Sicurezza digitale e antifrode: come proteggersi

Le truffe più comuni oggi (non serve essere hacker)

Nella grande maggioranza dei casi reali, chi ruba da un conto digitale non sfrutta una falla tecnica della banca: sfrutta te. Le tecniche cambiano nome ma la logica di fondo è sempre la stessa — crearti urgenza o fiducia per farti fare qualcosa che altrimenti non faresti mai.

• Phishing (email). Un'email che imita grafica, logo e tono della tua banca, con un link a una pagina di login clonata quasi identica a quella vera. Basta inserire le credenziali lì per consegnarle al truffatore.
• Smishing (SMS). La versione via SMS, spesso più insidiosa: con lo spoofing del mittente, il messaggio truffa può apparire nello stesso thread degli SMS veri della tua banca ("rilevata anomalia sul tuo conto, verifica qui"), rendendolo molto più credibile a colpo d'occhio.
• Vishing (telefonata). Un finto operatore bancario chiama — spesso con un numero contraffatto (spoofing) che sembra quello ufficiale — segnalando un "bonifico sospetto" e chiedendo di leggere il codice OTP arrivato via SMS "per bloccare l'operazione". In realtà quel codice serve al truffatore per autorizzarla. Una variante fa seguire una seconda chiamata da un finto numero delle forze dell'ordine, per aumentare la pressione.
• SIM swap. Il truffatore, con dati personali già in mano, richiede al tuo operatore telefonico un duplicato della tua SIM. Se riesce, riceve lui i codici OTP via SMS mentre il tuo telefono resta senza segnale — ed è spesso proprio quel dettaglio, il segnale che sparisce senza motivo, il primo campanello d'allarme.
• Skimming e clonazione carta. Dispositivi fisici applicati su bancomat o POS manomessi copiano i dati della banda magnetica, a volte insieme a una microcamera nascosta per il PIN. Colpisce soprattutto le carte ancora lette a banda magnetica; il chip EMV e i pagamenti contactless sono molto più difficili da clonare in questo modo.

Un fenomeno più recente e meno diffuso, ma in crescita, è il quishing: QR code truffaldini (su un parchimetro, un volantino, persino incollati sopra un QR legittimo) che portano alla stessa logica del phishing, solo con un codice al posto del link.

Autenticazione forte (SCA): cosa fa già per proteggerti

Se ultimamente ogni pagamento online o accesso all'home banking ti chiede una conferma in più (impronta, riconoscimento facciale, un codice push sull'app), non è un fastidio aggiunto a caso: è la Strong Customer Authentication (SCA), obbligo previsto dalla PSD2 (direttiva 2015/2366/UE) e recepito in Italia con il D.Lgs. 218/2017, che ha modificato il precedente D.Lgs. 11/2010.

La regola è semplice: per autorizzare un'operazione servono almeno due fattori indipendenti, scelti tra tre categorie diverse — qualcosa che sai (PIN, password), qualcosa che hai (smartphone con l'app, un token fisico) e qualcosa che sei (impronta digitale, volto). Una password rubata da sola, quindi, non basta più a un truffatore per operare sul tuo conto: gli serve anche il secondo fattore.

Questo è anche il motivo per cui le truffe più sofisticate di oggi non cercano più solo la password: cercano di convincerti a fornire o approvare tu stesso il secondo fattore — il codice OTP letto al telefono, o la notifica push che ti arriva sull'app e che ti chiedono di "confermare per verificare" o "per annullare" un'operazione che in realtà stanno autorizzando loro in quel momento.

Novità in arrivo: PSD3 e PSR (non ancora in vigore)

L'Unione Europea sta rivedendo l'intero impianto normativo con una nuova direttiva (PSD3) e un nuovo regolamento (PSR, Payment Services Regulation). Ad agosto 2026 il percorso legislativo è in fase avanzata ma non concluso: il trilogo tra Parlamento, Consiglio e Commissione UE si è chiuso il 26 novembre 2025 e i testi di compromesso sono stati pubblicati il 22 aprile 2026, ma mancano ancora l'approvazione formale definitiva e la pubblicazione in Gazzetta Ufficiale dell'UE. Da lì decorreranno termini differenziati per l'entrata in vigore delle diverse norme (in parte 21 giorni, per la maggioranza circa 21 mesi, per alcune previsioni specifiche fino a 27 mesi) prima del recepimento nazionale.

Oggi, quindi, resta in vigore la PSD2: tutto quanto scritto in questa guida su diritti e rimborsi si basa sulla normativa attuale, non su quella futura. Tra le novità principali già delineate nei testi di compromesso: la SCA non sarà più richiesta solo al momento del pagamento ma coprirà l'intero rapporto con l'istituto (accesso al conto online, cambio credenziali, autorizzazione di nuovi dispositivi); la responsabilità nella prevenzione delle frodi passa da un modello centrato sul singolo prestatore di servizi a uno "di ecosistema", che coinvolge anche il lato del beneficiario del pagamento; ed è prevista una maggiore attenzione alla verifica del beneficiario (Verification of Payee), il controllo che il nome del destinatario di un bonifico corrisponda davvero all'IBAN indicato — utile contro le truffe che dirottano un bonifico legittimo su un IBAN sbagliato.

