“La mia banca ha l’app, i codici, il lettore di carte: sono protetto.” In parte sì. Ma se sei tu a inserire i dati sulla pagina falsa, e magari a confermare l’operazione, i truffatori usano le tue stesse protezioni.
Come ti rubano l’accesso alla banca?
Con una pagina identica a quella dell’e-banking, raggiunta da un SMS o da un’email. I messaggi:
- “Abbiamo rilevato un accesso dall’estero, verifica la tua identità”;
- “Il tuo pagamento è stato bloccato, conferma i dati”;
- “Aggiornamento obbligatorio delle misure di sicurezza”.
La pagina falsa ti chiede il numero di contratto o il nome utente, la password e spesso il codice di conferma. Con quel codice, i truffatori possono confermare un’operazione al posto tuo, in tempo reale.
In una sola settimana di settembre 2026 il CERT-AgID ha contato 20 campagne di phishing bancario rivolte all’Italia, con il nome di diversi istituti.
Il video: il trucco visto dall’altra parte
Nel 2020 ho registrato questo video (10 minuti) per mostrarti il trucco dal punto di vista di chi lo prepara. La tecnica non è cambiata: cambiano solo la grafica delle pagine e le scuse usate per farti cliccare.
Ho scelto UBS come esempio solo perché è una banca molto conosciuta in Svizzera: il trucco è lo stesso con qualsiasi banca, svizzera o italiana.
Come riconosco la pagina falsa della banca?
Dal modo in cui ci sei arrivato. Se ci sei arrivato da un link, è sospetta per definizione.
- La banca vera la apri dall’app o scrivendo tu l’indirizzo che conosci.
- La banca non ti chiede password o codici per email, SMS o telefono.
- Un codice di conferma che arriva senza che tu stia facendo un’operazione è un allarme: non darlo a nessuno e non inserirlo da nessuna parte.
Il Metodo 3V applicato al messaggio “della banca”
Tre domande prima di inserire un solo dato. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nel caso della banca | |
|---|---|---|
| Verifica | Chi me lo chiede è davvero chi dice di essere? | Apri l’app della banca o chiama il numero sul retro della carta. |
| Validazione | Anche se fosse lei, la richiesta ha senso? | La banca non ti chiede password e codici da un messaggio. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Il conto verrà bloccato”: un’ora di controllo non costa niente, un codice dato sì. |
Cosa fare se hai già inserito i dati
- Chiama subito la banca al numero sul retro della carta o nell’app, e fai bloccare l’accesso all’e-banking e le carte.
- Cambia la password dell’e-banking appena la banca te lo permette.
- Controlla i movimenti dei giorni successivi.
- Fai denuncia se c’è un addebito: polizia cantonale e UFCS in Svizzera, Polizia Postale in Italia.
Segnala il messaggio: in Svizzera all’Ufficio federale della cibersicurezza UFCS, in Italia alla Polizia Postale. Se hai un dubbio su un link, controllalo su sito-ok.com senza aprirlo.
Se la “banca” invece ti telefona, il trucco cambia ma la regola resta: lo trovi nell’articolo sul finto operatore della banca.
Domande frequenti
Mi è arrivato un SMS della banca con un link: è vero?
Trattalo come falso. Le banche non mandano link per accedere all'e-banking o per sbloccare il conto. Apri l'app della banca da solo: se c'è davvero un problema, lo trovi lì. Il nome del mittente degli SMS si può falsificare.
Ho inserito la password dell'e-banking su un sito falso: cosa faccio?
Chiama subito la banca al numero sul retro della carta o nell'app e chiedi di bloccare l'accesso. Poi cambia la password, controlla i movimenti e, se c'è un addebito, fai denuncia. Più in fretta chiami, più possibilità ci sono di fermare un pagamento.
Mi è arrivato un codice di conferma che non ho chiesto: cosa significa?
Probabilmente qualcuno sta provando a usare i tuoi dati. Non comunicarlo a nessuno, nemmeno a chi dice di essere la banca, e non inserirlo da nessuna parte. Chiama la banca al numero ufficiale e avvisala.
Nel prossimo e ultimo episodio: Phishing #7, la password di Facebook.
