Un messaggio sul cellulare, una telefonata apparentemente “ufficiale” della banca, e in poche ore il conto svuotato. È la dinamica, purtroppo sempre più diffusa, della truffa dello smishing, un mix tra phishing e social engineering che sfrutta la fiducia degli utenti verso i canali di comunicazione della propria banca.

È quanto accaduto a un cittadino romano, che si è visto sottrarre in una sola mattina il denaro depositato sul suo conto corrente. 12 bonifici sono partiti uno dopo l’altro verso una banca in Lituania. La vicenda si è conclusa con un parziale rimborso, ma resta un caso emblematico di come anche i più accorti possano cadere in una trappola ben congegnata.

• Il messaggio trappola
• La finta telefonata della “banca”
• Il rimborso parziale e la decisione dell’Arbitro Bancario
• Un campanello d’allarme per tutti

Il messaggio trappola

Tutto ha avuto inizio con un sms arrivato sul telefono della vittima. Il testo segnalava un presunto accesso anomalo al conto online e invitava a contattare immediatamente un numero per bloccare l’operazione sospetta.
Un messaggio apparentemente innocuo, ma costruito con cura: stesso tono, stessa grafica, e perfino la stessa chat di messaggi utilizzata in precedenza dalla banca. Un dettaglio che ha reso difficile, se non impossibile, distinguere la truffa da una comunicazione reale. Convinto di parlare con un operatore legittimo, l’uomo ha seguito le istruzioni indicate, avviando una chiamata che lo ha condotto dritto nella rete dei truffatori.

La finta telefonata della “banca”

Dall’altra parte della linea, una voce calma e professionale. L’operatore si è presentato come addetto alla sicurezza dell’istituto e ha riferito che il conto risultava “clonato” su un altro dispositivo. Per “mettere in sicurezza i dati”, ha chiesto alla vittima di disinstallare le app bancarie e di seguire alcune operazioni “di verifica”.
In pochi minuti, il telefono dell’uomo è stato completamente compromesso: messaggi, email e applicazioni finanziarie sono spariti. Era l’inizio del disastro.

Quando, poco dopo, il correntista ha provato a rientrare nel proprio conto, ha scoperto l’amara verità: 12 bonifici consecutivi, tutti diretti a due beneficiari con conti aperti in una banca lituana.

Il rimborso parziale e la decisione dell’Arbitro Bancario

Dopo aver denunciato l’accaduto e richiesto il rimborso, la banca ha inizialmente negato ogni responsabilità, sostenendo che la frode fosse avvenuta per imprudenza del cliente. Ma la vittima non si è arresa e si è rivolta all’Arbitro Bancario Finanziario (ABF) con l’assistenza legale di Confconsumatori Lazio.

L’arbitro ha riconosciuto che, pur avendo la vittima commesso errori dettati dalla buona fede, anche la banca aveva gravi mancanze: i 12 bonifici erano stati eseguiti in appena due ore, tutti verso conti esteri. Un comportamento palesemente anomalo che avrebbe dovuto attivare un blocco automatico o almeno un controllo di sicurezza.

L’ABF ha quindi stabilito una responsabilità condivisa tra il cliente e l’istituto di credito, ordinando alla banca di restituire 7.000 euro. Una decisione che, come sottolineato dall’avvocata Barbara D’Agostino, rappresenta “una vittoria importante, perché conferma che anche le banche devono dotarsi di sistemi di monitoraggio efficaci e intervenire in presenza di transazioni sospette”.

Un campanello d’allarme per tutti

Lo smishing non è una truffa improvvisata: è un attacco ben studiato che unisce tecnologia e psicologia. I criminali informatici riescono a replicare i numeri reali delle banche (tecnica del spoofing), a intercettare conversazioni pregresse e a far leva sulla paura per ottenere accesso ai conti.

Gli esperti raccomandano di non cliccare mai su link ricevuti via sms o chat, anche se sembrano provenire da fonti ufficiali, e di non comunicare mai dati personali o credenziali per telefono. In caso di dubbio, meglio chiudere la conversazione e contattare la banca attraverso i canali ufficiali indicati sul sito o nell’app. La regola regina resta una sola: la vera banca non vi chiederà mai di disinstallare app, condividere codici o effettuare operazioni in diretta telefonica.