Truffe bancarie 2026 significa ormai molto più del vecchio SMS con il link sospetto: nel corso dell’anno sono cresciute in modo netto tecniche come il vishing e il quishing, capaci di ingannare anche persone attente perché sfruttano l’intelligenza artificiale generativa per costruire messaggi e telefonate quasi indistinguibili da quelli reali della propria banca. Capire come funzionano è oggi il modo più efficace per proteggere davvero i propri soldi, molto più di un antivirus.
Oltre 2,9 milioni di italiani hanno subito una frode digitale nel 2026, con danni economici complessivi superiori agli 880 milioni di euro (dati CERT-AGID). Le tecniche più in crescita sono il vishing (truffa telefonica con finti operatori bancari), il quishing (QR code fraudolenti) e lo spoofing vocale, che clona voci reali o falsifica il numero della propria filiale. Ecco come riconoscerle e difendersi.
Indice
- Vishing: la truffa telefonica che si finge la banca
- Quishing: il QR code truccato
- Spoofing vocale e numero di telefono falsificato
- Perché queste truffe funzionano sempre meglio: il ruolo dell’IA generativa
- Come riconoscerle e difendersi: regole pratiche
- Il caso a parte dei falsi investimenti e trading online
- Domande frequenti
Vishing: la truffa telefonica che si finge la banca
Il vishing (contrazione di “voice” e “phishing”) è una truffa telefonica in cui chi chiama si finge un operatore bancario, un funzionario Poste o un addetto di un servizio di pagamento, con richieste sempre caratterizzate da un forte senso di urgenza: un accesso sospetto da bloccare subito, un pagamento anomalo da confermare, una carta che sta per essere clonata. L’obiettivo finale è sempre lo stesso, farsi comunicare un codice OTP, i dati della carta o autorizzare un’operazione tramite l’app.
Prendiamo un caso concreto: Anna riceve una chiamata da un numero che sullo schermo appare identico a quello della sua filiale. La persona al telefono conosce già le sue ultime tre operazioni (informazioni spesso recuperate da precedenti data breach) e le chiede di “confermare la sua identità” leggendo il codice appena arrivato via SMS. Quel codice, in realtà, è l’OTP che autorizza un bonifico verso un conto sconosciuto: nessuna banca chiede mai di comunicare un codice OTP al telefono, per nessun motivo.
Quishing: il QR code truccato
Il quishing è la versione più recente e meno conosciuta di queste truffe: un QR code fraudolento, applicato su un volantino, una mail o addirittura su un finto avviso di pagamento cartaceo, che una volta inquadrato con la fotocamera reindirizza a una pagina identica a quella della propria banca o di un servizio di pagamento come PagoPA. L’utente inserisce le proprie credenziali pensando di autenticarsi normalmente, e in realtà le sta consegnando direttamente ai truffatori.
Un esempio tipico: Marco riceve una comunicazione che sembra un avviso di pagamento PagoPA per una multa, con tanto di QR code da inquadrare per pagare comodamente da smartphone. Il QR però porta a un sito clone che raccoglie i dati della carta di credito invece di processare un pagamento reale. Il quishing è particolarmente insidioso perché la maggior parte delle persone diffida ormai dei link scritti per esteso, ma non ha ancora imparato a diffidare allo stesso modo di un QR code.
Spoofing vocale e numero di telefono falsificato
Lo spoofing porta l’inganno un livello più in là: i truffatori possono falsificare il numero che appare sullo schermo, facendolo coincidere esattamente con quello reale della propria filiale o del servizio clienti della banca, oppure clonare la voce di una persona conosciuta (un familiare, un collega) usando pochi secondi di audio pubblico recuperato da social o video online. Con l’intelligenza artificiale generativa, questa clonazione vocale è diventata accessibile e sempre più credibile, tanto da ingannare anche chi conosce bene la voce imitata.
Caso concreto: Giulia riceve una telefonata dalla voce di suo figlio, che sembra in difficoltà e le chiede con urgenza di fare un bonifico per un problema improvviso. La voce è clonata da pochi video pubblicati sui social del ragazzo. Solo richiamando direttamente il numero abituale del figlio (e non rispondendo a quella chiamata) Giulia scopre che si trattava di una truffa.
Perché queste truffe funzionano sempre meglio: il ruolo dell’IA generativa
Il salto di qualità rispetto a qualche anno fa riguarda soprattutto la scrittura e il linguaggio. L’intelligenza artificiale generativa permette ai truffatori di costruire messaggi privi di errori grammaticali, coerenti nel tono con le comunicazioni ufficiali e personalizzati usando informazioni pubblicamente disponibili sulla vittima, eliminando quasi del tutto i classici segnali di allarme (errori di ortografia, formule generiche, traduzioni goffe) su cui per anni ci hanno insegnato a fare affidamento.
Il CERT-AGID, l’organismo pubblico che monitora questi fenomeni in Italia, ha rilevato 433 campagne malevole attive nel solo periodo tra febbraio e marzo 2026, con Intesa Sanpaolo, Poste Italiane, BPM, ING e Nexi tra i brand più imitati, oltre a enti pubblici come INPS, Agenzia delle Entrate e PagoPA.
