La truffa della richiesta di pagamento è tornata a girare con insistenza sulle app che spostano denaro tramite numero di telefono, e la Polizia Postale ha diffuso un avviso specifico dopo un’ondata di segnalazioni. Il meccanismo è tanto banale quanto efficace: la vittima crede di ricevere dei soldi e invece li sta mandando. Bastano due tocchi sullo schermo e un’impronta digitale, e il denaro è partito.
Su Bancomat Pay e sulle app analoghe collegate al numero di telefono si può sia inviare denaro sia richiederlo. I truffatori sfruttano la somiglianza tra le due notifiche: fingono di essere acquirenti su un marketplace, inviano una richiesta di pagamento e convincono la vittima ad approvarla spacciandola per un accredito. La differenza rispetto al phishing classico è pesante: qui l’operazione risulta autorizzata dal titolare, quindi la banca in genere non è tenuta al rimborso. Restano la denuncia, il tentativo di richiamo dei fondi e il ricorso gratuito all’Arbitro Bancario Finanziario.
Indice
- Come funziona, passaggio per passaggio
- Dove ti trovano: marketplace, annunci e finti rimborsi
- I segnali che smascherano la richiesta
- Perché la banca spesso non rimborsa
- Cosa fare nei primi minuti
- Il ricorso all’Arbitro Bancario Finanziario
- Come blindare l’app prima che succeda
- Domande frequenti
Come funziona, passaggio per passaggio
Le app di pagamento tra privati collegate al numero di cellulare hanno due funzioni speculari. Una serve a mandare soldi, l’altra a chiederli: è la stessa logica per cui puoi dividere il conto della pizza chiedendo dieci euro a testa agli amici. Il problema è che le due notifiche, sullo schermo del telefono, si somigliano parecchio. Compaiono entrambe con il nome di una persona, una cifra e un pulsante di conferma.
Il truffatore parte da qui. Contatta la vittima con un pretesto credibile, quasi sempre una compravendita, e le annuncia che sta per inviarle il denaro. Subito dopo fa partire una richiesta di pagamento della stessa cifra. La vittima riceve la notifica, vede il nome atteso e l’importo giusto, e la interpreta come conferma dell’accredito in arrivo. Apre l’app, conferma con PIN o impronta, e in quel momento sta autorizzando un bonifico in uscita dal proprio conto.
La regia sopra questo passaggio è spesso curata nei dettagli. Il finto acquirente chiama mentre la vittima ha il telefono in mano e la guida a voce: “guarda che ti è arrivata la notifica, accettala che così il pagamento va a buon fine”. La pressione temporale fa il resto. Chi si trova a gestire una vendita mentre è per strada o al lavoro non si ferma a leggere il testo esatto della schermata, e quel testo è l’unica cosa che distingue un accredito da un addebito.
Nei casi peggiori la sequenza si ripete. Dopo il primo tocco il truffatore sostiene che l’operazione non è andata a buon fine per un problema tecnico e chiede di ripetere, moltiplicando l’importo sottratto. Le segnalazioni raccolte dalla Polizia Postale descrivono episodi con tre o quattro conferme consecutive.
Dove ti trovano: marketplace, annunci e finti rimborsi
Il terreno di caccia principale sono i siti di annunci tra privati e i gruppi di compravendita sui social. Chi pubblica un annuncio espone pubblicamente un contatto e comunica implicitamente due informazioni preziose: ha qualcosa da vendere e si aspetta di ricevere un pagamento. È la condizione perfetta perché una richiesta di denaro venga scambiata per un accredito.
Una seconda variante colpisce chi sta cercando un alloggio o un affitto breve fuori dai circuiti ufficiali. Il finto proprietario chiede una caparra e, per apparire affidabile, propone di “provare” il canale di pagamento con una transazione simbolica che poi restituirà: la restituzione arriva sotto forma di richiesta, e la vittima la approva.
C’è poi il filone dei falsi rimborsi, che ricalca schemi già visti altrove. Un sedicente operatore di un servizio clienti annuncia un accredito per un disservizio o un ordine annullato e chiede di accettare la notifica per sbloccarlo. È la stessa impalcatura narrativa della truffa PostePay del falso rimborso, con la differenza che qui non serve nemmeno rubare le credenziali: basta che sia la vittima a premere il pulsante.
Va detto con chiarezza che il problema non è l’app in sé. Bancomat Pay, Satispay, Revolut, PayPal e i servizi bancari analoghi funzionano correttamente ed eseguono esattamente quello che l’utente conferma. La vulnerabilità sta nella somiglianza tra le due schermate e nella fretta con cui la maggior parte di noi tocca i pulsanti sul telefono.
I segnali che smascherano la richiesta
La difesa più solida è una singola abitudine: leggere per intero il testo della schermata prima di confermare, ogni volta, anche quando si è di fretta. Una richiesta in uscita contiene sempre un verbo che indica un’azione tua — paga, invia, autorizza, conferma il pagamento a — mentre un accredito è descritto in modo passivo, hai ricevuto, accreditato da, in arrivo. Nessuna app al mondo ti chiede di autorizzare qualcosa per incassare denaro: gli accrediti arrivano da soli, senza che tu debba fare nulla.
