Squilla il telefono. Sul display c'è il numero della tua banca, quello stampato sul retro della carta. Dall'altra parte una persona calma e professionale ti avvisa che è in corso un tentativo di bonifico dal tuo conto e che bisogna bloccarlo subito. È una truffa, e si chiama vishing.
Il numero è vero. Il chiamante no.
La rete telefonica funziona come la posta cartacea: il mittente lo scrive chi spedisce, e nessuno lo verifica. Con un normale servizio di telefonia via internet si può impostare qualunque numero come chiamante. Si chiama caller ID spoofing ed è banale da fare.
Quindi il numero sul display non è una prova di identità. Vale per le banche, per le forze dell'ordine, per i corrieri e per chiunque altro.
Come si sviluppa la chiamata
Lo schema è studiato e segue quasi sempre gli stessi passaggi.
1. Creano allarme. "Risulta un bonifico di 2.480 € verso un conto estero, lo ha autorizzato lei?" La risposta è no, e da quel momento sei spaventato e collaborativo.
2. Costruiscono fiducia. Ti dicono dati che sembrano riservati: nome, cognome, a volte le ultime quattro cifre della carta o la tua filiale. Sono informazioni che circolano già, prese da vecchie violazioni di dati o dai social. Servono solo a farti dire "allora è davvero la banca".
3. Ti fanno agire. Qui arriva la richiesta vera, in una di queste forme:
- Leggere ad alta voce il codice appena arrivato via SMS, presentato come "codice di annullamento".
- Approvare la notifica sull'app della banca, "per bloccare l'operazione".
- Fare un bonifico verso un conto sicuro intestato a te, che non esiste.
- Installare un programma di assistenza remota per "mettere in sicurezza il dispositivo".
Ognuna di queste azioni autorizza il pagamento che stanno tentando in quel preciso momento.
Le tre frasi che chiudono la questione
Non serve smascherare nessuno. Bastano tre certezze:
- La banca non chiede mai i codici via telefono. Nessun operatore vero, in nessuna circostanza, ti chiede di leggere un codice OTP.
- La banca non chiede di approvare notifiche mentre è al telefono con te. Se te lo chiedono, stai autorizzando un'operazione loro.
- Il "conto sicuro" non esiste. È un'invenzione. Se il conto fosse a rischio, la banca lo blocca da sola, senza spostare i tuoi soldi altrove.
Cosa fare durante la chiamata
- Riattacca. Non devi essere gentile, non devi spiegare, non devi verificare nulla con loro. Riattacca e basta.
- Aspetta almeno un minuto prima di richiamare, oppure usa un altro telefono. In alcuni casi la linea resta aperta e ti ritrovi a parlare con lo stesso truffatore che finge di essere il centralino.
- Chiama tu il numero stampato sulla carta o presente dentro l'app ufficiale, mai un numero dettato durante la chiamata.
- Controlla i movimenti del conto dall'app.
Se hai già dato un codice
- Chiama subito il numero di emergenza della banca e fai bloccare conto e carte.
- Se hai installato un programma di assistenza remota, scollega il computer da internet e non usarlo per operazioni bancarie finché non è stato controllato.
- Disconosci le operazioni per iscritto entro i termini previsti.
- Sporgi denuncia: senza denuncia la pratica di rimborso non parte.
Nei casi di vishing la banca a volte contesta il rimborso sostenendo che il cliente è stato negligente. Documenta tutto: orario della chiamata, numero visualizzato, cosa ti è stato detto. Serve.
Conclusione
Il vishing non buca nessun sistema informatico: buca la fiducia, usando un numero falsificato e la paura di perdere dei soldi. La contromisura è una sola e non ha eccezioni: qualunque telefonata che ti chiede di leggere un codice o approvare qualcosa finisce con te che riattacchi e richiami la banca dal numero ufficiale. Se ti è appena successo e non sai cosa fare, chiamaci: aiutiamo spesso i clienti a mettere in sicurezza i dispositivi dopo una chiamata di questo tipo.