Queste tecniche si affiancano, senza sostituirle, alle truffe più tradizionali via SMS ed email: se non conosci ancora la differenza tra le due, la nostra guida su Smishing: cos’è il phishing via SMS e come riconoscerlo e quella generale su Cos’è il phishing e come riconoscerlo restano un buon punto di partenza.
| Tecnica | Canale | Segnale d’allarme principale |
|---|---|---|
| Vishing | Telefonata | Richiesta di codice OTP o dati carta al telefono |
| Quishing | QR code (cartaceo o digitale) | QR non verificabile prima della scansione |
| Spoofing numero | Telefonata | Numero reale ma richiesta anomala e urgente |
| Spoofing vocale | Telefonata (voce clonata) | Richiesta di denaro urgente da un familiare |
Come riconoscerle e difendersi: regole pratiche
La prima regola vale per ogni tecnica descritta finora: nessuna banca, ente pubblico o servizio di pagamento chiede mai codici OTP, password o dati completi della carta per telefono, email o SMS. Se qualcuno lo fa, indipendentemente da quanto sembri credibile o urgente, si tratta di una truffa.
Sui QR code sospetti la regola pratica è non inquadrarli mai da fonti non verificate (volantini non ufficiali, allegati email, messaggi inattesi): meglio accedere sempre direttamente dall’app ufficiale della banca o dal sito digitato manualmente. Per le chiamate sospette, anche se il numero sembra corretto, la contromisura più efficace è riagganciare e richiamare tu stesso il numero ufficiale del servizio clienti, quello stampato sulla carta o reperibile dal sito. Per le richieste di denaro urgenti da parte di familiari via telefono, il consiglio è verificare sempre tramite un canale diverso (un messaggio scritto, una videochiamata) prima di procedere con qualsiasi pagamento.
Se sei già stato vittima di una di queste truffe, la segnalazione va fatta il prima possibile alla propria banca per il blocco delle operazioni e alla Polizia Postale, che gestisce le denunce relative ai reati informatici in Italia.
Il caso a parte dei falsi investimenti e trading online
Accanto a vishing e quishing sta crescendo un’altra categoria di truffe che sfrutta gli stessi strumenti tecnologici ma con un meccanismo diverso: falsi consulenti finanziari o piattaforme di trading che si presentano tramite pubblicità sui social network, spesso con il volto e la voce clonati di personaggi noti (imprenditori, conduttori televisivi) che “consigliano” un investimento straordinario in criptovalute o azioni.
Il meccanismo tipico prevede un primo piccolo investimento che genera davvero un rendimento (per creare fiducia), seguito da richieste di versamenti sempre più grandi con la promessa di guadagni crescenti, fino al momento in cui la piattaforma smette di rispondere e il denaro versato risulta irrecuperabile. A differenza del vishing o del quishing, che puntano a un furto immediato e circoscritto, questa tipologia di truffa può protrarsi per settimane o mesi, aumentando progressivamente l’importo sottratto alla vittima.
Il segnale d’allarme più affidabile resta la promessa di rendimenti garantiti e molto superiori alla media di mercato: nessun investimento legittimo può garantire guadagni certi e straordinari, e qualsiasi piattaforma che lo faccia va considerata sospetta a prescindere da quanto professionale appaia il sito o quanto autorevole sembri il volto che la promuove nei video.
Domande frequenti
Come faccio a essere sicuro che una chiamata sia davvero della mia banca?
Non puoi fidarti del numero visualizzato, perché può essere falsificato. L’unico modo affidabile è riagganciare e richiamare tu stesso il numero ufficiale del servizio clienti riportato sulla carta o sul sito della banca, non quello eventualmente fornito da chi ti ha chiamato.
Il quishing funziona solo con QR code cartacei?
No, può arrivare anche via email, SMS o persino tramite messaggi su app di messaggistica: il principio resta lo stesso, un codice che porta a una pagina fraudolenta invece che al servizio legittimo che sembra rappresentare.
Cosa devo fare subito se penso di essere stato truffato?
Contatta immediatamente la tua banca per bloccare carte e disposizioni in corso, cambia le password degli account coinvolti e presenta una denuncia alla Polizia Postale, allegando ogni comunicazione (SMS, email, registrazione della chiamata se disponibile) ricevuta dai truffatori.
Gli anziani sono più esposti a queste truffe?
Sono spesso un bersaglio privilegiato perché meno abituati a riconoscere tecniche digitali sofisticate, ma con l’IA generativa che rende i messaggi quasi perfetti, ormai nessuna fascia d’età può considerarsi automaticamente al sicuro: la prudenza sulle richieste di dati o denaro urgenti vale per chiunque.
Posso recuperare i soldi persi in una truffa di questo tipo?
Dipende dalla rapidità della segnalazione: se avvisi la banca entro poche ore da un bonifico fraudolento, in alcuni casi è possibile bloccare o revocare l’operazione prima che i fondi vengano prelevati dal conto di destinazione. Superate le prime ore, le probabilità di recupero calano molto, ma la denuncia alla Polizia Postale resta comunque necessaria sia per tentare un recupero sia per contribuire alle indagini su queste reti di truffatori.
I sistemi di autenticazione a due fattori proteggono da queste truffe?
Aiutano ma non sono infallibili: il vishing punta proprio a convincerti a comunicare il codice di conferma che l’autenticazione a due fattori genera, aggirando così la protezione. Il principio resta identico, nessun codice va mai comunicato verbalmente o digitato su una pagina raggiunta tramite un link o un QR code non verificato autonomamente.
