Le truffe bancarie stanno cambiando volto. Se fino a qualche anno fa il pericolo principale era rappresentato dalle classiche email di phishing, oggi i criminali informatici sfruttano tecniche sempre più sofisticate. A rendere il fenomeno ancora più preoccupante è l’ampia diffusione dei bonifici istantanei, che consentono di trasferire denaro in pochi secondi ma riducono drasticamente i tempi utili per bloccare un’operazione fraudolenta.

A fotografare questa evoluzione è il nuovo rapporto sugli esposti dei clienti delle banche e delle finanziarie pubblicato dalla Banca d’Italia. Nel corso del 2025 sono arrivate circa 750 segnalazioni di presunte truffe bancarie, con un incremento del 2% rispetto all’anno precedente.

Secondo i dati del report, nel 2025 la Banca d’Italia ha ricevuto complessivamente 12.800 esposti, in crescita dell’8% rispetto al 2024. Le contestazioni relative agli strumenti e ai servizi di pagamento, invece, sono diminuite dell’11%. Tuttavia, all’interno di questa categoria sono aumentate le vere e proprie truffe, segno che i criminali stanno affinando le proprie tecniche.

Quasi il 50% delle segnalazioni riguarda infatti il furto dei dati di accesso ai conti correnti oppure delle informazioni personali utilizzate per aprire nuovi conti o richiedere finanziamenti all’insaputa delle vittime.

Tra le tecniche più utilizzate compare anche lo spoofing, presente nel 60% dei casi di furto delle credenziali ottenute tramite ingegneria sociale.

Lo spoofing consiste nella falsificazione dell’identità del mittente. Sul telefono della vittima può comparire il numero autentico della banca oppure un indirizzo email apparentemente ufficiale. Questo rende molto più difficile riconoscere la truffa, perché il messaggio sembra provenire realmente dall’istituto di credito o da un soggetto affidabile come un corriere o una forza di polizia. È proprio questa apparente legittimità che convince molte persone ad abbassare la guardia.

Il vero punto di forza delle truffe moderne continua a essere l’ingegneria sociale, cioè la capacità di convincere le persone a compiere volontariamente azioni che favoriscono il furto di denaro o informazioni.

Secondo Bankitalia, questa tecnica è utilizzata in poco più della metà dei casi di sottrazione delle credenziali.

Gli strumenti sono ormai ben noti:

• phishing tramite email;
• smishing attraverso SMS;
• vishing mediante telefonate.

Nel phishing, la vittima riceve una comunicazione apparentemente inviata dalla propria banca. L’email contiene un link che rimanda a un sito praticamente identico a quello ufficiale, sul quale vengono richieste credenziali, password o codici di sicurezza. Lo stesso meccanismo viene replicato con gli SMS (smishing), mentre nel vishing il contatto avviene telefonicamente.

In questi casi i truffatori si fingono operatori bancari, rappresentanti delle forze dell’ordine oppure addetti antifrode e cercano di creare un forte senso di urgenza. Il copione è quasi sempre lo stesso: viene segnalato un presunto accesso abusivo al conto oppure un tentativo di furto in corso e si invita il cliente a trasferire immediatamente il denaro su un conto “sicuro”. In realtà quel conto appartiene ai criminali.

Tra le nuove tecniche segnalate dalla Banca d’Italia, infine, compare anche il quishing, una variante del phishing che utilizza i QR code.

In uno dei casi analizzati, la vittima era convinta di investire su una piattaforma di compravendita di criptovalute apparentemente affidabile. Per completare il pagamento le è stato inviato un QR code che, una volta inquadrato, ha indirizzato il trasferimento del denaro verso i truffatori.

L’utilizzo dei QR code rende l’inganno ancora più credibile perché gli utenti tendono a considerarli strumenti sicuri e ormai di uso quotidiano. Prima di effettuare qualsiasi pagamento è quindi importante verificare sempre l’origine del codice e controllare attentamente il destinatario dell’operazione.

Oltre ai casi di phishing e ai bonifici fraudolenti, il rapporto segnala numerose altre tipologie di raggiro. Tra le più frequenti figurano:

• false piattaforme di investimento, soprattutto nel settore delle criptovalute;
• Iban contraffatti inseriti nelle richieste di pagamento;
• frodi commerciali legate agli acquisti online;
• mancata consegna di prodotti acquistati su Internet;
• false offerte di finanziamento o credito.

In molti casi vengono proposti servizi che la banca citata nella comunicazione non offre nemmeno realmente. Per questo motivo è sempre opportuno verificare direttamente sul sito ufficiale dell’istituto o contattare il servizio clienti utilizzando esclusivamente i recapiti presenti sui canali ufficiali.

Anche l’intelligenza artificiale sta diventando uno strumento nelle mani dei cybercriminali. Nel 2025 sono raddoppiate le segnalazioni di tentativi di truffa che utilizzavano il nome e la grafica della Banca d’Italia. In diversi casi veniva mostrata perfino un’immagine del governatore Fabio Panetta, realizzata con strumenti di intelligenza artificiale per aumentare la credibilità della comunicazione.

L’obiettivo era convincere gli utenti a effettuare investimenti inesistenti oppure a fornire dati personali. L’AI permette oggi di creare immagini, video e contenuti sempre più realistici, rendendo più difficile distinguere una comunicazione autentica da una fraudolenta.

Chi scopre di essere stato truffato deve agire il più rapidamente possibile. È fondamentale contattare immediatamente la banca per bloccare carte, conti e strumenti di pagamento eventualmente compromessi, modificare tutte le credenziali di accesso e presentare denuncia alle autorità competenti.

Successivamente è possibile rivolgersi all’Arbitro Bancario Finanziario (Abf), il sistema di risoluzione stragiudiziale delle controversie tra clienti e banche. Nel 2025 l’Abf ha ricevuto 13.500 ricorsi, chiudendone circa 12.500.

Uno degli aspetti meno conosciuti riguarda il rimborso delle somme sottratte. Disconoscere un’operazione, infatti, non significa ottenere automaticamente la restituzione del denaro. La banca è chiamata a verificare l’accaduto e ad accertare se il cliente abbia rispettato le regole di sicurezza previste.

Le richieste vengono respinte quando emerge che:

• le operazioni sono state eseguite rispettando gli standard di sicurezza;
• il cliente ha agito con dolo o colpa grave;
• le credenziali non sono state custodite correttamente.

Nonostante ciò, il bilancio complessivo resta positivo per molti utenti. Secondo i dati dell’Abf, il 56% dei ricorsi decisi nel 2025 ha avuto un esito favorevole ai clienti, consentendo la restituzione complessiva di quasi 8 milioni di euro.