Cosa fare se
ci è già cascato

Due cose, in quest'ordine. Se la conversazione con il truffatore è ancora aperta, che sia una chiamata, una chat o una sessione di controllo remoto, la interrompa: riattacchi, chiuda la chat e, se Le hanno fatto installare un programma per vedere il Suo schermo, scolleghi quel computer da internet togliendo il cavo e il wifi. Poi chiami la Sua banca al numero riportato sul retro della carta o nella sua app ufficiale e dica di essere vittima di una frode: chieda di bloccare la carta e di provare a fermare qualsiasi bonifico o pagamento che non riconosce. Tutto il resto, cambiare le password, sporgere denuncia, avvisare i contatti, è importante ma può aspettare qualche minuto. Il denaro no: un bonifico partito adesso può lasciare il conto di destinazione poco dopo, e il margine per fermarlo si misura in ore, non in giorni. Se oggi fa una sola telefonata, che sia alla banca.

Quello che aveva già prima di tutto questo: quello stampato sul retro della carta, quello nell'app ufficiale della banca che già usava o sul suo sito, digitando Lei l'indirizzo nel browser. Mai il numero che Le ha dato la persona che L'ha ingannata, quello contenuto nell'SMS o quello comparso sullo schermo della chiamata ricevuta, perché quel numero può essere controllato dal truffatore o falsificato per sembrare quello della banca. È un dettaglio che con il nervosismo si dimentica, e ci sono truffe che contano proprio su questo: La chiamano «dall'ufficio sicurezza» subito dopo il primo inganno per completarlo. Se mentre parla con la Sua banca riceve un'altra chiamata che dice di essere della banca, non risponda. E se la filiale è aperta e vicina, andarci di persona va bene, ma la telefonata è più rapida e in queste ore la rapidità è ciò che conta.

Dipende da a cosa servisse quel codice, ed è per questo che conviene leggere l'SMS per intero, non solo le cifre. I codici inviati dalla banca servono di solito a confermare un'operazione precisa: un pagamento con carta, un bonifico, l'attivazione di un nuovo telefono nell'app o la modifica di un dato di sicurezza. Se lo ha letto ad alta voce a qualcuno, molto probabilmente quella persona lo ha usato per autorizzare proprio quello, anche se Le ha detto che serviva ad «annullare un addebito» o a «verificare la Sua identità». Lo dica alla banca con queste parole quando chiama: che ha comunicato un codice e a che ora, perché verifichino cosa è stato autorizzato e se c'è un nuovo dispositivo collegato al Suo conto o alla Sua carta. Se il codice era di WhatsApp o di un'altra app di messaggistica, è probabile che abbiano registrato il Suo account su un altro telefono, e questo richiede di recuperare l'account e avvisare i Suoi contatti il prima possibile.

Disinstallarlo è necessario, ma non sufficiente. Prima scolleghi il computer da internet per interrompere la sessione; poi disinstalli il programma dalle impostazioni del sistema. Il problema è che, mentre l'altra persona aveva il controllo, può aver fatto cose che non si vedono: leggere le password salvate nel browser, aprire il Suo home banking, scaricare documenti o lasciare installato un altro programma che le consenta di rientrare più avanti senza chiederLe il permesso. Per questo quel computer non va usato per accedere alla banca o alla posta finché qualcuno non lo controlla, e le password si cambiano da un altro dispositivo che non sia stato coinvolto in quella sessione, come il cellulare. Se sul computer c'erano dati di clienti o dell'azienda, il controllo non è facoltativo. A volte basta una pulizia accurata e altre volte la cosa prudente è reinstallare il sistema; si decide guardando il computer, non al telefono, ed è ciò di cui ci occupiamo nell'assistenza informatica.

Dipende soprattutto da come è uscito il denaro, e nessuno può garantirlo in anticipo. La normativa sui servizi di pagamento distingue tra operazioni che Lei non ha autorizzato, come un addebito sulla Sua carta fatto da un'altra persona con i dati che Lei le ha fornito, e operazioni che ha eseguito Lei stesso credendo che fossero legittime, come un bonifico verso il conto di una fattura falsa. Nel primo caso la legge prevede, in linea di principio, che la banca rimborsi l'importo, anche se ci sono eccezioni, per esempio se la banca ritiene che ci sia stata colpa grave, e conviene segnalarlo senza ritardo. Nel secondo, avendo disposto Lei il pagamento, recuperarlo è molto più difficile e dipende dal fatto che la banca riesca a trattenere il denaro sul conto di destinazione. In entrambi i casi ciò che aiuta di più è aver avvisato in fretta, avere la denuncia e conservare tutte le prove. Se la banca rifiuta il rimborso e Lei non è d'accordo, può presentare un reclamo scritto e chiedere consulenza.

Alla Policía Nacional o alla Guardia Civil, a seconda di dove vive, oppure ai Mossos d'Esquadra se si trova in Catalogna. La denuncia da sola non restituisce il denaro, ma di solito la banca la richiede per gestire il reclamo, e lascia una traccia ufficiale dell'accaduto nel caso in cui in futuro qualcuno usi i Suoi dati per altro. Porti tutto ciò che ha, in ordine: screenshot dei messaggi o della chat, il numero da cui L'hanno chiamata o Le hanno scritto e l'ora, le email con i relativi allegati, le ricevute di pagamenti o bonifici e i movimenti del conto che non riconosce. Annoti anche, finché il ricordo è fresco, cosa Le hanno detto e cosa ha fatto Lei in ogni momento. Se non sa bene quali passi Le spettano, il 017 dell'INCIBE risponde gratuitamente e in modo riservato a domande sulla sicurezza informatica e può indicarLe cosa fare in base a ciò che ha fornito.

Quasi certamente è una seconda truffa, ed è molto comune subito dopo la prima. Chi ci è cascato una volta è nella lista delle persone che rispondono, è agitato e vuole recuperare ciò che ha perso, quindi è il bersaglio perfetto. Il copione cambia poco: una presunta società, un avvocato o perfino qualcuno che dice di essere della polizia Le offre di rintracciare il denaro e restituirglielo in cambio di un pagamento anticipato, di alcune «spese» o dell'installazione di un programma per «controllare il Suo conto». Né la polizia né la banca si fanno pagare per recuperare denaro sottratto con una frode, e nessuno di serio può promettere di riuscirci. Se qualcuno La contatta senza che Lei lo abbia cercato e Le chiede denaro o l'accesso al Suo computer per restituirLe quanto rubato, riattacchi. Il recupero, se è possibile, passa dalla Sua banca e dalla denuncia, non da intermediari che trovano Lei.

Attraverso un altro canale che sia ancora Suo, e il prima possibile, perché lo scopo abituale di chi si impossessa di un account del genere è scrivere ai Suoi contatti fingendosi Lei per chiedere denaro, un codice o di cliccare su un link. Se ha perso WhatsApp, avvisi via SMS, con una telefonata o da un altro social network i familiari e le persone con cui parla più spesso: «se vi scrivo chiedendo soldi o un codice, non sono io». Se si tratta della posta, faccia lo stesso con i clienti e i fornitori abituali, soprattutto se con loro parla di pagamenti, perché dalla Sua casella si può inviare una fattura con un altro conto bancario. Nel frattempo cerchi di recuperare l'account con la procedura ufficiale di ciascun servizio e, non appena torna a essere Suo, attivi la verifica in due passaggi. Non serve raccontare i dettagli dell'inganno a tutti: basta che sappiano che, per qualche giorno, qualsiasi richiesta strana che arrivi a Suo nome non è Sua.