AgenPress. Si parla di oltre 600 milioni di euro, questo è il controvalore stimato dei tentativi di frode registrati dagli istituti analizzati nel rapporto CERTFin 2026. Ma il dato che fa riflettere è forse più un altro: l’81% delle frodi bancarie ai privati andate a segno nasce dalla manipolazione del cliente. Nel 96% delle transazioni fraudolente, persino l’autenticazione forte è stata completata regolarmente, ovvero i controlli di sicurezza della banca sono stati superati regolarmente, ad esempio inserendo un codice OTP o confermando il pagamento tramite app.
In altre parole, la banca può riconoscere correttamente chi sta pagando, senza sapere che l’utente sia stato convinto con l’inganno. Per rafforzare la sicurezza personale, conviene quindi affiancare alle buone abitudini strumenti di protezione avanzati, come un NGAV (antivirus di nuova generazione), capace di individuare tanti tipi di minacce informatiche e bloccare siti pericolosi e file dannosi prima che possano arrecare danni al dispositivo.
Quando è la vittima ad autorizzare la frode
Non serve forzare un conto corrente se si riesce a convincere il titolare a fare il bonifico. È la logica alla base di tutti gli attacchi di ingegneria sociale: il truffatore si presenta come un addetto della banca e spinge la vittima a completare un’operazione apparentemente necessaria per proteggere i propri soldi.
Il meccanismo funziona perché fa leva sull’urgenza e su abitudini radicate (che ci portano ad esempio a fidarci di chi sembra conoscere i nostri dati). Con l’intelligenza artificiale, poi, imitare il tono di un messaggio ufficiale o confezionare una richiesta credibile costa sempre meno.
A peggiorare il quadro ci pensa poi il riciclo delle credenziali. Secondo un’indagine di mUp Research per Facile.it, circa 4 milioni e mezzo di italiani usano la stessa password su tutti i siti. Se uno di quei servizi dovesse mai subire una violazione, la chiave rubata potrebbe aprire anche gli account che non sono mai stati attaccati direttamente.
Il rischio si nasconde anche nelle istruzioni
Il CERT-AGID ha censito nel 2025 più di 300 campagne di phishing che sfruttavano il nome di pagoPA, spesso con finte multe da saldare. Una richiesta apparentemente legittima diventa così il pretesto per portare l’utente su un sito fake per farsi consegnare i dati della carta.
Ancora più insidioso è il ClickFix: una pagina con un falso CAPTCHA o un errore tecnico che invita l’utente a incollare un comando sul terminale del computer per risolverlo. Il malcapitato che dovesse ubbidire a questa richiesta finirebbe per installare in prima persona il malware. Il CERT-AGID ha rilevato circa 70 di queste campagne solo nell’ultimo anno (e anche quelle dirette ai dispositivi Android sono aumentate del 55%, a riprova che gli smartphone non sono magicamente al sicuro).
Sul telefono il pretesto cambia ma la tecnica resta simile. Un SMS invita ad aggiornare l’app della banca, indirizzando la vittima verso un file APK, anziché allo store ufficiale. L’utente crede di mettere in sicurezza il dispositivo ma finisce per installare proprio il programma che avrebbe dovuto evitare.
La protezione non è solo una questione di clic
Contro questi raggiri bisogna cambiare il proprio modo di pensare. Una richiesta di pagamento inattesa va controllata entrando direttamente nell’app della banca o nel sito dell’istituto di riferimento, senza fidarsi mai di un link ricevuto. Per gli account importanti conviene creare password complesse e diverse fra loro, custodite in un gestore (o, se possibile, passare direttamente alle passkey).
Nessun CAPTCHA che si rispetti ti chiederebbe mai di aprire il terminale e incollarvi comandi di alcun tipo. E per aggiornare un’app bisogna passare sempre e comunque dallo store ufficiale (i link arrivati via SMS vanno ignorati).
A queste precauzioni si aggiunge il contributo degli strumenti automatici. Un NGAV offre una protezione proattiva: aiuta a riconoscere i tentativi di phishing, blocca l’accesso ai siti pericolosi e controlla i file scaricati alla ricerca di malware. In questo modo, molte minacce possono essere intercettate prima ancora che l’utente debba intervenire, rendendo più sicure le attività digitali di tutti i giorni.
La sicurezza personale, insomma, nasce dalla capacità di riconoscere un attacco e si rafforza grazie a strumenti che lavorano al nostro fianco, aiutandoci a proteggere dispositivi e dati personali.