È una guerra silenziosa. Si combatte ogni giorno tra chi prova a rubare la breve sequenza di numeri e lettere che se digitati nell’ordine giusto aprono il nostro conto bancario e chi deve difendersi riconoscendo al volo che quella richiesta arrivata via mail o al telefono è farlocca.
Tra i casi più clamorosi registrati nel 2026 c’è il caso “Daniela” e lo spoofing: a Milano una donna è stata truffata per decine di migliaia di euro dopo aver ricevuto una chiamata che sul display mostrava il numero del centralino ufficiale della sua banca. Il falso operatore, supportato da un finto poliziotto, l’aveva convinta di un attacco hacker in corso sul suo conto. Ma il colpo più grosso è stato la truffa da 380.000 euro che ha visto un imprenditore perdere la somma in seguito ad una singola chiamata in cui i truffatori, fingendosi operatori di banca, sono riusciti a manipolarlo e a farsi accreditare la somma.
I casi celebri
Bazzecole rispetto a quanto messo a segno nel 2025. Quella volta un’organizzazione criminale ha contattato diversi imprenditori e vip italiani spacciandosi per lo staff del Ministro della Difesa, Guido Crosetto. In alcuni casi è stata utilizzata una voce clonata digitalmente tramite software di Intelligenza Artificiale per rendere la chiamata estremamente credibile. Chiedevano somme di denaro urgenti e riservate, accampando scuse di emergenza umanitaria e istituzionale, come il pagamento per liberare ostaggi o giornalisti rapiti.
Sono stati presi di mira personaggi di primissimo piano come Massimo Moratti, Giorgio Armani, Diego Della Valle, e Marco Tronchetti Provera. Qualcuno ha sventato la truffa avvertendo lo stesso Ministro, altri hanno eseguito un bonifico di circa un milione di euro, che la Procura di Milano e la magistratura sono riuscite a bloccare prima che i fondi venissero dispersi in paradisi fiscali.
Di che libro parlavamo?
Un caso molto simile a quello scoperto nel 2024 quando un alto dirigente Ferrari riceve una serie di chiamate da un numero sconosciuto. L’interlocutore parlava con la voce identica a quella dell’Amministratore Delegato Benedetto Vigna, discutendo di una fantomatica acquisizione in corso cercando di ottenere un’autorizzazione su un documento che avrebbe sbloccato grosse somme di denaro. Il dirigente si è insospettito e fingendo un vuoto di memoria ha chiesto alla voce del suo Amministratore Delegato quale fosse il libro di cui avevano discusso la sera prima a cena. Naturalmente, la sera prima non erano stati a cena e di nessun libro avevano parlato. Fine della chiamata.
In questa partita, giocata sullo smartphone di milioni di correntisti, la Banca Popolare del Frusinate ha scelto di scendere in campo con un arsenale tecnologico aggiornato, affiancandolo a una campagna di informazione rivolta direttamente ai clienti, disponibile in una sezione dedicata del sito bpf.it.
Un sistema a più livelli
Il primo presidio è la Strong Authentication, l’autenticazione forte già in uso per autorizzare le operazioni sensibili attraverso codici temporanei “usa e getta“, pensati per essere validi una sola volta e quindi inservibili se intercettati. A questa si aggiunge la Step-up Authentication: quando un’operazione viene giudicata sospetta, il sistema alza automaticamente l’asticella e richiede al cliente di rispondere a domande di sicurezza personalizzate prima di lasciar procedere la transazione. Una sorta di controllo supplementare che scatta solo quando serve, senza appesantire l’operatività quotidiana.
Sul fronte della comodità, la novità più significativa è il Token Mobile, che si affianca agli strumenti di autenticazione forte già disponibili: secure call e token fisico. Il vantaggio è tutto nell’usabilità: le disposizioni si autorizzano con l’impronta digitale o il riconoscimento facciale, senza dover più passare da altri dispositivi o procedure aggiuntive.
Il sistema antifrode che non dorme mai
Dietro le quinte lavora poi un sistema antifrode che analizza ogni operazione in tempo reale. La confronta con regole e parametri di sicurezza costruiti sulle abitudini di ciascun cliente. Se un movimento si discosta dai comportamenti abituali (un importo insolito, un orario anomalo, una modalità mai utilizzata prima) il sistema genera una segnalazione che consente alla Banca di approfondire. E se necessario, bloccare l’operazione prima che venga eseguita.
È un controllo che si aggiunge, senza sostituirla, all’attenzione del cliente. E che si integra con l’app BPF Mobile, progettata anche per inviare notifiche immediate sull’operatività del conto corrente.
Nessun sistema, per quanto sofisticato, può però sostituire del tutto la prudenza di chi lo utilizza. Da qui l’invito della Banca a osservare alcune precauzioni elementari ma spesso trascurate.
- Accedere all’internet banking digitando sempre l’indirizzo ufficiale del sito, mai cliccando su link ricevuti via mail o sms.
- Cambiare la password ogni due o tre mesi, senza salvarla su dispositivi non sicuri.
- Mantenere aggiornati software, antivirus e antimalware, scaricando solo dai siti ufficiali dei produttori.
- Diffidare di qualunque messaggio che inviti ad aprire allegati o scaricare programmi di provenienza dubbia.
Riconoscere la trappola prima che scatti
Sul fronte del phishing, la Banca richiama l’attenzione sulle tecniche più diffuse: email e sms costruiti per sembrare ufficiali, che rimandano a pagine identiche a quelle originali con l’obiettivo di carpire credenziali e dati personali.
Un principio, in particolare, dovrebbe funzionare come primo campanello d’allarme per qualsiasi correntista: la Banca Popolare del Frusinate non chiede mai, via email, la conferma di password, codici riservati o dati personali. I messaggi fraudolenti, ricorda l’istituto, si riconoscono spesso per il tono generico, l’assenza del nome del destinatario ed errori grammaticali.
Davanti ad una comunicazione sospetta, la regola resta sempre la stessa. Non rispondere, non cliccare, contattare subito la propria filiale, che potrà verificare e, se serve, coinvolgere la Polizia Postale.
Una difesa a due, non a uno
Il messaggio che la Banca affida a questa campagna è, in fondo, piuttosto semplice: la sicurezza informatica non è un prodotto che si compra e si dimentica. È un lavoro condiviso tra investimenti tecnologici e comportamenti consapevoli.
Da una parte l’istituto continua ad aggiornare infrastrutture e strumenti di autenticazione; dall’altra resta la responsabilità del cliente. Che con pochi accorgimenti quotidiani può trasformarsi nella prima, e spesso più efficace, linea di difesa contro le truffe digitali.