. Riattacca, aspetta qualche minuto, chiama la banca dal numero stampato sulla carta, meglio da un altro telefono.
Allora sono operazioni non autorizzate: la banca deve provare che erano autenticate e correttamente registrate, il rimborso è dovuto entro la fine della giornata operativa successiva alla comunicazione e può essere negato solo provando dolo o colpa grave. Se l’autenticazione forte non è stata applicata, non sopporti alcuna perdita.
È quasi sempre una seconda truffa, rivolta a chi ha già subito la prima. Il recupero passa dalla banca, dalla denuncia e dalle sedi di tutela, senza pagamenti anticipati a terzi. Non versare nulla e segnala anche questa proposta.
Racconta il tuo caso allo Sportello +Tutela di Consumerismo: un operatore lo legge, lo valuta gratuitamente e ti ricontatta entro 24 ore. Non stai firmando nulla e non prendi nessun impegno.