Falso operatore antifrode: quando lo “storno” è una truffa

La truffa dello storno è una frode bancaria, diffusa soprattutto tra chi utilizza l’app della propria banca, in cui la vittima riceve un SMS che finge di essere una comunicazione ufficiale su un bonifico da autorizzare o negare. Il messaggio può contenere un link che rimanda a una pagina web fraudolenta, realizzata per riprodurre fedelmente il sito dell’istituto di credito, dove vengono richiesti dati personali, credenziali e recapiti telefonici. Successivamente, un falso operatore contatta la vittima utilizzando le informazioni fornite per portare avanti la truffa. In una variante dello stesso schema, il messaggio invita invece a contattare il numero telefonico indicato nell’SMS, mettendo direttamente la vittima in contatto con i truffatori che si spacciano per operatori della banca o del servizio antifrode.

Lo schema si sviluppa in tre fasi distinte, costruite per sembrare ciascuna la naturale conseguenza della precedente.

1. 1. L’SMS civetta. Il primo contatto è un SMS che si spaccia per comunicazione ufficiale della banca: informa la vittima che è stata richiesta l’autorizzazione per un bonifico e che, per negarla, occorre cliccare su un link.
   2. La telefonata del finto operatore. Il link è spesso seguito da una chiamata di un sedicente operatore bancario, che chiede informazioni sulle operazioni presenti sul conto e invita a cliccare sul link ricevuto, guidando la vittima in quella che presenta come “procedura di storno”.
   3. L’installazione dell’app di condivisione schermo. Qui si trova il punto più critico e distintivo di questa frode: nella “procedura di storno” il truffatore convince la vittima a eseguire un bonifico verso le coordinate indicate, facendole credere che si tratti dello storno del presunto bonifico fraudolento, mentre in realtà il denaro viene trasferito ai criminali.

Accanto allo schema con condivisione dello schermo, sono state osservate due varianti che seguono una logica simile ma percorsi operativi diversi.

Condivisione dello schermo: il truffatore richiede l’installazione di un’applicazione di condivisione dello schermo (come TeamViewer o altri strumenti di accesso remoto). Una volta installata, questa app permette ai truffatori di controllare da remoto il dispositivo, accedere al conto e disporre operazioni malevole in autonomia. Al termine di ogni operazione, la vittima riceve un SMS che la rassicura comunicando che lo storno è avvenuto “con successo”: una conferma fittizia, costruita apposta per ritardare la scoperta della frode.

Trasferimento su un “conto partner”. Il truffatore contatta la vittima per telefono o via SMS avvisandola che il denaro sul conto è in pericolo e che è necessario trasferirlo su un nuovo conto corrente, presentato come aperto presso una banca partner. Offrendosi di assisterla nell’apertura del nuovo conto, il truffatore si appropria delle credenziali di accesso, che userà in seguito per svuotarlo.

Apertura conto con documenti rubati. In alternativa, viene chiesto alla vittima di inviare un documento d’identità, una foto del viso e i propri dati personali (nome, cognome, e-mail, indirizzo), con la scusa di aprire un nuovo conto a suo nome. In realtà il truffatore apre il conto in totale autonomia, senza mai comunicarne le credenziali alla vittima, di cui è in possesso fin dall’inizio. A quel punto chiede alla vittima di effettuare un bonifico su quello che crede essere il “suo” nuovo conto, ma che è di fatto già nella disponibilità del truffatore.

Lo storno truffa sfrutta leve psicologiche precise, non solo lacune tecniche:

• La paura di perdere denaro, che spinge ad agire in fretta senza verificare;
• L’autorità apparente dell’operatore, rafforzata da un SMS iniziale che sembra provenire davvero dalla banca;
• Il linguaggio tecnico e procedurale, che riproduce fedelmente le comunicazioni bancarie legittime;
• La convinzione di agire per proteggersi, che disattiva l’istinto di diffidenza normalmente attivo davanti a una richiesta di installare un’app o di trasferire denaro.

