In breve
- Prima di tutto capisci cosa hai fatto: cliccato, scritto una password, dato la carta o un codice, installato qualcosa, fatto collegare qualcuno.
- Se ci sono di mezzo carte o conto: chiama la banca al numero sul retro della carta o nell’app, non a quello del messaggio.
- Per le operazioni non autorizzate la banca deve rimborsare entro la fine della giornata operativa successiva, salvo sospetto motivato di frode.
- Hai al massimo 13 mesi dall’addebito per contestare, ma va fatto senza indugio.
- Se la banca dice di no: reclamo scritto e poi Arbitro Bancario Finanziario, online, con 20 euro.
Cosa fare subito, nell’ordine
- Fermati e non rispondere più al messaggio
Chiudi la pagina, non rispondere, non richiamare il numero indicato. Se sei al telefono con un presunto operatore, riattacca.
- Ricostruisci cosa hai inserito
Scrivi cosa hai fatto: solo clic, password (di quale servizio), dati della carta, codici SMS o notifiche approvate, programmi installati.
- Metti al sicuro i soldi
Se hai dato dati della carta, del conto o codici, chiama subito il numero di blocco della banca. Fai bloccare la carta e, se serve, l’accesso all’home banking. Chiedi se ci sono bonifici in uscita ancora fermabili.
- Metti al sicuro gli account
Cambia le password che hai scritto sulla pagina falsa, e quelle uguali usate altrove, da un dispositivo diverso da quello del clic se hai installato qualcosa.
- Metti al sicuro il dispositivo
Se hai scaricato un file, installato un’app o dato accesso remoto, scollega il dispositivo da internet e fallo controllare prima di usarlo di nuovo per banca o posta.
- Conserva le prove e contesta per iscritto
Screenshot del messaggio con mittente e data, indirizzo della pagina falsa, movimenti contestati. Poi denuncia e richiesta scritta di rimborso alla banca.
Cosa hai fatto dopo il clic: i cinque casi
| Cosa hai fatto | Rischio | Cosa fare subito |
|---|---|---|
| Ho solo aperto la pagina | Basso, se il sistema e il browser sono aggiornati. | Chiudi la pagina, non scaricare nulla, fai una scansione antivirus. Diffida dei messaggi successivi: sanno che il tuo numero è attivo. |
| Ho inserito una password | Medio: l’account può essere violato in pochi minuti. | Cambia subito quella password e quelle uguali, esci da tutte le sessioni, attiva la verifica in due passaggi. |
| Ho inserito i dati della carta o un codice OTP | Alto: pagamenti, nuove carte digitali, bonifici. | Chiama la banca e fai bloccare carta e accessi. Controlla i movimenti e contesta quelli non tuoi. |
| Ho installato un’app o aperto un file | Alto: il programma può leggere SMS, notifiche e password. | Stacca il dispositivo da internet, chiama la banca da un altro telefono, fai controllare o ripristinare il dispositivo. |
| Ho fatto collegare qualcuno da remoto (AnyDesk, TeamViewer o simili) | Molto alto: ha visto e può aver fatto tutto quello che potevi fare tu. | Spegni il collegamento e la rete, chiama la banca, cambia tutte le password da un altro dispositivo, fai controllare il computer. |
Ho inserito una password
Conta quale password. Quella della posta è la più pericolosa: da lì si reimpostano quasi tutte le altre. Dopo il cambio, controlla che non siano stati aggiunti inoltri automatici o regole nella casella. Se ti accorgi che sei già stato chiuso fuori, segui account violato: cosa fare subito.
Ho dato un codice OTP o ho approvato una notifica
Il codice ricevuto per SMS o la notifica da approvare nell’app servono ad autorizzare un’operazione precisa: un pagamento, un bonifico, l’attivazione della carta su un altro telefono. Chi te lo chiede lo sta usando in quel momento. Chiama la banca subito, anche se non vedi ancora movimenti: chiedi esplicitamente di controllare se la carta è stata aggiunta a un portafoglio digitale (Apple Pay, Google Pay) su un dispositivo che non è tuo.
Ho installato un’app o ho dato accesso remoto
È la truffa del «finto operatore»: qualcuno, spesso al telefono, ti convince a installare un programma «di sicurezza» o di assistenza remota. Con quel programma può vedere lo schermo, leggere gli SMS con i codici e fare operazioni come se fossi tu. Disinstallare l’app non basta: il dispositivo va controllato e spesso ripristinato. Fino ad allora non usarlo per banca o posta.
