Il telefono squilla e sul display compare il numero della tua banca, oppure arriva un SMS che segnala un accesso sospetto al conto. Chi ti parla ha un tono rassicurante e sembra informato. Ti dice che qualcuno sta cercando di rubarti i soldi e che per fermarlo devi confermare un'operazione nell'app, dettare un codice o spostare i risparmi su un "conto sicuro".
È la truffa del finto operatore bancario, e il suo scopo è farti autorizzare un pagamento. Per questo è così costosa per chi la subisce: quando il pagamento lo confermi tu, anche se ingannato, ottenere il rimborso è molto più difficile.
Cosa fare nei primi 30 minuti
- Interrompi la chiamata. Non richiamare il numero da cui ti hanno contattato né quello indicato nell'SMS: chiama la banca dal numero che trovi nell'app, sul sito ufficiale o nel contratto.
- Blocca le carte dall'app e fai bloccare l'accesso all'home banking se hai comunicato password o codici.
- Se hai fatto un bonifico, chiedi subito alla banca di tentare il richiamo. Il recupero non è garantito, perché dipende dalla banca che ha ricevuto i soldi, ma prima lo chiedi più possibilità ci sono.
- Contesta per iscritto le operazioni che non hai autorizzato e conserva la ricevuta della contestazione.
- Cambia le password e scollega dall'app i dispositivi che non riconosci. Se ti hanno fatto installare un programma per controllare il telefono a distanza, disinstallalo.
- Conserva le prove: registro delle chiamate, screenshot degli SMS, email, numeri dei conti a cui hai inviato denaro.
- Sporgi denuncia alla Polizia Postale, a un ufficio di polizia o ai carabinieri.
Come riconoscerla
La Polizia Postale descrive un copione ricorrente. Il finto operatore segnala accessi anomali o movimenti sospetti, ti mette fretta e resta al telefono finché non hai eseguito le sue istruzioni; in alcuni casi ti manda in banca o all'ufficio postale a fare un bonifico su un "conto sicuro" e ti chiede di non dire nulla all'impiegato. Può anche minacciare una telefonata della Polizia Postale che "confermerà" l'attacco al conto.
Un operatore vero non ti chiede per telefono, SMS o email codici OTP, PIN o password, e nessun operatore di banca o agente di polizia ti chiede di spostare i soldi su un altro conto per proteggerli. Diffida anche di chi ti chiede di installare un'app di assistenza remota per "controllare insieme" il telefono: con quell'app il truffatore vede lo schermo e può usare l'home banking al posto tuo.
I numeri: chi paga le frodi
Il rapporto della Banca d'Italia sulle frodi nei pagamenti del secondo semestre 2025 mostra quanto pesa la manipolazione:
- le frodi da manipolazione, in cui la vittima viene convinta a disporre il pagamento, sono state il 72% del valore delle frodi sui bonifici;
- il 92% delle perdite per frodi sui bonifici è rimasto a carico dei clienti, contro il 68% sui prelievi agli sportelli automatici e il 40% su carte e moneta elettronica;
- l'importo medio di una frode è stato di circa 80€ con le carte, 1.850€ con i bonifici istantanei e 5.509€ con i bonifici ordinari;
- online il rischio con le carte è più alto: frodi pari allo 0,060% del valore dei pagamenti e-commerce contro lo 0,006% al POS.
Qualcosa migliora: il tasso di frode sui bonifici istantanei è sceso del 38% rispetto al semestre precedente, anche grazie alla verifica del beneficiario.
Operazione non autorizzata o autorizzata con l'inganno
Da questa differenza dipende chi paga. Se qualcuno ha usato la tua carta o il tuo conto senza che tu confermassi nulla, per esempio con dati rubati, l'operazione non è autorizzata e valgono le tutele del decreto legislativo 11/2010: hai 13 mesi per contestarla, segnalando però senza ritardo; la banca deve rimborsarti entro la fine della giornata operativa successiva, salvo un motivato sospetto di frode da parte tua; prima del blocco puoi perdere al massimo 50€, e nulla se la banca non ti ha chiesto l'autenticazione forte. La perdita resta a te solo se hai agito con dolo o colpa grave.
