Come funziona
Questa frode si chiama vishing, da voice e phishing. Il truffatore si presenta come addetto alla sicurezza della banca e crea un allarme: un bonifico sospetto in uscita, un accesso da un dispositivo sconosciuto, la carta clonata. Spesso la telefonata arriva subito dopo un SMS di allarme che si inserisce nella stessa conversazione dei messaggi autentici della banca, e il numero chiamante è camuffato con la tecnica dello spoofing.
A quel punto la vittima viene indotta a fare una di queste cose: leggere al telefono il codice OTP appena ricevuto, approvare una notifica sull’app, installare un programma di «assistenza» che consente il controllo a distanza del telefono, oppure disporre personalmente un bonifico, spesso istantaneo, verso un presunto conto di sicurezza intestato a terzi.
Due situazioni diverse davanti alla legge
Capire chi ha materialmente disposto il pagamento è il primo passo per valutare la tutela.
Operazione fatta da altri. Se i truffatori hanno usato le tue credenziali per disporre pagamenti al posto tuo, l’operazione è non autorizzata. In questo caso la disciplina europea sui servizi di pagamento (direttiva PSD2, attuata in Italia dal D.Lgs. 11/2010) tutela in modo forte il cliente. La banca deve rimborsare subito, salvo un fondato sospetto di frode da parte del cliente, e la sentenza della Corte di giustizia UE del 15 ottobre 2026, causa C-70/25 ha chiarito che non può rifiutare il rimborso immediato sostenendo che il cliente sia stato gravemente negligente. Quella valutazione viene dopo, e la prova spetta alla banca.
Bonifico fatto da te. Se sei stato tu a disporre il bonifico, convinto da un truffatore, l’operazione è considerata autorizzata anche se il tuo consenso è stato carpito con l’inganno. Il rimborso immediato previsto per le operazioni non autorizzate in genere non si applica e l’Arbitro Bancario Finanziario lo ha spesso negato. Restano altre strade, che vanno valutate caso per caso: il funzionamento dei controlli antifrode, la verifica del beneficiario, le anomalie dell’operazione rispetto alle tue abitudini, la rapidità con cui la banca ha reagito alla tua segnalazione.
Come riconoscerla
- La banca non chiede mai di leggere al telefono codici OTP, PIN o password.
- Nessun operatore ti chiederà di spostare il denaro su un «conto sicuro» o di installare app di assistenza remota.
- Il numero sul display può essere falsificato: una chiamata dal numero della banca non prova nulla.
- Tono urgente, minacce di blocco, insistenza perché tu resti in linea mentre operi sull’app.
Cosa fare subito
- Riaggancia e richiama tu la banca al numero verde scritto sul retro della carta o sul sito ufficiale.
- Blocca carte e accesso all’home banking dal numero verde dedicato.
- Se hai disposto un bonifico, chiedi subito alla banca di attivare il richiamo dei fondi.
- Conserva SMS, registro chiamate e screenshot, poi sporgi denuncia alla Polizia Postale.
Trovi tutti i passaggi, dalla raccolta delle prove al reclamo, nella guida Cosa fare subito dopo una truffa.
Domande frequenti
Ho letto io il codice OTP all’operatore. Ho perso ogni diritto?
No, non automaticamente. La banca può sostenere la colpa grave del cliente, ma deve provarla. Il contesto conta: uno spoofing credibile, un SMS inserito nella chat autentica della banca, l’assenza di avvisi o di controlli sulle operazioni anomale sono elementi che possono spostare la responsabilità sulla banca, in tutto o in parte. Dopo la sentenza C-70/25 la banca non può neppure rifiutare il rimborso immediato limitandosi ad accusarti di negligenza grave.
Ho fatto io il bonifico istantaneo perché me l’ha detto l’operatore. Posso riavere i soldi?
È il caso più difficile, perché l’operazione è considerata autorizzata. La valutazione dipende dalle circostanze concrete: come ha funzionato la verifica del beneficiario, se l’importo e il destinatario erano anomali rispetto alle tue abitudini, se la banca aveva strumenti per bloccare l’operazione e quanto in fretta ha agito dopo la tua segnalazione. Non possiamo promettere un esito, ma possiamo dirti con chiarezza se ci sono margini.
Entro quando devo contestare l’operazione?
Subito. La segnalazione va fatta senza ritardo e la direttiva PSD2 fissa in ogni caso un limite di tredici mesi dalla data di addebito. La rapidità della reazione pesa anche sulla valutazione della tua diligenza.