Questa combinazione è ciò che distingue lo storno truffa da un tentativo di phishing generico: la vittima non pensa di star effettuando un pagamento o di star cedendo il controllo del dispositivo, pensa di star evitando un danno.

• ricevi un SMS che ti chiede di cliccare un link per autorizzare o negare un bonifico;
• alla telefonata successiva ti viene chiesto di installare un’app di condivisione schermo (TeamViewer o simili);
• ti vengono richieste informazioni dettagliate sulle operazioni presenti sul tuo conto;
• ti si dice che il tuo denaro è “in pericolo” e che va trasferito su un nuovo conto, anche presso una banca “partner”;
• ti viene chiesto di inviare documento d’identità, selfie e dati personali per aprire un conto a tuo nome;
• ricevi un SMS di conferma che uno storno è andato “a buon fine” per un’operazione che non hai mai autorizzato consapevolmente.

Anche uno solo di questi segnali, in particolare la richiesta di installare un’app di accesso remoto o di aprire un conto presso un altro istituto, è sufficiente per considerare la comunicazione una truffa.

Conoscere con precisione cosa un istituto legittimo non farà mai è la difesa più efficace, perché toglie credibilità a qualsiasi variante della truffa. La banca non ti contatterà mai telefonicamente o via SMS per chiederti di fornire le tue credenziali o di effettuare operazioni di pagamento in tempo reale per storni, aggiornamenti, prove o simulazioni. Allo stesso modo, non ti chiederà mai di:

• aprire un conto presso banche terze;
• inviarle i tuoi documenti e dati personali per aprirne uno a tuo nome;
• seguire istruzioni per risolvere una situazione presentata come “critica”;
• effettuare un bonifico per “mettere al sicuro” i tuoi soldi.

In caso di movimenti sospetti, la banca può eventualmente bloccare il servizio online a scopo cautelativo: in quel caso la verifica riguarderà solo la bontà delle operazioni che hanno causato il blocco, richiesta tramite i canali ufficiali, mai chiedendoti di eseguire tu stesso operazioni di pagamento per sbloccarlo.

1. Interrompi subito la comunicazione, sia essa una telefonata o uno scambio di SMS.
2. Non cliccare sul link ricevuto e non installare alcuna app di condivisione schermo o accesso remoto.
3. Non comunicare credenziali, codici OTP o dati personali a chi ti contatta, anche se sembra conoscere già informazioni sul tuo conto.
4. Contatta la banca solo tramite i canali ufficiali, mai un numero fornito da chi ti ha chiamato: per Banco BPM, il numero verde del Servizio Clienti è 800.607.227.
5. Segnala eventuali SMS con link sospetti al numero 800.024.024: Banco BPM non invia mai SMS con link per l’accesso al servizio online, né inserisce link a pagine o applicazioni esterne nelle proprie comunicazioni.
6. Se un’operazione è già stata eseguita o hai già condiviso lo schermo, avvisa immediatamente la banca: nelle frodi con accesso remoto o autorizzazione forzata il tempo di reazione incide sulla possibilità di intervenire.

• Non cliccare su link potenzialmente sospetti, anche se il messaggio sembra provenire dalla tua banca;
• verifica sempre l’affidabilità delle comunicazioni ricevute via SMS o email, ricordando che è relativamente semplice per un truffatore simulare un numero di telefono o un mittente;
• non condividere mai i tuoi dati, le tue credenziali o i codici OTP, né installare app di accesso remoto su richiesta telefonica;
• contatta la banca solo tramite i canali ufficiali riportati sul sito, sull’app o sul retro della carta, mai un numero suggerito da chi ti chiama;
• condividi queste informazioni con familiari e persone meno esperte con la tecnologia, spesso i bersagli più esposti a questo tipo di frode.

L’articolo è di carattere divulgativo aggiornato alla data di pubblicazione. Per conoscere l’offerta della Banca consulta l’area Prodotti.

Messaggio pubblicitario a finalità promozionale. Per le condizioni contrattuali si rinvia ai fogli informativi e/o alla documentazione contrattuale disponibili sul sito www.bancobpm.it e presso le filiali della Banca.