Il secondo segnale è il saldo. Se hai un dubbio, chiudi la notifica e controlla il saldo del conto prima e dopo. Un accredito lo fa salire, e questo non è opinabile.
Il terzo è comportamentale e riguarda la controparte. Un acquirente reale non ha nessun motivo di stare al telefono mentre tu operi sull’app, né di insistere perché ripeti l’operazione, né di proporre canali di pagamento diversi da quelli previsti dalla piattaforma su cui vi siete conosciuti. L’insistenza sul “fallo adesso mentre siamo al telefono” è, da sola, motivo sufficiente per interrompere tutto.
| Situazione | Cosa vedi se è un accredito vero | Cosa vedi se è una richiesta |
|---|---|---|
| Testo della notifica | “Hai ricevuto”, “accreditato da” | “Paga”, “invia a”, “conferma pagamento” |
| Azione richiesta | Nessuna, i soldi arrivano da soli | PIN, impronta o riconoscimento del volto |
| Effetto sul saldo | Sale | Scende |
| Tutela in caso di errore | Non serve | Molto ridotta: risulta operazione autorizzata |
Perché la banca spesso non rimborsa
Questo è il passaggio che quasi nessuno spiega, e che rende questa truffa più dolorosa di un phishing tradizionale.
La disciplina dei pagamenti elettronici in Italia recepisce la direttiva europea PSD2 attraverso il decreto legislativo 27 gennaio 2010, n. 11. La struttura è chiara: se un’operazione è non autorizzata, cioè eseguita senza il consenso del titolare, l’intermediario deve rimborsare l’importo, di norma entro il primo giorno lavorativo successivo alla segnalazione, salvo il caso di dolo o colpa grave dell’utente. Su questo terreno il cliente è protetto in modo molto forte.
Il guaio è che nella truffa della richiesta di pagamento l’operazione è tecnicamente autorizzata. La vittima ha inserito il PIN, ha appoggiato il dito sul sensore, ha confermato. Dal punto di vista dei sistemi antifrode non è successo niente di anomalo: il titolare legittimo, dal suo dispositivo abituale, ha disposto un pagamento verso un altro utente. Non c’è credenziale rubata, non c’è accesso abusivo, non c’è nulla che un algoritmo possa segnalare come intrusione.
Il risultato è che la richiesta di rimborso viene di regola respinta. È una risposta giuridicamente fondata, per quanto amara, e conoscerla in anticipo serve a evitare di perdere settimane aspettando un accredito che non arriverà. Non significa però che non ci sia niente da fare, come vediamo tra poco.
Cosa fare nei primi minuti
Il tempo è la variabile che conta di più, perché i fondi vengono quasi sempre spostati in fretta su altri conti o prelevati.
La prima mossa è contattare immediatamente la banca o l’emittente dell’app, usando il numero stampato sulla carta o quello dell’assistenza ufficiale, mai un contatto ricevuto via messaggio. Va chiesto espressamente di attivare un tentativo di richiamo dei fondi verso l’istituto ricevente. La procedura non garantisce nulla e funziona solo se il denaro è ancora fermo sul conto di destinazione, ma le probabilità crollano di ora in ora.
Subito dopo va bloccato tutto ciò che è collegato: sospendere la funzione di pagamento nell’app, cambiare le credenziali di accesso all’home banking e verificare che non siano stati attivati dispositivi o beneficiari sconosciuti. Se il truffatore ha ottenuto altri dati durante la conversazione, questo passaggio evita danni ulteriori.
Terzo, la denuncia. Si presenta a Polizia di Stato o Carabinieri, e conviene farla anche quando l’importo è modesto: senza una denuncia formale nessun percorso di recupero è praticabile, e il verbale è il documento su cui si fonda ogni reclamo successivo. Le segnalazioni possono essere inoltrate anche attraverso il Commissariato di PS online della Polizia Postale, che raccoglie e incrocia i casi simili.
Quarto, il reclamo scritto all’intermediario. È un passaggio obbligato, perché senza un reclamo formale e la relativa risposta — o il silenzio protratto oltre i termini — non si può accedere agli strumenti di tutela successivi. Va inviato per iscritto, conservando la prova dell’invio, e deve contenere la ricostruzione dei fatti, gli estremi delle operazioni contestate e la richiesta esplicita di rimborso.
Il ricorso all’Arbitro Bancario Finanziario
Se l’intermediario respinge il reclamo o non risponde entro sessanta giorni, si apre la strada dell’Arbitro Bancario Finanziario, il sistema di risoluzione stragiudiziale gestito nell’ambito della Banca d’Italia. Presentare ricorso costa venti euro, che vengono rimborsati se il ricorso viene accolto, e non richiede l’assistenza di un avvocato.
