“Mi ha chiamato la banca, conoscevano il mio nome e il mio indirizzo: era per forza la banca.” È il ragionamento su cui conta chi ti chiama. La mezza verità che manca: nome e indirizzo li trovano negli elenchi, sui social e nelle fughe di dati. Sapere chi sei non dimostra chi sono loro.
Mi ha chiamato la banca: come faccio a sapere se è una truffa?
Guarda cosa ti chiede, non chi dice di essere. Una banca vera non ti chiede mai al telefono di installare un programma, di dettare password, PIN o codici ricevuti via SMS, né di spostare i soldi su un altro conto. Se la telefonata arriva a una di queste richieste, è una truffa, anche se il numero sul display sembra quello giusto.
A metà aprile 2026 l’Ufficio federale della cibersicurezza (UFCS) ha segnalato un aumento di queste telefonate. Lo schema descritto è sempre lo stesso:
- Un “impiegato della banca”, con voce preoccupata, dice che c’è una transazione sospetta sul tuo conto e che va bloccata insieme.
- Per sembrare credibile conosce già nome completo e indirizzo.
- Ti passa a uno “specialista informatico” della banca, che ti spiega che il computer o l’e-banking sono infettati.
- Per “ripulirli” devi installare subito uno “strumento di supporto”: in realtà un programma di controllo remoto come AnyDesk o TeamViewer.
L’UFCS scrive che i chiamanti abusano dei nomi di grandi e note banche svizzere e che ora si spacciano anche per collaboratori dell’Ufficio federale delle comunicazioni (UFCOM), annunciando il blocco del numero di telefono. Raccomandazione: banche e autorità non chiedono mai al telefono di installare un software di manutenzione remota.
Perché vogliono farmi installare AnyDesk?
Perché con quel programma il tuo computer diventa loro. AnyDesk e TeamViewer sono programmi veri e legittimi, usati ogni giorno dai tecnici per l’assistenza a distanza. Proprio per questo non li blocca nessun antivirus: sei tu che dai il permesso.
Una volta dentro, spiega l’UFCS, i truffatori vedono il tuo schermo, muovono il mouse, leggono password e dati di accesso ed entrano nell’e-banking. A volte ti chiedono di fare tu delle operazioni “per bloccare il pagamento sbagliato”, mentre in realtà ne stanno facendo partire altre. In alcuni casi lo schermo diventa nero proprio mentre inserisci i codici di sicurezza, così non vedi cosa succede dietro.
Una volta ottenuto l’accesso al computer o allo smartphone, i truffatori manipolano l’e-banking, effettuano pagamenti o inducono le vittime a inserire i dati della carta “per ricevere un accredito”. In realtà il denaro viene addebitato.
E se sono io a chiamare il numero del messaggio?
È la stessa trappola, girata al contrario: si chiama “callback scam”. Ti arriva un SMS o un’email con un pagamento che non hai fatto (TWINT, PayPal, Amazon, la banca, un rinnovo dell’antivirus da centinaia di franchi o euro) e un numero da chiamare “per annullare”. Nessun link da cliccare, quindi i filtri non lo fermano. Dall’altra parte risponde il call center dei truffatori, che segue il copione di sopra: codici, dati della carta, AnyDesk.
L’UFCS segnala anche un dettaglio che pochi notano: spesso una prima telefonata chiede solo quale sia la tua banca e il saldo del conto. Quei dati servono poi, in una seconda chiamata, per sembrare affidabili.
La regola che ne segue è semplice: il numero da chiamare non lo prendi mai dal messaggio. Lo prendi dal retro della carta, dall’app o dal sito che digiti tu.
Cos’è il doppio phishing con l’avviso della Posta?
È una truffa in due tempi: prima un foglio nella cassetta delle lettere, poi la telefonata “della banca” che ti vuole aiutare. Nel giugno 2026 l’UFCS ha descritto finti avvisi di ritiro della Posta Svizzera, gialli e con il logo copiato, lasciati nelle cassette della Svizzera romanda. Il codice QR stampato porta a un sito falso che chiede data di nascita, indirizzo, un numero di telefono svizzero obbligatorio e poi 2.10 franchi di “spese di gestione”, pagabili solo con carta di credito.