Chiamare la banca: come farlo senza cadere in una seconda truffa
- Usa solo il numero stampato sul retro della carta, quello nell’app ufficiale o sul sito della banca scritto a mano. Mai il numero o il link del messaggio.
- Diffida di chi ti richiama dicendo di essere l’antifrode: i truffatori fanno comparire il numero vero della banca. Riattacca e chiama tu.
- Chiedi il blocco della carta e, se hai dato le credenziali del conto, la sospensione dell’home banking. Annota ora del blocco e numero di pratica.
- Chiedi se ci sono bonifici in uscita ancora fermabili. Per gli istantanei è molto difficile, ma tentare costa poco.
- Dal momento in cui hai comunicato il blocco, le operazioni successive con quella carta non sono a tuo carico, salvo che tu abbia agito in modo fraudolento.
Disconoscimento e rimborso: cosa dice la legge
I pagamenti fatti da altri con la tua carta o il tuo conto sono operazioni non autorizzate. Le regole sono nel decreto legislativo 11 del 2010, che recepisce la direttiva europea sui servizi di pagamento.
| Regola | Cosa significa per te |
|---|---|
| Contesta senza indugio, al massimo entro 13 mesi | Comunica alla banca le operazioni non tue appena le vedi. Il limite massimo è di 13 mesi dalla data di addebito, ma aspettare ti danneggia. |
| Rimborso entro la giornata operativa successiva | La banca deve rimborsare subito, e al più tardi entro la fine della giornata operativa successiva a quella in cui ha saputo dell’operazione. Può sospendere il rimborso solo se ha un motivato sospetto di frode da parte tua, e deve comunicarlo per iscritto alla Banca d’Italia. |
| La prova tocca alla banca | È la banca a dover dimostrare che l’operazione era autenticata e regolare. Il fatto che siano stati usati i tuoi codici non basta, da solo, a dimostrare che sei stato tu o che sei stato gravemente negligente. |
| Franchigia massima di 50 euro | In caso di furto o uso indebito della carta prima del blocco, può restare a tuo carico al massimo una quota di 50 euro. |
| Colpa grave | Se la banca dimostra che hai agito con dolo o colpa grave, per esempio comunicando codici in modo del tutto imprudente, le perdite prima del blocco restano a tuo carico. |
| Autenticazione forte | Se la banca non ha chiesto l’autenticazione forte (per esempio codice più impronta o notifica), non sopporti alcuna perdita, salvo frode. |
La colpa grave è il punto su cui si discute di più. Secondo l’orientamento prevalente dell’Arbitro Bancario Finanziario si guarda a come era fatta la truffa: un SMS che compare nella stessa conversazione dei messaggi veri della banca, o una telefonata da un numero identico a quello della banca, sono inganni sofisticati e spesso non portano alla colpa grave; dare il codice a chi lo chiede con un messaggio palesemente falso, invece, sì. Ogni caso è diverso: racconta i fatti con precisione, con le schermate.
Come contestare: usa il modulo di disconoscimento della banca o una lettera via PEC o raccomandata, con l’elenco delle operazioni (data, importo, beneficiario), la ricostruzione di cosa è successo e la copia della denuncia. Conserva la ricevuta.
Se la banca non rimborsa: reclamo e Arbitro Bancario Finanziario
- Reclamo scritto all’ufficio reclami della banca, se il disconoscimento è stato respinto o la banca non risponde. Per i servizi di pagamento la banca deve rispondere entro 15 giornate operative; per le altre questioni di regola entro 60 giorni.
- Ricorso all’Arbitro Bancario Finanziario (ABF) se la risposta non ti soddisfa o non arriva. Si fa online, anche da solo, senza avvocato, entro 12 mesi dal reclamo. Costa 20 euro, che la banca ti restituisce se ti dà ragione almeno in parte. Vale per richieste fino a 200.000 euro.
- La decisione dell’ABF non è una sentenza, ma le banche di norma vi si adeguano. Resta possibile andare dal giudice.
Altri strumenti per far valere i tuoi diritti con banche e venditori sono nella guida sui diritti del consumatore.
I messaggi truffa più diffusi adesso
Il phishing via SMS si chiama smishing. Lo schema è sempre lo stesso: urgenza, un link, una richiesta di dati o di un piccolo pagamento.
- Banca: «accesso anomalo», «carta sospesa», «conferma il bonifico». Spesso seguito dalla telefonata del finto operatore. La banca non ti chiede mai codici o password, né di spostare soldi su un «conto sicuro».