Se invece hai disposto tu il bonifico o confermato il pagamento nell'app, anche perché ingannato, di regola l'operazione conta come autorizzata e la banca non è obbligata a rimborsarla. Se hai comunicato tu i codici, la banca può sostenere che hai agito con colpa grave. L'Arbitro Bancario Finanziario valuta però caso per caso anche le misure di sicurezza adottate dalla banca, e in diverse decisioni ha riconosciuto un rimborso, a volte parziale, per esempio quando l'SMS falso compariva nella stessa conversazione dei messaggi autentici della banca.
La procedura per contestare, con l'elenco di cosa scrivere, è nella guida su come contestare un addebito non autorizzato.
Spoofing: perché il numero sembra quello della banca
Con lo spoofing il truffatore falsifica il numero che compare sul display, o il nome del mittente di un SMS, per farli sembrare della tua banca. Dal 19 agosto 2025 gli operatori telefonici italiani bloccano le chiamate dall'estero che mostrano un numero fisso italiano falsificato, e dal 19 novembre 2025 anche quelle con un numero di cellulare: secondo l'AGCOM, tra il 19 novembre e il 31 dicembre 2025 sono state fermate oltre 120 milioni di chiamate con numeri falsificati o anomali.
Il filtro non blocca le chiamate da numeri esteri reali, e i truffatori si sono spostati lì. Un prefisso straniero, o un numero che non conosci, è già un buon motivo per riattaccare e richiamare tu la banca.
Cosa cambierà con le nuove regole europee
L'Unione europea sta approvando un regolamento sui servizi di pagamento che, tra le altre cose, rende responsabili i prestatori che non adottano misure antifrode adeguate e prevede il rimborso per chi viene truffato da qualcuno che si finge un dipendente della sua banca, se il cliente ha denunciato la truffa alla polizia e l'ha segnalata alla banca. L'accordo politico è stato raggiunto a novembre 2025, ma a settembre 2026 il regolamento non era ancora stato adottato in via definitiva né pubblicato nella Gazzetta ufficiale dell'Unione europea, e dopo la pubblicazione è previsto un periodo di transizione: per le truffe di oggi valgono le regole attuali.
Bonifici: la verifica del beneficiario
Dal 9 ottobre 2025 le banche dell'area euro controllano gratis che il nome del beneficiario corrisponda all'IBAN, per i bonifici ordinari e per gli istantanei. L'esito può essere corrispondenza, corrispondenza parziale, mancata corrispondenza o verifica non possibile. Se l'app ti avvisa che il nome non corrisponde, fermati: un "conto sicuro" intestato a un'altra persona è un segnale chiaro della truffa.
Reclamo, Arbitro Bancario Finanziario e denuncia
Se la banca non rimborsa, presenta un reclamo scritto all'ufficio reclami. Per i servizi di pagamento, come carte e bonifici, la banca deve rispondere entro 15 giorni lavorativi.
Se la risposta non ti soddisfa, o non arriva, puoi ricorrere all'Arbitro Bancario Finanziario. Il ricorso costa 20€, restituiti se viene accolto anche solo in parte, e va presentato entro 12 mesi dal reclamo; una volta completato il fascicolo, la decisione arriva entro 90 giorni. Puoi anche inviare un esposto alla Banca d'Italia o rivolgerti al giudice.
La denuncia alla Polizia Postale, a un ufficio di polizia o ai carabinieri non è obbligatoria per contestare le operazioni non autorizzate, ma documenta i fatti e serve alle indagini.
Le difese che trovi nelle app
Molte banche permettono di bloccare la carta con un tocco, di disattivare i pagamenti online o all'estero quando non servono, di impostare limiti di spesa e di ricevere una notifica per ogni operazione. Le carte virtuali, soprattutto quelle usa e getta, rendono inutili i dati rubati durante un acquisto online. Tutte le precauzioni, dal 3D Secure al CVV dinamico, sono nella guida sulla sicurezza delle carte online.
Quando il pagamento è tuo e il venditore non consegna o non rimborsa, la strada è il chargeback. Per confrontare le funzioni di sicurezza dei conti e delle carte che seguiamo, parti dalle schede delle carte.