La Posta Svizzera di norma non chiede alcuna commissione per un secondo tentativo di consegna standard, e per ricevere un pacco non serve mai la data di nascita.
Il secondo tempo lo racconta il rapporto semestrale dell’UFCS: con i dati della carta e il numero di telefono appena raccolti, i criminali hanno chiamato la vittima fingendosi dipendenti della banca, offrendosi di “aiutarla a difendersi” proprio da quel phishing. In alcuni casi hanno unito telefonate e visite di persona.
È per questo che il doppio phishing funziona così bene: la chiamata arriva quando hai appena avuto un dubbio, e sembra la risposta al dubbio.
Nel primo semestre 2026 l’UFCS scrive che, mentre fino alla fine del 2025 dominava il phishing delle carte di credito, ora il metodo di phishing più segnalato è quello tramite telefono, in tutte le sue varianti.
Succede anche in Italia?
Sì, con lo stesso copione e una variante in più: il “conto sicuro”. La Polizia Postale descrive falsi operatori di banche, di Poste Italiane o perfino della Polizia Postale che, dopo un primo SMS o una email di phishing, telefonano per segnalare accessi anomali. Poi convincono la vittima ad andare in banca o all’ufficio postale per trasferire i risparmi su un “conto sicuro”, che è quello del truffatore, restando al telefono fino alla fine e chiedendo di non dire nulla allo sportello.
Mai nessun operatore postale o bancario, né agente di polizia, chiederà di spostare i soldi su altri conti correnti. Usare solo l’app ufficiale e contatti telefonici verificati.
E il numero sul display può mentire. Con lo spoofing i truffatori fanno comparire il numero vero della banca, delle Poste o di un ufficio di polizia; ti invitano perfino a “controllarlo su internet”, e il controllo torna, perché il numero è davvero quello.
Dopo il furto delle credenziali arriva una seconda chiamata falsificata, da un finto “operatore antifrode”, che chiede un bonifico immediato su un “conto sicuro”. In caso di dubbio: contattare direttamente la banca, andare di persona all’ufficio postale o chiamare il 112 o il 113.
In Svizzera qualcosa sta cambiando: le “telefonate a nome di false autorità” segnalate all’UFCS sono scese a 3.817 nel primo semestre 2026, il 64% in meno rispetto al primo semestre 2025, e secondo l’UFCS le regole più severe contro i numeri falsificati dovrebbero aver contribuito. Ma le chiamate “della banca” restano la forma di phishing più segnalata. Il numero sul display non è mai una prova, né in Svizzera né in Italia.
Come riconosco la telefonata del finto operatore?
Basta uno di questi segnali per riattaccare:
- Chiamata che non aspettavi su un addebito, un accesso strano, un “problema di sicurezza”.
- Fretta e paura: “va bloccato adesso”, “perde i soldi”, “il conto verrà chiuso”.
- Ti chiedono di installare qualcosa: AnyDesk, TeamViewer, “app di sicurezza”, “strumento di supporto”.
- Ti chiedono un codice: quello dell’SMS, della app, il PIN, il CVV. Un codice di conferma dettato al telefono autorizza un’operazione, non la blocca.
- Ti chiedono di spostare soldi su un altro conto, anche “temporaneo”.
- Ti chiedono di non dire niente allo sportello o in famiglia.
- Ti passano a un collega: “lo specialista IT”, “l’antifrode”, “la polizia”. Più persone, più teatro.
- Arriva dopo un messaggio o un avviso (SMS, email, foglio nella cassetta): è il doppio phishing.