Vale la pena provarci anche in una situazione come questa, apparentemente sfavorevole. I collegi dell’ABF hanno affrontato più volte casi di frodi in cui la vittima ha materialmente autorizzato l’operazione, e la valutazione non si ferma sempre al dato formale del consenso. Vengono considerati elementi come l’anomalia dell’operazione rispetto al profilo abituale del cliente, l’adeguatezza dei presidi antifrode dell’intermediario e la chiarezza delle schermate proposte all’utente al momento della conferma. L’esito non è scontato in nessuna direzione, ma il rapporto tra costo e possibile beneficio è ampiamente favorevole.
Nota della redazione: mettendo a confronto le schermate di conferma di alcune tra le app più diffuse in Italia abbiamo notato differenze notevoli nel modo in cui viene comunicata la direzione del denaro. In alcune il verbo di azione è in grassetto e di dimensione maggiore, in altre l’informazione decisiva è affidata a una riga di testo secondario sotto l’importo. Non è un dettaglio estetico: è proprio in quello scarto di leggibilità che questa truffa trova spazio, e riteniamo sia un aspetto su cui gli operatori dovrebbero intervenire.
Come blindare l’app prima che succeda
Alcune impostazioni riducono in modo sensibile la superficie di rischio, e si configurano in pochi minuti.
La più efficace è abbassare i limiti operativi. Quasi tutte le app permettono di impostare un massimale giornaliero per i pagamenti tra privati: portarlo a una cifra coerente con l’uso reale, cento o duecento euro per chi lo usa solo per dividere le spese, trasforma un danno potenzialmente grave in una perdita contenuta. Chi ha bisogno di importi maggiori può alzare il limite temporaneamente e riabbassarlo subito dopo.
Nelle app che lo consentono conviene poi disattivare la ricezione di richieste di pagamento da parte di utenti non presenti in rubrica, o quantomeno attivare un avviso rafforzato. Se questa opzione manca, l’alternativa è impostare un secondo fattore di conferma per le operazioni sopra una soglia bassa.
Sul fronte delle abitudini, la regola d’oro nelle compravendite tra privati è non uscire mai dal canale di pagamento previsto dalla piattaforma, che nella maggior parte dei casi offre una forma di protezione dell’acquirente e del venditore. Chi propone di spostare la transazione su un’app di pagamento diretta lo fa quasi sempre per sottrarsi a quelle tutele. E per le consegne a mano il contante o il POS restano, paradossalmente, gli strumenti più sicuri.
Chi vuole approfondire il quadro delle frodi che circolano in questo periodo trova utili anche le nostre analisi sulla falsa mail sul canone SPID e sul furto di account WhatsApp senza password: schemi diversi, ma tutti costruiti sulla stessa leva, cioè la fretta di chi legge una notifica sullo schermo e reagisce d’istinto.
Domande frequenti
Posso annullare il pagamento subito dopo averlo confermato?
No. I pagamenti tra privati su queste app sono istantanei e irrevocabili per costruzione: una volta confermati non esiste un pulsante di annullamento. L’unica strada è chiedere subito alla banca di tentare un richiamo dei fondi verso l’istituto ricevente, che però funziona soltanto se il denaro non è già stato spostato.
La banca è obbligata a rimborsarmi?
In genere no, perché l’operazione risulta autorizzata dal titolare. L’obbligo di rimborso previsto dal decreto legislativo 11/2010 riguarda le operazioni non autorizzate. Restano però il reclamo formale e il ricorso all’Arbitro Bancario Finanziario, dove la valutazione tiene conto anche dei presidi antifrode dell’intermediario.
Conviene denunciare anche per cifre piccole?
Sì. La denuncia è il presupposto di qualsiasi tentativo di recupero e serve anche a far emergere la dimensione reale del fenomeno. Molte truffe di questo tipo si reggono proprio sull’importo contenuto, calcolato per scoraggiare la segnalazione.
Come faccio a capire se una notifica è una richiesta o un accredito?
Guarda il verbo. Se compare “paga”, “invia” o “conferma il pagamento” stai per mandare denaro. Se ti viene chiesto PIN, impronta o riconoscimento del volto, stai autorizzando un’uscita: per incassare non serve mai nessuna autorizzazione.
Il problema riguarda solo Bancomat Pay?
No. Riguarda qualunque servizio che permetta di richiedere denaro oltre che inviarlo, quindi anche altre app di pagamento tra privati molto diffuse. Cambia l’interfaccia, non il meccanismo della truffa.
Se ho confermato più volte posso recuperare almeno una parte?
Dipende da quanto in fretta si interviene e da cosa ha fatto il destinatario con i fondi. Segnala tutte le operazioni contestate nello stesso reclamo, allegando la denuncia: in sede di ricorso la ripetizione ravvicinata di più pagamenti verso lo stesso beneficiario sconosciuto può essere valutata come anomalia che i sistemi dell’intermediario avrebbero dovuto intercettare.