Clonazione carta: come succede e come proteggersi

Lo skimming è la tecnica più comune: un piccolo dispositivo applicato sopra o dentro la fessura di un bancomat o di un POS manomesso legge e copia i dati della banda magnetica quando inserisci la carta, spesso accompagnato da una microcamera nascosta o da una tastiera fittizia sovrapposta per catturare il PIN.

È una tecnica che colpisce soprattutto le carte lette tramite banda magnetica: i dati del chip EMV sono molto più difficili da copiare, e con i pagamenti contactless la carta non entra mai fisicamente nel lettore, riducendo ulteriormente il rischio di questo tipo specifico di clonazione fisica.

• Prima di usare un bancomat, guarda se ci sono parti che sembrano aggiunte, storte o manomesse intorno alla fessura o alla tastiera; in caso di dubbio, non usarlo e segnalalo alla banca o all'esercizio.
• Copri sempre la tastiera con l'altra mano quando digiti il PIN, anche se non vedi nulla di sospetto.
• Preferisci il contactless quando possibile: il dato della carta non passa fisicamente nel lettore.
• Attiva le notifiche istantanee per ogni movimento, se il tuo conto le offre: è il modo più veloce per accorgersi di un addebito sospetto prima che se ne accumulino altri.
• Se il tuo conto offre carte virtuali o numeri temporanei per gli acquisti online, usali sui siti che non conosci bene: un dato copiato lì non è collegato alla carta fisica che usi tutti i giorni.

Se sei vittima: cosa fare nelle prime ore

Il tempo conta, sia per limitare il danno pratico sia perché muoversi subito rafforza la tua posizione se poi serve contestare l'operazione con la banca.

Hai diritto al rimborso? Cosa dice la legge

Qui sta la parte meno conosciuta, ed è quella che vale la pena leggere fino in fondo prima di rassegnarsi a un danno che la legge non ti chiede di sopportare da solo.

Il D.Lgs. 11/2010 (che recepisce la normativa europea sui servizi di pagamento, aggiornato dal D.Lgs. 218/2017 per la PSD2) stabilisce che, per un'operazione di pagamento non autorizzata, il prestatore di servizi — la tua banca o il tuo istituto di pagamento — deve rimborsarti immediatamente, riportando il conto allo stato in cui si sarebbe trovato se l'operazione fraudolenta non fosse mai avvenuta.

Il punto chiave è questo: per rifiutare il rimborso, è la banca a dover dimostrare che hai agito con dolo (consapevolmente) o con colpa grave — non basta un errore, serve una condotta oggettivamente irragionevole. L'onere della prova non è tuo. La giurisprudenza dell'Arbitro Bancario Finanziario tende a non considerare colpa grave l'essere caduti in un attacco di phishing costruito con cura (una pagina di login clonata in modo quasi indistinguibile dall'originale, ad esempio): ogni caso, però, viene valutato nel merito, e non è un rimborso automatico garantito a prescindere.

Attenzione a non confondere questo caso con il chargeback: qui si parla di un'operazione che non hai mai autorizzato (frode). Se invece hai autorizzato tu il pagamento ma il problema è arrivato dopo — merce mai consegnata, non conforme, addebito duplicato — lo strumento giusto è un altro, vedi la guida Chargeback: cos'è e come funziona.

Gli errori più comuni

• Pensare che il rimborso sia automatico e garantito sempre. Non lo è: dipende dalla valutazione, caso per caso, della colpa grave — ma l'onere di dimostrarla è della banca, non tuo.
• Condividere l'OTP "solo per verificare" o "per bloccare l'operazione". È lo schema più comune del vishing: nessuna banca vera ha mai bisogno del tuo codice per bloccare qualcosa.
• Aspettare prima di contestare o denunciare. Sia per il recupero pratico (un bonifico può essere già stato prelevato) sia perché il termine dei 13 mesi comunque corre.
• Sottovalutare un telefono che perde segnale senza motivo. Può essere il primo segnale di un SIM swap in corso, non solo un problema di rete.
• Riusare lo stesso PIN o la stessa password su più servizi. Un dato rubato altrove diventa la chiave per provare ad accedere anche al conto.

Domande frequenti

Guide correlate

• 💳 Chargeback: cos'è e come funziona
• 🏦 Fondo di tutela dei depositi
• 🚫 Discriminazione IBAN
• 🔒 Sicurezza Revolut
• 🌍 Sicurezza Wise
• 💙 Sicurezza Satispay
• 📈 Sicurezza Trade Republic
• 🏧 Sicurezza Hype
• 🇩🇪 Sicurezza N26