Il Metodo 3V applicato alla telefonata “della banca”
Tre domande, prima di fare qualsiasi cosa ti chiedano al telefono. È il Metodo 3V del libro «Sicurezza informatica per professionisti», e questo è esattamente il tipo di caso per cui è nato.
| La domanda | Nella telefonata “della banca” | |
|---|---|---|
| Verifica | Chi mi chiama è davvero chi dice di essere? | Nome, indirizzo e numero sul display non lo dimostrano. Riattacca e richiama tu il numero sul retro della carta o nell’app, da un altro telefono o dopo qualche minuto. |
| Validazione | Anche se fosse la banca, la richiesta ha senso? | Una banca che ti fa installare AnyDesk, ti chiede un codice o ti fa spostare i soldi non esiste. La richiesta da sola basta a dire no. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Va bloccato subito” serve a non farti pensare. Se l’addebito sospetto fosse vero, dieci minuti per richiamare non cambierebbero niente. |
Se una sola risposta non torna, la conversazione finisce lì. Non devi essere sgarbato né convincere nessuno: “La richiamo io al numero della carta” è una frase che un vero impiegato di banca accetta sempre.
Cosa fare subito (e se è già successo)
Se la chiamata è in corso o è appena finita:
- Riattacca. Non serve una spiegazione.
- Richiama la banca al numero sul retro della carta, sull’estratto conto o nell’app. Mai al numero ricevuto in chiamata o nel messaggio.
- Non installare nulla, non dettare codici, non fotografare la carta.
Se hai già installato il programma o dato dei dati:
- Stacca il computer o il telefono da internet (Wi-Fi e cavo).
- Chiama subito la banca e fai bloccare carte ed e-banking: le prime ore contano.
- Disinstalla AnyDesk o TeamViewer e fai controllare il dispositivo da un tecnico di fiducia.
- Cambia le password usate su quel dispositivo, partendo da email ed e-banking, da un altro dispositivo pulito. Attiva l’autenticazione a due fattori dove puoi.
- Denuncia e segnala. In Svizzera: polizia cantonale (la stazione più vicina su suisse-epolice.ch) e segnalazione all’UFCS su report.ncsc.admin.ch. In Italia: Polizia Postale su commissariatodips.it, o il 112/113 se sei in pericolo di perdere soldi in quel momento.
- Conserva le prove: numero chiamante, orario, SMS, email, foto dell’avviso nella cassetta.
Domande frequenti
Domande frequenti
La banca può chiamarmi per un addebito sospetto?
Può capitare che una banca ti contatti per un pagamento anomalo. Ma non ti chiedono mai di installare programmi, di dettare password o codici ricevuti via SMS, né di spostare soldi su un altro conto. Nel dubbio riattacca e richiama tu il numero sul retro della carta o nell'app: se il problema è vero, lo ritrovi lì.
Il numero sul display era quello della mia banca: può essere falso?
Sì. Con lo spoofing i truffatori fanno comparire il numero vero della banca, delle Poste o perfino della polizia. La Polizia Postale lo segnala da anni, e in Svizzera le nuove regole contro i numeri falsificati hanno ridotto il fenomeno ma non l'hanno eliminato. Il numero che vedi non prova nulla: conta il numero che chiami tu.
Ho installato AnyDesk su richiesta della 'banca': cosa faccio?
Stacca subito il dispositivo da internet, chiama la banca al numero ufficiale e fai bloccare carte ed e-banking. Poi disinstalla il programma, fai controllare il dispositivo da un tecnico e cambia le password da un altro apparecchio. Infine fai denuncia: polizia cantonale e UFCS in Svizzera, Polizia Postale in Italia.
Ho trovato un avviso della Posta con un codice QR: è una truffa?
Può esserlo. Non scansionare il codice: inserisci a mano il numero di spedizione nel sito o nell'app ufficiale della Posta. Se il numero non dà risultati, è un tentativo di frode. Un avviso vero non chiede la data di nascita né spese per una seconda consegna. E se poco dopo ti chiama 'la banca' per aiutarti, è la seconda parte della stessa truffa.
Per allenare l’occhio anche su email e SMS, parti dalla guida al phishing; se gestisci un’azienda, passa dalla pagina per le PMI. Parlane oggi con chi in famiglia risponde sempre al telefono: la chiamata “della banca” arriva di solito quando si è soli e di fretta, e la regola va decisa prima.