- Corriere: «pacco in giacenza, paga 1,99 euro per la riconsegna». Il piccolo importo serve solo a prendere i dati della carta.
- Multe: SMS che citano la targa e rimandano a pagine che imitano SEND e pagoPA, con lo «sconto» se paghi entro pochi giorni. Le notifiche vere della pubblica amministrazione non si pagano da un link in un SMS: le leggi accedendo tu all’app IO o al servizio SEND con SPID o CIE.
- Agenzia delle Entrate: falsi rimborsi o finti appuntamenti con un tecnico. Le comunicazioni vere le trovi nella tua area riservata: vedi avvisi dell’Agenzia delle Entrate.
- PEC: anche la posta certificata può portare truffe, con link per pagare o file compressi: vedi PEC con richiesta di pagamento.
Denuncia: perché farla anche per piccole somme
La denuncia serve per il rimborso e ti protegge se i tuoi dati vengono usati per altre truffe. Puoi presentarla a qualsiasi ufficio della Polizia di Stato, ai Carabinieri o alla Polizia Postale. Da giugno 2026 alcuni uffici sperimentano le Denunce Online della Polizia di Stato, anche per truffa, frode informatica e uso indebito di carte: si compila da casa con SPID o CIE e si conferma di persona entro 48 ore. La segnalazione sul sito del Commissariato di PS online è utile per far chiudere un sito, ma non è una denuncia.
Porta lo screenshot del messaggio, l’indirizzo della pagina falsa, i numeri che ti hanno chiamato, i movimenti e il numero di pratica del blocco.
Un esempio concreto
Marco riceve un SMS: «Multa non pagata per il veicolo targato… paga entro 5 giorni con lo sconto». Clicca, inserisce nome, indirizzo e i dati della carta per pagare 44 euro. Il giorno dopo vede due addebiti da 480 e 520 euro in un negozio online estero.
- Chiama il numero sul retro della carta e la fa bloccare: annota ora e numero di pratica.
- Fa denuncia con lo screenshot dell’SMS, l’indirizzo del sito e l’estratto conto.
- Lo stesso giorno manda alla banca il modulo di disconoscimento dei due addebiti, con la denuncia allegata.
- La banca deve rimborsare entro la giornata operativa successiva, salvo motivato sospetto di frode. Se rifiutasse parlando di colpa grave, Marco può fare reclamo e poi ricorso all’ABF, spiegando che la pagina imitava un servizio pubblico reale.
Cosa fa il tecnico su Intervento
Descrivi il messaggio e cosa hai inserito o installato, con lo screenshot. L’orientamento gratuito ti dice quanto è grave e da dove partire. Con l’Analisi ottieni una lettura automatica del messaggio e dei segnali di truffa. Con l’Esperto un tecnico informatico verificato ti risponde per iscritto: cosa mettere in sicurezza e come, se il dispositivo va ripristinato, cosa scrivere nella contestazione. Con il livello Soluzione, su preventivo, controlla e ripulisce il dispositivo da remoto, con il tuo consenso.
Il blocco della carta lo può fare solo la banca: chiamala prima di scriverci.
Norme e fonti
Regole controllate il 9 novembre 2026 sui testi ufficiali.
- Decreto legislativo 27 gennaio 2010, n. 11, articoli 9, 10, 11 e 12 (operazioni non autorizzate, onere della prova, rimborso, responsabilità del pagatore)
- Banca d’Italia, comunicazione del 30 ottobre 2023 sull’obbligo di segnalazione dell’art. 11 del D.Lgs. 11/2010 (rimborso entro la giornata operativa successiva e sospensione per sospetto di frode)
- Arbitro Bancario Finanziario, guida pratica: reclamo, termini, costo e limiti del ricorso
- Polizia di Stato, portale Denunce Online (sperimentazione dal 15 giugno 2026)
Questo articolo fa parte della guida
Virus, link truffa o account rubato: cosa fare subito, nell’ordine giustoHai cliccato un link di phishing, hai un virus o ti hanno rubato l’account? Cosa fare subito, nell’ordine giusto, per proteggere soldi e dati.Le regole su rimborso e contestazione sono quelle in vigore al 9 novembre 2026. Se la banca dice di no, l’esito dipende dai fatti del singolo caso: questo articolo non sostituisce il parere di un avvocato sulla contestazione. Il blocco della carta lo fa solo la banca: chiamala prima di tutto, anche di notte.
