Frode bancaria con SMS e telefonata: come ricostruire un attacco combinato

Responsabilità editoriale: Redazione Consumatori24.

Ultimo aggiornamento sostanziale: 22 settembre 2026.

Risposta in breve: se una frode bancaria combina un SMS apparentemente autentico e la telefonata di un falso operatore, ricostruisci la sequenza con orari, messaggi, numeri chiamanti, notifiche, operazioni e segnalazioni alla banca. La valutazione di un pagamento contestato richiede di distinguere la ricostruzione tecnica dell’operazione dal consenso effettivamente prestato e di verificare la documentazione disponibile. Approfondimento della Banca d’Italia sui pagamenti non autorizzati.

Per il quadro generale e la gerarchia delle diverse casistiche consulta la guida sulla truffa bancaria.

Questa pagina riguarda un caso specifico: la frode bancaria che si sviluppa in più passaggi, per esempio con un SMS o messaggio apparentemente riconducibile alla banca seguito da una telefonata di un falso operatore e, infine, da un bonifico, un pagamento, una conferma in app o altra operazione contestata.

Non è una seconda guida generale sullo spoofing o sul vishing. Se il problema centrale è il numero della banca falsificato o imitato, consulta la guida sullo spoofing bancario. Se invece hai già ricevuto un diniego dopo una truffa telefonica, il riferimento più diretto è la pagina sulla truffa bancaria telefonica con rimborso negato.

Come funziona un attacco combinato SMS + telefonata

La frode può iniziare con un SMS che sembra inserirsi nella conversazione della banca oppure con un falso avviso su accessi, carte, bonifici o movimenti sospetti. Poco dopo può arrivare una telefonata da un soggetto che si presenta come addetto alla sicurezza o all’antifrode.

La combinazione dei due canali rende il contatto più credibile: il messaggio prepara il terreno, mentre la telefonata crea urgenza e guida la vittima verso l’azione richiesta. Le pagine di sicurezza di diversi intermediari descrivono espressamente schemi in cui smishing e vishing vengono usati insieme, con richieste di cliccare link, leggere codici, approvare notifiche, installare software o trasferire denaro.

La Banca d’Italia, nelle pubblicazioni del 2026 dedicate alle frodi finanziarie online, richiama anche il rischio di chiamate con numero falsificato, richieste di installare software e manipolazione della vittima attraverso urgenza e falsa autorevolezza.

Le 4 sequenze più frequenti da ricostruire

Sequenza	Cosa verificare	Pagina di approfondimento
SMS falso → telefonata → codice OTP o conferma in app	Testo del messaggio, numero chiamante, notifiche, contenuto della push, operazione associata al codice	Frode OTP bancaria
SMS di allarme → telefonata → bonifico “di sicurezza”	Beneficiario, IBAN, orario, istruzioni ricevute, eventuale richiamo del bonifico, verifica nome/IBAN quando applicabile	Recupero dopo bonifico truffa
Telefonata → accesso remoto o condivisione schermo → operazioni	App installata, sessione remota, orari, accessi, notifiche, operazioni eseguite durante la sessione	Accesso remoto e condivisione schermo
SMS + telefonata + numero apparentemente ufficiale	Screenshot, registro chiamate, mittente visualizzato, eventuale spoofing del numero, cosa è stato chiesto e cosa è stato autorizzato	Spoofing bancario

La prima cosa da fare: costruire una cronologia unica

Quando la frode usa più canali, leggere separatamente SMS, chiamata e operazione può far perdere il collegamento tra i fatti. È preferibile costruire una cronologia unica con orari e passaggi consecutivi.

1. segna l’ora del primo SMS, email o messaggio ricevuto;
2. annota l’ora della telefonata e il numero visualizzato;
3. indica eventuali link aperti, app installate, codici inseriti o notifiche approvate;
4. collega ogni operazione contestata all’orario in cui è stata disposta o contabilizzata;
5. registra quando hai contattato la banca e quando hai chiesto il blocco degli strumenti;
6. aggiungi data e contenuto del reclamo e della risposta ricevuta.

Questa ricostruzione non serve a dare per scontato l’esito della contestazione. Serve a capire chi ha fatto cosa, con quale strumento e in quale momento, evitando di ridurre l’intera vicenda alla sola frase “ho ricevuto una telefonata dalla banca”.

Operazione non autorizzata o pagamento eseguito sotto inganno?

Una distinzione importante riguarda il modo in cui l’operazione è stata eseguita. In alcuni casi la vittima contesta di non avere mai disposto il pagamento; in altri ha materialmente confermato un bonifico o una disposizione perché convinta dal falso operatore che servisse a mettere in sicurezza il denaro.

