SMS della banca che dice che il conto è bloccato

L'SMS che annuncia il conto bloccato, l'accesso non autorizzato o la carta sospesa è quasi sempre falso. Contiene un link, e quel link porta a una pagina identica a quella della banca, fatta per raccogliere le tue credenziali e poi il codice usa e getta che serve a spostare i soldi.

La cosa che più disorienta è che il messaggio compare nella stessa conversazione dei messaggi veri della tua banca, sotto quelli autentici, con lo stesso nome del mittente. Non è un errore del telefono e non è una prova di autenticità: nel campo del mittente di un SMS si può scrivere qualunque cosa, e il telefono raggruppa i messaggi in base a quel nome.

Perché finisce accanto ai messaggi veri

Vale la pena fermarsi su questo punto, perché è la ragione per cui persone attente ci cascano.

Il sistema degli SMS permette a chi invia di impostare a piacere il nome che compare come mittente. Le aziende lo usano legittimamente per farsi riconoscere, e le loro comunicazioni arrivano come «BancaX» invece che da un numero. Chi truffa usa la stessa possibilità e scrive esattamente lo stesso nome.

Il telefono, dal canto suo, raggruppa i messaggi per mittente. Il risultato è che il messaggio falso si infila nella conversazione insieme alla conferma dell'ultimo bonifico e all'avviso dell'accredito della pensione.

Da qui una regola che vale la pena scolpire: la posizione di un messaggio non dice niente sulla sua autenticità. Contano solo il contenuto e il link.

Come sono fatti questi messaggi

Il testo varia poco, e riconoscere lo schema è più utile che ricordare le frasi:

BancaX: rilevato accesso non autorizzato al suo conto. Verifichi immediatamente la sua identità: bancax-sicurezza.net/verifica

INFO: la sua carta è stata temporaneamente sospesa per motivi di sicurezza. Riattivi qui: sicurezza-carta.com

Gentile cliente, il suo profilo verrà disattivato entro 24 ore. Confermi i dati: verifica-accesso.info

Tre elementi ricorrono sempre: una minaccia (blocco, sospensione, accesso non autorizzato), una scadenza (subito, entro 24 ore) e un link.

I tre controlli che bastano

L'indirizzo. È la prova che regge sempre. Guarda la parte che sta subito prima della prima barra: deve finire esattamente con il nome ufficiale della banca. Se la tua banca è su intesasanpaolo.com, allora intesa-sicurezza.net non è sua, e nemmeno intesasanpaolo.com.verifica-utente.org, dove il nome vero è verifica-utente.org. Le banche non usano indirizzi accorciati e non usano nomi che assomigliano al proprio.

La richiesta. Nessuna banca chiede per messaggio di confermare credenziali, dati della carta o codici. Se il messaggio porta verso una pagina dove si scrivono queste cose, è una truffa a prescindere da come è scritto.

La fretta. Una banca che rileva davvero un accesso anomalo blocca la carta lei, per sicurezza, e poi ti avvisa. Non ti mette un cronometro davanti chiedendoti di agire tu.

Cosa fare quando arriva

La sequenza è breve, e la prima riga è quella che conta di più.

1. Non toccare il link. Nemmeno per vedere cosa c'è. Nemmeno se sei quasi sicuro che sia vero.
2. Non chiamare i numeri scritti nel messaggio.
3. Apri l'applicazione della banca che hai già installato, oppure chiama il numero stampato sul retro della carta. Sono gli unici due canali che non possono essere manomessi da chi ha mandato il messaggio.
4. Chiedi se ci sono comunicazioni in corso. Nella quasi totalità dei casi la risposta sarà di no.
5. Segnala e cancella il messaggio. Su Android si tiene premuto sul messaggio, poi Blocca e Segnala spam; su iPhone si tocca Segnala come indesiderato in fondo alla conversazione.

Se il messaggio ti ha messo agitazione, aspetta cinque minuti prima di fare qualunque cosa. È il tempo che serve perché la fretta scenda e i dettagli tornino visibili.

Cosa succede se tocchi il link

Aprire la pagina, da solo, di norma non fa danni. Il problema comincia dopo, ed è utile sapere cosa succede esattamente perché è la parte più subdola.

La pagina che si apre è una copia fedele di quella della banca, spesso perfetta. Chiede nome utente e password. Nel momento in cui le scrivi, quelle credenziali arrivano a chi truffa, che le usa in tempo reale per entrare davvero nel tuo conto.

A quel punto la banca vera manda a te un codice usa e getta per autorizzare l'operazione che chi truffa sta tentando. E la pagina falsa, con perfetto tempismo, ti chiede di inserire «il codice appena ricevuto per completare la verifica».

È lì che l'operazione viene autorizzata. Non dall'inserimento della password: dal codice. Ed è il motivo per cui quel codice non va dato mai a nessuno e non va mai scritto su una pagina raggiunta da un link.

Se hai già inserito qualcosa

Le prime ore contano. In ordine:

1. Blocca la carta dall'applicazione della banca, oppure chiamando il numero sul retro della carta stessa.
2. Avvisa la banca dell'accaduto, dicendo chiaramente cosa hai inserito. Serve a loro per bloccare le operazioni in corso.
3. Cambia la password dell'home banking, e poi quella della email, che è la chiave da cui si recuperano tutte le altre.
4. Chiedi il disconoscimento delle operazioni non autorizzate. Esiste una procedura e ha tempi stretti.
5. Sporgi denuncia ai Carabinieri, alla Polizia o sul portale del Commissariato di Pubblica Sicurezza Online, commissariatodips.it. Serve anche alla banca per l'istruttoria.
6. Attenzione alla seconda ondata. Chi è stato truffato una volta finisce in elenchi che vengono rivenduti, e spesso arriva una telefonata da un finto avvocato o da un finto operatore che promette di recuperare i soldi in cambio di un anticipo.

Come riconoscere un messaggio vero della banca

Per simmetria, vale la pena sapere come sono fatti quelli autentici.

Un messaggio vero non contiene link che portano ad accedere. Contiene informazioni: l'importo di un'operazione, le ultime quattro cifre della carta, un codice di conferma con scritto accanto di non comunicarlo a nessuno.

Un messaggio vero non chiede di fare qualcosa entro un tempo. Se c'è un problema serio, la banca blocca lei e ti chiama, oppure ti aspetta.

E le comunicazioni importanti, quelle contrattuali, non arrivano per SMS: arrivano nell'area riservata dell'home banking, dove le trovi entrando per conto tuo.

Il copione generale delle truffe sta in truffe online: come riconoscerle; il perché quei messaggi sono spesso scritti male sta in perché i truffatori scrivono male apposta. Nel corso sulle truffe digitali c'è una lezione dedicata proprio a questi SMS, con le simulazioni per allenare l'occhio.