Il telefono squilla. Sul display compare il numero ufficiale della vostra banca — lo stesso salvato in rubrica, verificato mille volte. Chi chiama conosce il vostro nome, l’ultima operazione fatta, a volte anche l’IBAN e le ultime cifre della carta. Vi chiede di confermare un codice appena arrivato via SMS “per bloccare un’operazione sospetta” o “per annullare un bonifico non autorizzato”.

Non è la banca.

È spoofing del caller ID: una tecnica che falsifica il numero e il nome del chiamante sfruttando debolezze del protocollo di segnalazione telefonica, non un’intrusione nei sistemi informatici bancari. La sofisticazione di queste truffe è aumentata proprio perché il numero visualizzato non è più un indizio affidabile.

I segnali che tradiscono il truffatore

Tre comportamenti che una banca non adotta mai per telefono:
1. non chiede mai di leggere ad alta voce un codice OTP appena ricevuto via SMS, perché quel codice serve proprio a autorizzare lei l’operazione, non a “verificarla”;
2. non chiede mai di installare app di assistenza remota (le comuni app di controllo desktop usate in queste truffe);
3. non crea mai urgenza artificiale del tipo “blocchiamo il conto tra due minuti se non confermi ora”: è una pressione psicologica costruita per impedire di pensare e verificare.

Perché la legge protegge il cliente più di quanto si creda

Il quadro normativo di riferimento è il D.Lgs. 11/2010, di recepimento della direttiva sui servizi di pagamento (PSD2), che pone a carico del prestatore di servizi di pagamento — la banca — l’onere di provare che l’operazione contestata sia stata autenticata, correttamente registrata e contabilizzata, e che non abbia risentito di un difetto tecnico (art. 10). Non è il cliente a dover dimostrare la propria buona fede: è la banca a dover dimostrare la tenuta dei propri sistemi di autenticazione forte (SCA, Strong Customer Authentication) e, in particolare, il rispetto del requisito di dynamic linking — il collegamento univoco e non riutilizzabile tra il codice OTP e la specifica operazione che autorizza. Un OTP generico, riutilizzabile o non legato in modo verificabile all’importo e al beneficiario è già di per sé un indizio di carenza del sistema antifrode.

L’orientamento dell’Arbitro Bancario Finanziario negli ultimi anni è sempre più attento a questo profilo: la colpa grave del cliente — che escluderebbe il rimborso — non si presume dalla semplice comunicazione del codice, ma va valutata alla luce della sofisticazione dell’inganno subito e della capacità dei sistemi antifrode della banca di intercettare pattern anomali (importi insoliti, beneficiari nuovi, orari atipici). Una banca che non dimostra di aver monitorato questi segnali fatica a sostenere che il cliente sia stato l’unico responsabile.

Le prime 24 ore

1. Bloccare immediatamente carte, home banking e ogni dispositivo collegato, per telefono e poi per iscritto via PEC, conservando conferma dell’orario del blocco.
2. Sporgere denuncia-querela presso Carabinieri o Polizia Postale, descrivendo esplicitamente la tecnica di spoofing e allegando eventuali screenshot delle chiamate e degli SMS.
3. Inviare alla banca, senza attendere, una richiesta di rimborso ex art. 12 D.Lgs. 11/2010, che impone la restituzione immediata (di regola entro il giorno lavorativo successivo) salvo che la banca dimostri la frode o la colpa grave del cliente.
4. Conservare ogni traccia: log delle chiamate, SMS ricevuti, orari, eventuali registrazioni. Sono proprio questi elementi, uniti alla richiesta dei log SMASH/antifrode della banca in sede ABF, a spostare l’onere della prova sul soggetto che per legge già lo sostiene.

Il tempo conta due volte: perché la banca ha termini stringenti per rispondere, e perché più a lungo si attende, più difficile diventa ricostruire con precisione la sequenza delle comunicazioni ricevute.

Avete mai ricevuto una chiamata simile, anche solo sospetta? Raccontatela nei commenti — in forma anonima, senza nomi o dati identificativi — può aiutare altri a riconoscerla in tempo.