Vishing: la truffa telefonica che finge banca, Poste o assistenza per rubare dati e soldi
Non tutte le truffe arrivano con un link. Alcune arrivano con una voce al telefono. Il vishing, o phishing vocale, è una truffa in cui qualcuno chiama la vittima fingendosi una persona affidabile: un operatore della banca, un addetto di Poste, un tecnico, un incaricato di un ente pubblico, un corriere, un operatore telefonico o perfino un rappresentante delle forze dell’ordine. Il tono può essere rassicurante, professionale, gentile. Oppure può essere urgente, allarmato e minaccioso. Cambia il modo, ma l’obiettivo è sempre lo stesso: ottenere dati, codici, accessi o denaro.
Il Garante per la protezione dei dati personali dedica una scheda informativa proprio al vishing, spiegando che si tratta di una forma di phishing telefonico particolarmente pericolosa perché sfrutta il rapporto diretto con la vittima, la pressione psicologica e la falsa autorevolezza di chi chiama.
Fonte: Garante Privacy [https://www.garanteprivacy.it/temi/cybersecurity/vishing]
La truffa inizia quasi sempre con un problema da risolvere subito. Il falso operatore dice che c’è un accesso sospetto, una carta bloccata, un bonifico non autorizzato, un pagamento da fermare, un conto da mettere in sicurezza o una pratica urgente. La vittima viene messa sotto pressione e spinta ad agire in fretta.
A quel punto arrivano le richieste più pericolose. Possono chiedere codici OTP ricevuti via SMS, PIN, password, dati della carta, IBAN, codice fiscale, documenti, accesso all’app bancaria o perfino l’installazione di applicazioni di controllo remoto. In alcuni casi il truffatore guida la persona passo dopo passo dentro l’app della banca, fino a farle autorizzare un bonifico che viene presentato come operazione di sicurezza. La frase più pericolosa è spesso questa: “La stiamo aiutando a proteggere il conto”. In realtà, chi chiama non sta proteggendo nulla. Sta cercando di entrare nei conti o di farsi autorizzare un’operazione.
Il vishing è credibile perché usa la voce umana. Una telefonata sembra più vera di una mail. Il truffatore può rispondere alle domande, adattare il discorso, sembrare preparato e usare informazioni già raccolte da altre fonti. A volte può perfino comparire sul display un numero che sembra quello della banca o di un ente reale. Questo però non basta a fidarsi, perché il numero visualizzato può essere falsificato con tecniche di spoofing.
Il punto quindi è semplice: non bisogna fidarsi solo del numero che appare sul telefono. Se una chiamata riguarda soldi, conti, carte, codici o documenti, la verifica va fatta interrompendo la telefonata e ricontattando l’ente dai canali ufficiali.
I segnali d’allarme sono questi:
- la chiamata arriva all’improvviso
- il tono è urgente o allarmante
- ti dicono che devi agire subito
- ti chiedono codici ricevuti via SMS
- ti chiedono PIN, password o dati della carta
- ti guidano dentro l’app bancaria
- ti propongono bonifici o spostamenti di sicurezza
- ti chiedono di installare un’app
- ti dicono di non parlare con nessuno
- insistono se dici che vuoi verificare
La difesa principale è chiudere la chiamata. Non bisogna discutere troppo, non bisogna lasciarsi convincere e non bisogna cercare di dimostrare qualcosa al presunto operatore. Se la telefonata è sospetta, si chiude e basta. Poi si verifica usando solo canali ufficiali. Si apre l’app della banca, si digita manualmente il sito corretto o si chiama il numero ufficiale riportato sul sito o sul retro della carta. Non bisogna richiamare il numero che ha chiamato e non bisogna usare numeri ricevuti via SMS, WhatsApp o dettati durante la telefonata. Per ridurre il rischio è utile attivare le notifiche sui movimenti bancari, impostare limiti di spesa, usare l’autenticazione a due fattori e controllare periodicamente dispositivi e accessi autorizzati. Ma la protezione più importante resta la consapevolezza: nessun operatore serio chiede codici, password o bonifici di sicurezza al telefono.
Se hai già comunicato dati, codici o credenziali, bisogna agire subito:
- blocca carta o conto tramite i canali ufficiali
- cambia password e credenziali da un dispositivo sicuro
- controlla movimenti, bonifici e carte collegate
- contatta la banca e spiega cosa è successo
- conserva numeri, messaggi, screenshot e prove
- valuta una denuncia alla Polizia Postale o alle autorità competenti
La Banca d’Italia, nelle sue indicazioni sulle frodi online, ricorda che in caso di truffe o frodi è importante contattare subito l’intermediario e che si può denunciare l’accaduto alla Polizia Postale e delle Comunicazioni.
Fonte: Banca d’Italia [https://www.bancaditalia.it/focus/cybersicurezza/truffe-cyber/]
Il vishing non funziona perché le persone sono stupide. Funziona perché mette paura, usa toni credibili e colpisce nel momento in cui una persona si sente sotto pressione.
La regola da ricordare è una sola: se al telefono ti chiedono codici, password o dati bancari, non stanno proteggendo te. Potrebbero voler entrare nei tuoi conti.
Chiudi la chiamata. Verifica dai canali ufficiali. E non farti prendere dalla fretta.