Un pagamento di importo elevato, un’operazione apparentemente in corso e l’invito a chiamare immediatamente un numero di telefono per bloccarla. È questo lo schema dei falsi SMS che utilizzano il nome di Nexi e che, secondo le segnalazioni raccolte dal Codacons, stanno raggiungendo i telefoni di diversi cittadini.
Uno dei messaggi segnalati all’associazione riporta, ad esempio, l’avviso di una presunta richiesta di autorizzazione per un pagamento da 4.800 euro, accompagnato dalla richiesta di contattare un numero di cellulare nel caso in cui l’operazione non fosse stata effettuata dal destinatario.
Il Codacons sottolinea però che non esiste un unico testo utilizzato dai truffatori, così come non esiste un unico importo o un solo numero telefonico associato alla frode. Le cifre indicate nei messaggi possono cambiare, così come le formulazioni e i recapiti da richiamare. In alcuni casi vengono indicati numeri di cellulare, in altri numerazioni fisse.
Anche il numero dal quale viene inviato l’SMS può essere diverso da quello riportato nel testo. Per questo, avverte l’associazione, non bisogna considerare sospetto soltanto uno specifico numero di telefono: il meccanismo può essere replicato utilizzando recapiti e messaggi sempre differenti.
Il meccanismo punta soprattutto sulla preoccupazione generata dalla prospettiva di un addebito non autorizzato e sulla necessità di intervenire rapidamente.
«Il sistema fa leva sulla paura di un addebito mai autorizzato e sull’urgenza di bloccarlo», spiega Francesco Tanasi, giurista e segretario nazionale Codacons. «Di fronte alla prospettiva di perdere centinaia o migliaia di euro, il destinatario può essere spinto a chiamare immediatamente il numero indicato, entrando così in contatto con chi sta tentando la frode».
La trappola, sottolinea il Codacons, può scattare anche senza la presenza di un link da cliccare. Il primo contatto avviene attraverso il messaggio di testo e la frode può proseguire successivamente per telefono.
A quel punto il falso operatore potrebbe cercare di ottenere dalla vittima credenziali di accesso, dati della carta, password, PIN o codici OTP, oppure convincerla a effettuare direttamente alcune operazioni sul proprio conto.
Il consiglio del Codacons è di non richiamare il numero indicato nell’SMS, indipendentemente dal fatto che si tratti di un cellulare o di una linea fissa. Allo stesso modo, non devono essere comunicati per telefono o attraverso messaggi dati personali, credenziali bancarie o codici di sicurezza.
In caso di una presunta operazione non riconosciuta, la verifica deve essere effettuata autonomamente attraverso l’app ufficiale, l’home banking oppure contattando la banca o il gestore della carta tramite i recapiti presenti sui canali ufficiali.
«Cambiano gli importi, cambiano i numeri e può cambiare anche il testo del messaggio, ma il meccanismo resta lo stesso», conclude Tanasi. «Non bisogna agire sotto la pressione dell’urgenza. Se viene segnalata un’operazione che non riconosciamo, occorre verificarla esclusivamente attraverso i canali ufficiali e non comunicare mai OTP, PIN, password o altri codici di sicurezza».
