Phishing bancario: come riconoscerlo e cosa fare per proteggere il conto

Responsabilità editoriale: Redazione Consumatori24.

Ultimo aggiornamento sostanziale: 13 settembre 2026.

Il phishing bancario utilizza email, SMS, messaggi o pagine web che imitano la banca per convincere l’utente a fornire credenziali, codici di sicurezza o altre informazioni utili ad accedere al conto. L’obiettivo di questa guida è riconoscere i segnali della frode e capire quali verifiche fare nelle prime fasi, prima di entrare nella diversa questione del rimborso.

Le tecniche cambiano, ma ricorrono spesso gli stessi elementi: urgenza, allarme, richiesta di confermare un accesso o un pagamento, link verso pagine che riproducono grafica e loghi dell’intermediario.

Come riconoscere un tentativo di phishing bancario

Una comunicazione merita particolare cautela quando contiene uno o più di questi segnali:

• invito ad agire immediatamente per evitare il blocco del conto;
• richiesta di password, PIN, OTP o codici dispositivi;
• link che portano a domini diversi da quelli ufficiali dell’intermediario;
• richiesta di installare applicazioni o software;
• messaggi che comunicano un accesso anomalo e chiedono di “verificarlo” attraverso un collegamento;
• pressione a spostare denaro verso un presunto conto sicuro.

Anche una comunicazione graficamente molto credibile può essere fraudolenta. Quando nasce un dubbio è preferibile non utilizzare il link ricevuto e verificare la situazione accedendo autonomamente ai canali ufficiali della banca.

Se hai cliccato sul link: 5 controlli immediati

1. Non usare più il collegamento ricevuto e accedi alla banca soltanto dai canali ufficiali.
2. Verifica accessi, dispositivi e operazioni che non riconosci.
3. Metti in sicurezza le credenziali seguendo le indicazioni ufficiali dell’intermediario.
4. Conserva il messaggio, l’indirizzo del sito e gli screenshot, senza cancellare le prove utili.
5. Se sono già comparsi movimenti, passa subito alla contestazione delle singole operazioni e alla ricostruzione dell’autenticazione.

Se hai cliccato sul link ma non risultano ancora operazioni

Se sono state inserite credenziali o altri dati in una pagina sospetta, è importante verificare rapidamente la sicurezza dell’account attraverso i canali ufficiali dell’intermediario. Può essere necessario modificare le credenziali, controllare i dispositivi associati e verificare se risultino operazioni o richieste non riconosciute.

È utile conservare la comunicazione ricevuta, l’indirizzo della pagina e le schermate disponibili: possono aiutare a ricostruire ciò che è accaduto se successivamente emergono movimenti anomali.

Se compaiono pagamenti o bonifici che non riconosci

Quando la frode ha già prodotto operazioni sul conto, il problema cambia: non si tratta più soltanto di riconoscere il phishing, ma di comprendere quali pagamenti siano stati eseguiti, come risultino autenticati e se il titolare ne contesti l’autorizzazione.

La Banca d’Italia fornisce informazioni sulle operazioni di pagamento non autorizzate. Per un inquadramento più ampio puoi consultare anche la guida sulle truffe bancarie e sulle verifiche relative al rimborso.

Phishing e falso operatore telefonico non sono sempre la stessa cosa

Il phishing può essere il primo passaggio di una frode più articolata. Dopo l’acquisizione di alcuni dati, la vittima può ricevere una telefonata da un falso operatore che conosce informazioni credibili e la induce a comunicare codici o a effettuare operazioni.

Quando il contatto principale avviene al telefono e la banca ha già negato il rimborso, è più utile l’approfondimento sulla truffa bancaria telefonica e sul diniego dell’intermediario.

Se la banca ha già negato il rimborso

Questa guida è dedicata soprattutto al riconoscimento e alle prime verifiche. Se esiste già una risposta negativa della banca, l’intento è diverso: occorre leggere le motivazioni del diniego, confrontarle con l’autenticazione e con la sequenza della frode.

Per quella fase è disponibile la pagina specifica su phishing bancario con rimborso negato e risposta della banca da verificare.

Phishing che usa il nome di Poste Italiane o Postepay

Le comunicazioni che imitano Poste e Postepay generano una casistica e ricerche specifiche. Per evitare di sovrapporre contenuti differenti, abbiamo dedicato una guida separata a phishing Poste Italiane e Postepay, rimborso e verifiche dopo la truffa.

Quali elementi conservare

Quando una comunicazione appare fraudolenta è utile conservare email o SMS, indirizzo del sito, screenshot, orari, numeri telefonici eventualmente coinvolti e notifiche ricevute. Se risultano movimenti sul conto, vanno conservate anche le informazioni relative alle operazioni e alle comunicazioni con l’intermediario.

Questi elementi non determinano da soli la responsabilità, ma permettono di ricostruire in modo più preciso la sequenza della frode.

Phishing bancario: domande frequenti

Un’email con il logo della banca è necessariamente autentica?

No. Grafica e loghi possono essere copiati. È più importante verificare il canale utilizzato, l’indirizzo del mittente e soprattutto evitare di inserire credenziali attraverso link ricevuti in modo inatteso.

Se ho cliccato un link devo presumere che il conto sia già compromesso?

Non necessariamente. Occorre verificare cosa è stato inserito nella pagina, se siano state comunicate credenziali o codici e se risultino accessi o operazioni anomale.

Se trovo un bonifico che non riconosco è ancora un problema di prevenzione?

No. Quando esiste già un’operazione contestata occorre passare alla ricostruzione della transazione, dell’autenticazione e delle comunicazioni con la banca.

Vuoi descrivere una possibile frode di phishing?

Consumatori24 legge e valuta le segnalazioni relative a phishing bancario, accessi sospetti e operazioni contestate. Puoi indicare sinteticamente cosa è accaduto e quali elementi hai già verificato. L’invio è senza impegno e normalmente rispondiamo entro qualche ora lavorativa.