Messaggio di Intesa Sanpaolo sull'accesso anomalo: è vero?

Il messaggio di Intesa Sanpaolo sull'accesso anomalo al conto, quello che chiede di aprire un collegamento per verificare o sbloccare qualcosa, è falso. Lo scrive la banca stessa sul suo sito: nelle sue comunicazioni non mette mai collegamenti a pagine in cui si chiede di inserire dati personali o credenziali. Se l'SMS parla di un accesso anomalo e ha un collegamento, non c'è altro da controllare: si cancella.

Il dubbio viene perché quel messaggio compare nella stessa conversazione dei messaggi veri, sotto l'ultimo pagamento con la carta. Qui sotto spieghiamo perché succede, come si controlla senza cliccare niente, e cosa arriva quasi sempre dopo l'SMS: una telefonata.

Il messaggio sull'accesso anomalo è vero o falso?

Falso, in tutte le versioni che girano da anni. «È stato effettuato un accesso anomalo al suo conto», «l'accesso al suo conto è stato limitato», «attività anomala da verificare»: le parole cambiano, lo schema resta lo stesso. C'è un pericolo, c'è poco tempo e c'è un collegamento. I testi uno per uno, con le fonti e la data in cui sono stati visti, sono nella pagina «Intesa Sanpaolo: accesso anomalo al suo conto».

Molti lo cercano scritto «Intesa San Paolo», con il nome staccato, e la risposta non cambia. Nella pagina sulla difesa dal phishing, la banca scrive che non chiederà mai di «comunicare, inserire o confermare dati personali, password o numeri di carta di credito», né per email né per SMS né al telefono.

Nella stessa pagina c'è una seconda frase, che conviene tenere a mente per la parte che viene dopo: la banca «non ti contatterà mai per chiederti di effettuare delle operazioni di pagamento per storni, simulazioni, prove e aggiornamenti». Chi ti chiede di spostare soldi per proteggerli, quindi, non parla a nome della banca.

Perché compare fra i messaggi veri della banca?

È il dettaglio che convince di più, ed è anche quello che dice di meno. Sul telefono gli SMS si raggruppano in base al nome del mittente, e quel nome chi invia lo può scrivere come vuole, compreso «Intesa Sanpaolo». Il messaggio falso finisce così nella stessa conversazione degli avvisi autentici, con lo stesso nome in alto.

La banca conosce il fenomeno e gli ha dato perfino un nome. Nella sua pagina sulle frodi online lo chiama Swap Alias e spiega che l'SMS truffaldino può comparire «all'interno della cronologia autentica della banca». Detto in pratica: la posizione di un messaggio non prova niente. Contano soltanto quello che chiede e il collegamento che contiene.

Il meccanismo, con gli esempi di indirizzi che imitano quelli delle banche, è spiegato con calma in l'SMS della banca che dice che il conto è bloccato.

Come si controlla senza cliccare niente?

Il principio è uno: alla banca si arriva per una strada tua, mai per quella indicata dal messaggio. Le strade sono tre, e ognuna basta da sola.

1. Apri l'app della banca che hai già sul telefono, Intesa Sanpaolo Mobile, ed entra come fai sempre. Se ci fosse un problema vero sul conto, lo troveresti lì.
2. Dal computer, scrivi tu l'indirizzo nella barra in alto: www.intesasanpaolo.com. È il consiglio che dà la banca stessa per togliersi un dubbio, proprio per non arrivarci da un collegamento ricevuto.
3. Telefona tu, componendo il numero a mano. Va bene quello stampato sul retro della carta, oppure quello della Filiale Digitale scritto sul sito ufficiale: 800.303.303 dall'Italia, +39 011 8019.200 dall'estero. Mai il numero che compare nel messaggio.

Vale lo stesso per gli aggiornamenti. La banca precisa che l'app si aggiorna «sempre e solo attraverso gli store ufficiali», cioè il Play Store su Android e l'App Store su iPhone. Un SMS che invita a scaricare una nuova versione da un collegamento è falso per lo stesso motivo.

E se il messaggio ti ha messo agitazione, lascia passare qualche minuto prima di fare qualunque cosa. La fretta è la leva su cui conta chi l'ha scritto, e anche la banca chiede di diffidare delle richieste sospette, «soprattutto quando hanno carattere di urgenza».

Cosa arriva dopo l'SMS: la telefonata del finto operatore

Spesso il messaggio è soltanto il primo passo. La Polizia di Stato, in un avviso del 9 novembre 2023 sulle truffe tramite spoofing, ha descritto la sequenza completa. Prima arriva un SMS che parla di un accesso abusivo al conto, con un collegamento a una pagina copiata da quella vera. Poi chiama un finto operatore antifrode, che parla di un attacco informatico in corso e propone di mettere al sicuro i risparmi con un bonifico. Se la persona esita, arriva una seconda chiamata, questa volta da un finto agente della Polizia postale, che conferma tutto e indica di trasferire il denaro su un «conto sicuro», diverso dal proprio.

La telefonata può arrivare da un numero che sul display sembra proprio quello della banca, o quello di un ufficio di polizia. Si chiama spoofing: è la falsificazione del numero che compare a chi riceve la chiamata. Intesa Sanpaolo lo descrive con parole molto simili, come il caso in cui qualcuno telefona «apparendo con lo stesso numero di telefono della banca», e avverte che la frode al telefono può arrivare anche dopo che si è dato seguito a un SMS falso.

La risposta è una sola: riattaccare. Un conto «sicuro» intestato a qualcun altro non protegge niente, e le due parti che vengono imitate lo dicono chiaramente. La banca non chiede operazioni di pagamento per prove o aggiornamenti; la Polizia Postale, in un avviso del 28 settembre 2023, scrive che non chiede mai di spostare somme di denaro né le credenziali dell'home banking.

Dopo aver riattaccato si chiama la banca per conto proprio, componendo il numero a mano. In caso di dubbio la Polizia di Stato indica anche il 113 o il 112.

E se ho già cliccato o scritto qualcosa?

Aprire la pagina, da sola, di solito non fa danni: si chiude senza scrivere niente e si cancella il messaggio.

Se invece hai inserito nome utente, password o un codice arrivato per SMS, conta il tempo. Intesa Sanpaolo indica di contattare subito la Filiale Digitale. Per contestare un'operazione che non hai fatto, la banca elenca tre passi: bloccare la carta, l'internet banking o l'app; compilare e firmare il questionario per il disconoscimento; aspettare l'esito della verifica. Subito dopo conviene cambiare la password dell'home banking e quella della email, e segnalare l'accaduto alla Polizia Postale sul sito commissariatodips.it.

La sequenza completa, in ordine e senza sensi di colpa, è in sono caduto in una truffa: cosa fare nelle prime ore. Una cosa va detta subito, perché chi ci è passato tende a dimenticarla: la pagina falsa è identica a quella vera, e cascarci non è una questione di attenzione.

Come si allena l'occhio prima che arrivi il prossimo

Questi messaggi tornano a ondate, con parole nuove e lo stesso schema. Il modo più efficace di non farsi sorprendere è averne visti tanti prima, in un posto dove sbagliare non costa niente.

Nel simulatore delle truffe c'è un finto telefono con un finto messaggio: si clicca, si sbaglia e si ricomincia, senza iscriversi. Il corso sulle truffe digitali mette uno accanto all'altro un SMS vero e uno falso della banca, e allena a riconoscere anche le telefonate dei finti operatori, dal telefono come dal computer.