Le due situazioni non sono identiche. Per un addebito o pagamento non riconosciuto consulta la guida sull’operazione non autorizzata. Se invece il caso riguarda un bonifico disposto dopo la manipolazione del falso operatore, il riferimento è la pagina su come recuperare soldi truffati con bonifico.

Quali prove conservare in una frode multicanale

• screen completi degli SMS, compreso il mittente visualizzato e la posizione del messaggio nella cronologia;
• registro chiamate con numeri e orari;
• eventuali registrazioni o messaggi vocali già legittimamente disponibili;
• notifiche dell’app bancaria, push e richieste di conferma;
• codici OTP ricevuti e relativo testo, senza cancellarli;
• estratto conto e dettaglio delle singole operazioni;
• dati del beneficiario dei bonifici e ricevute delle disposizioni;
• prova del blocco di carta, conto o home banking;
• reclamo, allegati trasmessi e risposta dell’intermediario;
• eventuale denuncia, tenendola distinta dalla contestazione bancaria.

Se dopo la telefonata è stato installato un software o è stato condiviso lo schermo, conserva anche il nome dell’applicazione, la cronologia di installazione e ogni traccia utile della sessione. Questi elementi possono aiutare a distinguere l’azione compiuta direttamente dal cliente da quella effettuata attraverso il controllo del dispositivo.

Se il numero visualizzato sembrava quello della banca

Il numero apparentemente ufficiale può essere un elemento importante della dinamica, ma non va trattato come prova unica. Il punto è capire come quel dato si inserisce nella sequenza complessiva: SMS precedente, contenuto della telefonata, richieste del falso operatore, operazioni eseguite e sistemi di autenticazione utilizzati.

Quando il tema centrale è proprio l’identità del chiamante e il falso numero, la pagina proprietaria resta quella sullo spoofing bancario e rimborso.

Se la banca ha già respinto il reclamo

Una risposta negativa va letta insieme alla cronologia e alla documentazione tecnica. È utile verificare se il diniego ricostruisce davvero la sequenza multicanale oppure si limita a richiamare l’uso delle credenziali, dell’OTP o dell’autenticazione.

Per il diniego generale consulta la pagina banca rifiuta il rimborso dopo una truffa. Se la frode è specificamente telefonica, resta più pertinente la verticale sulla truffa bancaria telefonica.

Denuncia e ricorso ABF: due piani distinti

La denuncia alle autorità e il reclamo alla banca hanno funzioni diverse. La denuncia può documentare l’accaduto, ma non sostituisce automaticamente la contestazione all’intermediario. Se serve chiarire il collegamento tra i due passaggi puoi leggere la guida sulla denuncia per frode bancaria.

Quando il reclamo non risolve la controversia, in base ai fatti e alla documentazione può essere valutata la procedura dell’Arbitro Bancario Finanziario. Non ogni frode porta allo stesso esito e non esiste una regola automatica di rimborso.

Fonti utili per inquadrare il fenomeno

• Banca d’Italia – Frodi e truffe finanziarie online nell’era dell’intelligenza artificiale;
• Banca d’Italia – aggiornamenti sull’attività ABF e sugli esposti, 24 giugno 2026;
• Banco BPM – attacco combinato SMS e telefonata.

Domande frequenti

SMS e telefonata insieme significano sempre spoofing?

No. Possono esserci smishing, vishing e spoofing nella stessa vicenda, ma sono concetti distinti. Questa pagina è dedicata alla sequenza combinata, non alla sola falsificazione del numero.

Se ho eseguito io il bonifico non posso contestare nulla?

Non è possibile concluderlo in automatico. Occorre distinguere pagamento materialmente disposto dalla vittima, operazione non autorizzata, modalità dell’inganno, autenticazione e documentazione disponibile.

Se ho comunicato un OTP la banca ha sempre ragione?

No. L’uso di un codice è un elemento rilevante, ma va collegato all’operazione che quel codice ha autorizzato, alla sequenza della frode e alle verifiche tecniche disponibili.

Conviene cancellare i messaggi per evitare altri rischi?

È preferibile mettere in sicurezza gli strumenti e conservare le prove della frode. Screenshot, SMS e registro chiamate possono essere utili nella ricostruzione.

Descrivi la sequenza della frode

Indica, nell’ordine, SMS o messaggi ricevuti, telefonata, eventuali codici o notifiche, operazioni contestate, blocco degli strumenti e risposta della banca. In questo tipo di vicenda la cronologia completa è spesso più utile di una descrizione generica.